致命的工控中勒索軟件

最近，在美國召開的RSA信息安全大會上，來自佐治亞理工學(xué)院的網(wǎng)絡(luò)安全研究專家展示了一款由他們自行設(shè)計和開發(fā)的專門針對工業(yè)控制系統(tǒng)（以下簡稱“工控系統(tǒng)”）的新型勒索軟件LogicLocker，并現(xiàn)場演示了LogicLocker接管水處理廠控制系統(tǒng)的過程，證明了通過勒索軟件來攻擊并控制工控系統(tǒng)的可行性。作為國家關(guān)鍵信息基礎(chǔ)設(shè)施的重要組成部分，工控系統(tǒng)一旦被非法控制，可能造成人員傷亡、環(huán)境污染、停產(chǎn)停工等嚴(yán)重后果，甚至威脅國家安全，有必要對此進(jìn)行分析研究，積極應(yīng)對。

攻擊路徑不斷增加

隨著兩化融合的深入推進(jìn)，互聯(lián)網(wǎng)快速滲透到工業(yè)生產(chǎn)各領(lǐng)域各環(huán)節(jié)，能源、裝備制造等重要行業(yè)原有相對封閉的系統(tǒng)運(yùn)行環(huán)境逐漸被打破。管理網(wǎng)和生產(chǎn)控制網(wǎng)的雙向信息交互，使得生產(chǎn)控制權(quán)限不斷上移，數(shù)字化通信和工控系統(tǒng)組件的智能化，導(dǎo)致攻擊目標(biāo)下移，工控系統(tǒng)的采集執(zhí)行層、現(xiàn)場控制層、集中監(jiān)控層、管理調(diào)度層和互聯(lián)網(wǎng)等都成為潛在的攻擊發(fā)起點(diǎn)，不僅大大增加了攻擊點(diǎn)、攻擊面和信任網(wǎng)絡(luò)邊界，也為病毒、木馬、勒索軟件等傳統(tǒng)互聯(lián)網(wǎng)威脅向工控系統(tǒng)擴(kuò)散提供了可能。

工控系統(tǒng)成攻擊重點(diǎn)

IBM安全管理服務(wù)的數(shù)據(jù)顯示，2016年發(fā)生的針對工控系統(tǒng)的網(wǎng)絡(luò)攻擊數(shù)量較2015年增加了110%。而以金錢為目的的勒索軟件也逐步將攻擊目標(biāo)轉(zhuǎn)向系統(tǒng)漏洞較多的工控系統(tǒng)，通過攻擊并加密直接暴露在互聯(lián)網(wǎng)上的工控系統(tǒng)設(shè)備，實施勒索行為。2016年10月，英國國家健康醫(yī)療體系NHS基金會計算機(jī)懷疑被勒索軟件感染，導(dǎo)致其IT網(wǎng)絡(luò)中的所有設(shè)備被迫離線，多家醫(yī)院取消數(shù)百例手術(shù)。2016年11月，美國舊金山公共交通機(jī)構(gòu)的服務(wù)器和計算機(jī)感染勒索軟件HDDCryptor，數(shù)據(jù)被加密，自動售票機(jī)被迫關(guān)閉，公共交通部門被勒索100比特幣（約合73000美元）的贖金。2017年1月12日至15日期間，美國華盛頓特區(qū)70%的警用閉路電視監(jiān)控系統(tǒng)的視頻存儲設(shè)備感染勒索軟件，而閉路電視監(jiān)控系統(tǒng)正是工控系統(tǒng)的重要組成部分之一。這些案例充分表明，工控系統(tǒng)或?qū)⒊蔀槔账鬈浖乱粋€重點(diǎn)攻擊目標(biāo)。

在今年的RSA信息安全大會上，大會主辦方設(shè)定了一整天的議程對勒索軟件的相關(guān)議題進(jìn)行了探討。會議展示了勒索軟件相關(guān)的最新研究成果，其中令人印象深刻的是，佐治亞理工學(xué)院的安全研究人員展示了其研發(fā)的新型勒索軟件接管水處理廠的控制系統(tǒng)的全過程。

