账号:
密码:
CTIMES / 文章 /   
工业通讯资安议题延烧
标准开放威胁四伏

【作者: 王明德】2016年05月27日 星期五

浏览人次:【9376】
  


工业乙太网路的共通的介面,虽然让沟通更为顺​​畅,但也由于各类设备的互通性,让资讯安全成为相当复杂的学问,而面对多元化的恶意攻击,也不仅只于预防病毒而已,如何避免外界的恶意攻击,也成为系统智慧化的重要课题。



图1 : 工厂自动化过去无需考量资安问题,不过在工业网路渐趋开放的态势下,此问题已浮上台面。 (Source: w&wd)
图1 : 工厂自动化过去无需考量资安问题,不过在工业网路渐趋开放的态势下,此问题已浮上台面。 (Source: w&wd)

智慧工厂、工业4.0概念的崛起,让自动化设备有了与以往截然不同的改变,过去的自动化设备多为独立运作,彼此之间的互联较少,「智慧化」因讲究整合,无论是软硬体的虚实整合,或机台与机台之间的相互串连,都已成为新世代自动化系统的必要设计,而不管是机台或软硬体的整合,都必须高度倚赖通讯技术,在此趋势下,工业乙太网路顺势崛起,成为自动化系统的骨干支柱。


工业乙太网路已成首选

2009 年美国使用「震网」(Stuxnet)病毒来攻击伊朗地下核设施,让离心机的转速与显示读数不同来干扰制程等国家战略行为。

乙太网路技术在工业环境的应用优势,主要来自于其相容性,由于讯息的快速、无缝流动,是智慧工厂的首要条件,在企业的管理端,乙太网路通常是通讯主要技术,但制造现场以往的通讯架构则多为工业通讯标准,要使前后端讯息可以无缝链结,制造现场的工业乙太网路导入成为必须,以使后端管理层与现场层的资料传输规格一致,使用者只需要掌握单一网路技术即可互连,但同样的,标准化网路结构也因其透明度而带来风险,也因此让系统产生更大的挑战。


相较于过去仅是一般终端使用者及办公室环境,在乙太网路与网路通讯的蓬勃发展,过去像是工厂自动化这类无需考量资安问题的系统,也成为观察的重点之一。


除此之外,过去由于工业现场系统多是以现场汇流排进行通讯,除非像是以国家战略思维侵入如油、水、电等重要设施来进行攻击之外,否则难度甚高;但在工业乙太网路普及导入之后,这类攻击不但渐趋容易,而类似的攻击也渐趋增加。


这类智慧化系统面对不断演变的资安威胁环境,其中一项最大的挑战就是APT进阶持续性渗透攻击(Advanced Persistent Threats;APT),它是针对「特定组织」所作出复杂且多方位的攻击,这样的攻击也逐渐进化,成为系统必须关注的主要议题。


APT来势汹汹

现阶段要防范恶意攻击,已经不仅只于透过防火墙或防毒软体就可达到目的。

过去的对现场端的APT,多像是2009 年美国使用「震网」(Stuxnet)病毒来攻击伊朗地下核设施,让离心机的转速与显示读数不同来干扰制程等国家战略行为,但现在的思维的确开始走向「商业利益」。


从管理端​​到现场端 恶意攻击无所不在

根据统计,有超过2/3的企业系统受到过APT的荼毒,而且更严重的问题是,多数企业在被攻击时根本浑然不知,更遑论如何防范,而且由于APT攻击已成为骇客爱用的主流手法,不达目的绝不善罢干休,而其难以侦测的特性也让人防不胜防,而当这些攻击者对工业控制系统的了解程度愈来愈深时,APT 范围也会愈来愈广。



图2 : 智慧工厂、工业4.0概念的崛起,让自动化设备有了与以往截然不同的改变。 (Source: Industry40.ee)
图2 : 智慧工厂、工业4.0概念的崛起,让自动化设备有了与以往截然不同的改变。 (Source: Industry40.ee)

就资安范围来看,工业现场环境的资讯安全防护,有时挑战更比在企业端办公室的防护来得大,这与两者的设置思维有关,由于工业现场系统要求以「稳定」为最优先,在没有必要的情况下是毋须变动也几乎不允许变动,这样的既定思维,也持续影响一般使用者对现场端设备的态度。


相较于办公室应用端的系统可以允许软体升级、补缺安全漏洞,以及增加许多软体来进行系统监控,甚至在万不得已的情况下,对于系统重开机这类状况也有较大的容忍弹性;工业现场端绝对无法允许如此情况发生,尤其是随时随地的软体升级这类做法相当戒慎恐惧,而在传统系统控制应用上,除了在系统整合或扩充的情况下,系统升级的确也并非必要,不​​过在工厂智慧化需求导入后,状况已然改变。


