提升供應鏈應用防護 防堵製造場域潛在破口

2023-11-14
隨著製造業從自動化邁向智慧化,原本封閉的OT場域開始納入現代化IT技術,發展物聯網應用以即時掌握營運狀態,也讓資安風險控管機制成為IT/OT場域的必要建置。擅長應用程式交付控制器(ADC)技術的A10 Networks,除了基於其進階式核心作業系統(ACOS)提供負載平衡、DDoS防禦、SSL/TLS加解密等方案,日前更推出應用程式防火牆(WAF)方案,讓企業可在同一技術平台部署防護措施,以降低複雜度。

A10 Networks台灣區技術總監陳志緯指出,以OT場域來看,現代化製造現場的無人搬運車、機械手臂、自動光學檢測(AOI)等應用的聯網裝置,須仰賴網路連線接取IT應用系統,例如製造執行系統(MES)、統計過程控制(SPC),或者產品生命週期管理(PLM)、企業資源規畫(ERP)等。

過往OT與IT網路本為實體隔離,如今企業若要推動智慧製造,首要關鍵便是網路連線可互通,才有能力蒐集製造現場的資料,進而統計分析,在統一儀表板上呈現關鍵指標資訊,以提高生產力。

此外,製造現場的統計數據亦須發布給上下游供應鏈的合作夥伴。可供外部廠商存取的供應鏈管理系統,大多選擇部署在公有雲平台,相關的安全防護措施正是A10 Networks可發揮的場景。

供應鏈系統潛藏資安風險疑慮 

製造業的IT場域入口網,傳統上並不開放給上下游合作夥伴。以往製造業跟上下游合作夥伴的溝通方式主要是傳真、郵件等方式,隨著供應鏈管理系統上線,讓外部廠商可透過Internet連線存取,實際應用場域演進為公開的通道,任何人只要得知公開網址或IP,即可嘗試登入系統,甚至是發起DDoS攻擊,癱瘓製造流程的正常運行。由於可能造成營運損失,因此受到高層重視,尤其自動化流程愈成熟,受攻擊損害程度愈大。 早期電子製造業的供應鏈主要仰賴RosettaNet標準進行資料交換。RosettaNet是一個非營利聯盟,為建立、應用並提倡開放性的電子商務標準,並形成一共同的語言,使全球各交易夥伴間的工作程序藉此一致化。RosettaNet定義了以XML為基礎的資料交換格式,廣泛用於高科技製造業,可讓訂單、庫存、物流等管理系統,藉由API進行整合,建立自動化供應鏈流程來提高工作效率。

問題是網路連線存取透過Internet傳輸,惡意人士只要有能力得知供應鏈系統的IP位址,即可運用各種手法發動攻擊。陳志緯指出,即便應用系統僅提供上下游廠商彼此之間交換資料,亦可能成為資安破口,仍須有完善的防禦,來控管資安風險。例如對抗日漸猖獗的DDoS攻擊入侵。

攜手合作夥伴技術推出WAF

基於ADC技術發展的抗DDoS攻擊機制,本就是A10 Networks擅長的研發項目之一。只是DDoS攻擊活動主要為頻寬消耗型,攻擊者可輕易地控制殭屍網路同時發起連線存取特定IP位址,導致網路癱瘓而無法正常營運。多數企業會直接採用流量清洗(Clean Pipe)服務進行過濾篩選。

隨著自動化攻擊工具的能力再提升,資源耗盡型攻擊也日漸猖獗。例如TCP協議發動的SYN洪水攻擊,可利用TCP功能將殭屍電腦偽裝的TCP SYN請求傳送給特定主機,以佔用處理執行緒,排擠正常存取流量。甚至亦可能導致特定主機的記憶體、運算等資源耗盡,最終停擺。

陳志緯指出,這類型DDoS攻擊手法特性是模仿合法的網路行為來發動,若僅仰賴局端或清洗中心進行過濾,將不足以應對多變的攻擊手法。因此須搭配關鍵應用系統前方部署的網頁應用程式防火牆(WAF),共同抵禦各式手法發起的DDoS攻擊。

對此,A10 Networks日前發布新一代網頁應用程式防火牆解決方案,主要由Thunder ADC掛載內容遞送網路(CDN)服務供應商Fastly提供的WAF技術所建構。陳志緯不諱言,過去企業開設的採購專案大多要求ADC與WAF技術同時具備,因此A10 Networks難以發揮。為了補足WAF技術,A10 Networks日前宣布Thunder ADC攜手Fastly打造完整解決方案,以增強在混合雲的前端應用安全防護,確保應用程式可用性,抵禦各種應用層攻擊的同時做到加速內容交付。

SSL Insight技術檢查加密流量

A10 Thunder ADC具備單一登入(SSO)驗證,並以橢圓曲線密碼學(ECC)等加密法執行TLS協議卸載,提供第四層到第七層的負載平衡,以及DDoS防護等安全機制。如今A10 Networks特有的進階式核心作業系統,納入整合Fastly技術引擎,讓地端部署的Thunder ADC準確偵測並提供情境式決策,可在應用程式遭遇攻擊前即時封鎖。若存取請求經過偵測未遭封鎖,則應用程式交付控制器會依據配置,將請求路由導向應用程式。

A10 Networks台灣區技術總監陳志緯指出,為了補足WAF技術,A10 Networks日前宣布Thunder ADC攜手Fastly打造解決方案,以增強製造業混合雲環境的可用性,抵禦各種應用層攻擊的同時做到加速內容交付。

實際上,偵測後封鎖動作的執行,是由Thunder ADC平台上的WAF模組即時執行,無須與Fastly雲端平台通訊。若需要變更設定配置,或查看分析報表,則由Fastly雲端管理控制台來提供。

另一方面,Thunder ADC平台上的WAF提供深度封包檢測與進階式威脅偵測機制,使其能夠識別和阻止例如帳戶劫持(ATO)、已知的CVE、跨站腳本(XSS),以及其他OWASP Top 10的弱點。

值得一提的是,Thunder ADC包含SSL Insight技術,以Inline部署模式,可完整地將SSL網路流量進行解密,轉送至第三方資安設備檢查,有助於增進零信任防護策略的有效性。針對確認為合法且符合安全原則的流量,Thunder ADC會將其再加密,如同普通SSL流量轉發到目的地位址。

近年來為了防範各種中間人攻擊手法,應用程式開始採嵌入憑證綁定(Certificate Pinning)的作法,用以確認特定網域名稱的伺服器憑證。這種作法雖然可提高安全性,卻也使得SSL流量檢查變得更為複雜。陳志緯說明,由於沒有標準技術來解密這類使用固定憑證的應用程式,SSL Insight作法是依據特定標籤進行繞過(Bypass),例如TLS交握期間伺服器名稱指示(SNI)、主體替代名稱(SAN)、發行者(Issuer)或主題(Subject)。藉此除了保護用戶端隱私,同時亦確保操作符合各類資安法規準則。例如HIPAA(健康保險流通與責任法案)、PHI(個人健康資訊)、PCI DSS(支付卡產業資料安全標準)等規範。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!