這款新型勒索軟件LogicLocker是第一個對外宣布的針對工控系統(tǒng)PLC設(shè)備的工控勒索軟件。該勒索軟件的工作原理是：首先利用施耐德Modicon M241可編程控制器（PLC）固有的應(yīng)用程序接口，在聯(lián)網(wǎng)的狀況下自動掃描工控系統(tǒng)網(wǎng)絡(luò)內(nèi)具有已知安全漏洞的PLC設(shè)備，在模擬實驗中，研究人員利用可編程邏輯控制器和一些管道、槽罐以及水泵等工具模擬出了一個小型的污水處理系統(tǒng)。然后通過類似釣魚郵件和惡意鏈接等常見的攻擊方法讓目標(biāo)系統(tǒng)感染勒索軟件，再利用勒索軟件來對目標(biāo)系統(tǒng)實施模擬攻擊。在接管控制系統(tǒng)后，研究人員可以命令PLC進(jìn)行關(guān)閉閥門、增加水中的氯氣含量、向工作人員顯示虛假的操作信息等操作，而飲用水氯含量超標(biāo)會對人體造成傷害，黑客可以以此威脅工控系統(tǒng)運(yùn)營商支付贖金。

工控系統(tǒng)的防護(hù)不足

勒索軟件已成為比傳統(tǒng)的木馬、病毒等更加有利可圖的“商業(yè)犯罪模式”，也更加容易被黑客利用對關(guān)鍵信息基礎(chǔ)設(shè)施工控系統(tǒng)進(jìn)行攻擊勒索。而目前，工控系統(tǒng)的組件具有多種可被勒索軟件利用的系統(tǒng)漏洞，一般工控系統(tǒng)沒有針對這些系統(tǒng)漏洞的防護(hù)措施，導(dǎo)致這些工控系統(tǒng)對勒索軟件的攻擊幾乎不設(shè)防。例如，佐治亞理工學(xué)院針對勒索軟件的研究結(jié)果顯示，有超過1500個目標(biāo)PLC具有可被勒索軟件利用的程序漏洞且直接暴露在網(wǎng)上。這意味著大量工控系統(tǒng)可以被該勒索軟件輕易攻擊，而并未部署任何防護(hù)措施。

后果將極為嚴(yán)重

雖然此次模擬攻擊實驗的對象并非真正的城市水凈化處理系統(tǒng)，但足以表明黑客通過勒索軟件破壞國家關(guān)鍵信息基礎(chǔ)設(shè)施的可行性，使用PLC設(shè)備的供電系統(tǒng)、能源供應(yīng)、供暖系統(tǒng)、通風(fēng)系統(tǒng)、空調(diào)控制系統(tǒng)和電梯控制器等，乃至電力、石化化工、交通運(yùn)輸以及裝備制造行業(yè)的工控系統(tǒng)都可能成為勒索軟件攻擊的目標(biāo)。一旦關(guān)鍵信息基礎(chǔ)設(shè)施受到攻擊，相對于支付贖金的經(jīng)濟(jì)損失，攻擊造成的安全事件后果更為嚴(yán)重。例如，城市的水凈化處理系統(tǒng)遭到攻擊，導(dǎo)致城市用水被污染，會直接危害環(huán)境安全和民眾人身安全。目前，工控系統(tǒng)情況都差不多，直接威脅國家政治安全和社會穩(wěn)定，影響國家安全。

信息安全防護(hù)迫在眉睫

截至目前，通用技術(shù)手段還不能夠保證解密勒索軟件的標(biāo)準(zhǔn)加密算法，因此，提升工控系統(tǒng)信息安全防護(hù)能力，加強(qiáng)針對勒索軟件攻擊的事前防御尤為重要。一是加強(qiáng)終端安全防護(hù)，包括及時更改工控系統(tǒng)默認(rèn)密碼、禁用不需要的協(xié)議、設(shè)置合理的訪問控制策略、定期更新設(shè)備固件、及時備份所有程序文檔及數(shù)據(jù)等。二是加強(qiáng)網(wǎng)絡(luò)安全防護(hù)，實施網(wǎng)絡(luò)分段控制和可疑流量監(jiān)控，在不同的網(wǎng)絡(luò)安全區(qū)域之間配置具有兩道防火墻的隔離區(qū)，并監(jiān)控區(qū)域內(nèi)流量，一旦發(fā)現(xiàn)可疑流量及違反策略的行為，及時進(jìn)行隔離。三是重點(diǎn)加強(qiáng)員工的信息安全意識培訓(xùn)，提高員工的釣魚郵件鑒別能力，不使用工控系統(tǒng)內(nèi)的計算機(jī)查收郵件或打開未經(jīng)安全確認(rèn)的文件和外部鏈接，不隨意接入未經(jīng)授權(quán)的移動設(shè)備。此外，還應(yīng)制定工控安全事件的應(yīng)急響應(yīng)和快速恢復(fù)策略，以備攻擊事件發(fā)生時能快速判斷攻擊影響狀況，及時恢復(fù)設(shè)備運(yùn)行。N