习惯不同造成缺漏 资安问题影响深远

业界人士指出,工厂智慧化的最基本要求,就是现场端的资料采撷、监控与分析,一般而言多是以整合PC端的SCADA来进行,这些系统的作业系统仍多是以嵌入式的Windows等系统做为底层架构,传统认知的现场端在连上线后,并非想像中封闭,但使用者却仍多以过去现场汇流排的认知来操作,自然会忘记了这类系统的缺漏,甚至连系统管理权限都仍然是预设密码的情况下,自然就形成漏洞,如果仔细观察,会发现世界上使用同一家软体系统的厂商,控怕都有相同的漏洞,而且这些问题通常是积习难返,多数厂商都认为,这将是工厂智慧化后带来的最大问题。



图3 : 工业通讯标准众多,以往都仅在设备端运作,在工业4.0风潮下,绝大多数的工业通讯都须连接乙太网路,链结后端管理层。 (Source: IXXAT)
图3 : 工业通讯标准众多,以往都仅在设备端运作,在工业4.0风潮下,绝大多数的工业通讯都须连接乙太网路,链结后端管理层。 (Source: IXXAT)

传统一般企业在资讯安全面向,仍多依赖防毒软体的保护,但在工厂现场端却甚少考虑此一问题,工厂现场端所使用的软体​​系统,与办公室应用端系统的差异并不大,但在使用心态不同下,工厂现场端的资安挑战更为庞大,再加上现场端系统不易更新与升级,也让防止APT的难度更为提升;相对来说,骇客APT工控系统在如此运作模式下,因其「成本」较低,对于现场端的APT 将会更为提高。


因此现阶段要防范恶意攻击,已经不仅只于透过防火墙或防毒软体就可达到目的,由于传统的阻隔方法仍有漏洞可钻,因此必须阻断恶意攻击在「侵入」、「下载潜伏」到「扩散攻击」的运作环节,才是解决的重点面向,只要阻断APT的任一环节,攻击就会失效,这与过去阻挡病毒进入的观点,有相当大的差距,在面对系统的复杂化,攻击的多元化的同时,思维的调整,或许才是最重要的一步。


实体隔绝还是不够 建构标准才能治本

对于网通厂商对于工厂现场端以虚拟专用网路(Virtual Private Network;VPN)的方式,透过隔离网段的方式来隔绝外界系统化的APT,多数业界人士认为这的确是最基本的解决方案,实体隔离绝对是解决APT最实际的办法,但此一做法却并非像一般人想像的这么可靠,以工厂智慧化的架构,一定会与后端办公室应用端连结,才能针对产线进行系统化的调配,虽然这类通讯设计多是透过软硬体配置,提供最小限度的授权让应用端可以与现场端连结;但一般APT通常会经由办公室应用端进行攻击,再利用应用端与现场端的信任关系,经由双方的授权机制来侵入现场端,除非应用端也进行实体隔离,否则只要连上网际网路,就有漏洞可钻。


虽然「实体隔离」与「最小授权」的做法可能仍有漏洞,但在现场端的安全防护,这仍是最基础的必要作法;至于如何确保系统的安全,标准规范仍是最必要的项目,在工控系统中所强调的标准,多是涉及系统稳定的实际安全需求,但对于资讯安全部分仍付之阙如,由于工业乙太网路的导入,以及实际应用环境的逐渐多元化,资安政策的建构及系统安全的标准,可能是后续发展的重点项目,也将会是市场后续发展的重要课题。


刊头图片来源:(Source: Tecnolab)


相关文章
Ethernet-APL:运用行动依据的情资推动流程最隹化
有赖通讯科技软实力打造专网智慧工厂
布建资料专用的区块链便道 安全直达IoT节点
台湾半导体业者全力备战未来的人才争夺战
数位转型要求简便快捷 流体控制续向电控整合
comments powered by Disqus
相关讨论
  相关新闻
» SMMC司麦德因应未来智慧制造的各项需求 提供特殊订制之步进马达
» 2021全球系统整合商大会上线 智慧物联网引领智慧城市再升级
» 达梭3DEXPERIENCE World 2021推云端新品 促进创客协作与学子就业能力
» 机械业发表机械云开发者应用服务 以智慧机械及制造驱动数位转型
» 网路资安业者首发工业级丛集式IPS 智慧工厂防护更上层楼
  相关产品
» HPE Aruba 体验优先方案协助企业打造数位体验新经济
» 达梭系统帮助奇异航空推动创新与数位连续性
» Hitachi Vantara透过Pentaho 8.2平台让数据更具价值
» PTC产品生命周期管理SaaS前四季订单翻倍
» 宸曜推出工业等级ARM架构的物联网IoT闸道器

AD


刊登廣告 新聞信箱 读者信箱 著作權聲明 隱私權聲明 本站介紹

Copyright ©1999-2021 远播信息股份有限公司版权所有 Powered by O3
地址:台北市中山北路三段29号11楼 / 电话 (02)2585-5526 / E-Mail: webmaster@ctimes.com.tw