物聯網安全 工業4.0 入侵偵測

攔查各式工業通訊協定惡意流量 旁路監聽不延誤產線

工控專用網路入侵偵測 保障機台OT連網安全

2020-07-03
工業4.0時代講求萬物聯網,連網可即時掌握產線營運進度、收集現場感測數據,從而預測生產機台的可能故障時間、產能等,不過這也意味著遭受資安攻擊的機會增加。可見工控網路若要正常運作,勢必得做好資安偵測防護。

 

隨著工業4.0、智慧製造時代的來臨,工業控制系統(ICS/ICAS)也逐漸有連網需求。工控系統為廣泛的稱呼,具體而言為工業控制電腦(IPC)、可程式化邏輯控制器(PLC)、可程式化自動控制器(PAC)或分散式控制系統(DSC)等多種設備裝置。工控、自動化領域也稱為營運技術(OT),有別於電腦、電子資料處理的資訊技術(IT)。

連網可即時掌握產線營運進度、收集現場感測數據,從而預測生產機台的可能故障時間、刀具壽命、產能與交期推估等。不過,連網也意味著遭受資安攻擊的機會增加。

事實上,多年來也早有多起重大OT資安事故,2010年伊朗核電廠內的西門子PLC即被惡意程式Stuxnet入侵,影響核電廠啟動程序;或2015年烏克蘭電廠遭到BlackEnergy惡意程式入侵造成該地大停電;或造成油管爆炸、地鐵系統癱瘓等。因此,OT的資安防護已是不得不面對的現實。或許,還有若干企業主或資管人員仍認為,只要產業專屬設備持續保持不連線即可確保安全,但實務上愈來愈不可行。例如,過往自動提款機(ATM)為專屬網路因而不易受侵害,然提款機在不提款時對銀行而言毫無價值,最終仍選擇在不服務期間播放各種宣導或行銷資訊,此一樣透過公眾連網來更新內容,但也因此遭侵害。

醫療領域亦同,心電圖、呼吸器等臨床醫療設備也逐漸連網,即便家庭保健用的電子體重計、血壓計其新款特點也多強調能連網傳遞資訊。各特有領域均有相近的趨向,因此連網不可免,而配套的偵測防護同樣不可免。

OT資安事故頻傳 架設IDS刻不容緩

雖確認OT網路需要防護,但實踐上卻是一大挑戰,由於多年來OT領域為各業者各自發展,不同的業者因應自家控制系統自行開發、定義其通訊協定,因而OT領域同時存在著數十種OT網路協定,不似IT領域已趨向統一採行Ethernet、TCP/IP等技術協定。

因此,OT網路的資安偵測防護無法直接取用現行IT領域已有的入侵偵測系統(IDS)、入侵防禦系統(IPS),IDS/IPS著眼在Ethernet、TCP/IP等封包協定的偵測辨識,卻無法辨識OT特有協定,如OPC、Modbus、DNP等,更遑論從中找出威脅攻擊。

另一個挑戰是,IT領域的偵測防護佈建多採串接攔截檢查,如同機場出入境,人人都必須通過金屬探測門,然而OT領域難以採行相同作法,OT協定多用來傳遞即時控制命令,以立即控制工具機、輸送帶、機械手臂等,命令傳遞時間不容延誤,以資安查核為由延長協定傳遞時間,通常不被允許,輕則產能減速(就商務角度而言即減緩獲利速度),重則可能造成一連串難以收拾的產線誤動作。

針對落實OT資安的挑戰,業界開始提出OT領域專用的入侵偵測系統(IDS),如以色列Radiflow的iSID、以色列Waterfall的Waterfall for IDS,我國亦有資訊工業策進會(III)資安科技研究所(CSTI)開發的ICTD工業控制系統網路入侵偵測設備。

圖1  啟用DSM編輯器。

一般而言,OT領域的IDS不採串接方式運作,而是在工控網路的交換器中,針對需要偵測檢查的網路埠進行封包流量的鏡像複製(Port Mirroring,或稱Span Port),在鏡像埠上執行偵測檢查,如此就不會衝擊影響原有的OT協定傳遞,廠房產線依據過往步調正常營運。另外,OT IDS可分析解讀現行多種OT協定封包,從中辨識出異常傳遞行為,此即可能為惡意程式運作或駭客攻擊。進一步地,OT IDS並非只檢查封包中的表徵資料(如檔頭∕標頭),而是深入了解封包內容以及內容的前後關連脈絡,可實現更深度的檢查,達到更高防護效果。

更簡單地說,OT IDS形同一個電話側錄機,不影響正常通話,但會記錄與監聽通話內容,一旦內容有害將發出警告,即便話語內容乍聽無害,但可能語意中已夾帶危險暗示,也會發出警告。

未來技術展望目標 須正常營運兼顧安全

OT IDS在不衝擊影響原有廠房營運下確保OT網路的資訊安全,然OT IDS為持續發展性的OT資安防護方案,展望後續ICTD有多個強化精進方向。

以ICTD而言,即力求維持輕量化,以便可輕易移植改寫到不同的平台上,且能有限的運算力、少量的硬體資源下仍可偵測防護,例如只需要在ARM架構的嵌入式系統小盒中就可安裝執行,或在企業原有伺服器中以增開虛擬機器(VM)的方式執行。

或者是導入人工智慧(AI)的偵測辨識,使OT IDS在尚未取得新的惡意特徵資訊下也能偵測出可疑的的威脅行為,甚至在未知的協定環境中也能偵測出異常行為(可能為產線機台新增、機台故障,但也可能是惡意入侵)。

此外,由於OT IDS是以監聽網路閘道(Gateway)流量方式提供偵測防護,倘若惡意程式已入侵某一機台,並嘗試橫向移動去感染另一機台,移動路徑中若沒有經過閘道,OT IDS也就無從偵測防禦,因此後續也將規劃發展端點(Endpoint)版的OT IDS。

由上述可知OT資安需要不同的切入點與落實手法,難以照搬IT資安思維與模式,期所有考慮評估導入OT資安的企業主與資管人員均能重視與掌握相關要訣。 

<本文作者郭思偉為資策會資安所正規劃師>

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!