ICS 安全、医疗设备和意外的怪物

被黑的心脏起搏器、胰岛素泵、汽车、工业设施、卫星和破坏电网……多年来，网络安全研究人员一直在警告黑帽黑客可能会通过他们的攻击来伤害或杀死人们——通常会展示他们如何做到这一点。

但是，经常伴随该主题的耸人听闻的程度可能会掩盖真正的风险水平，同时几乎无法强调常见攻击媒介和漏洞的风险水平，例如过时的操作系统、未打补丁或有漏洞的软件、配置错误的网络等。

一般来说，工业控制系统的网络风险水平很高，工业控制系统用于一系列应用，从控制卫星到石油和天然气设备，再到工厂的自动化设备。有报道称，计算机破坏造成的混乱可以追溯到几十年前。的确，很难验证，例如，美国是否在用于控制跨西伯利亚管道中的气体流动的计算设备上部署了木马恶意软件，从而引发了大规模爆炸。里根政府的前空军部长托马斯·里德（Thomas C. Reed）在“深渊”一书中也声称了这一点。

[ 物联网世界 是行业和物联网创新的交汇点。预订您的 会议通行证 节省 350 美元，获得一个 免费展会通行证 或查看 物联网安全演讲者 在活动中。]

但是现在对互联工业系统的攻击很常见。近年来，从 IBM 托管安全服务到卡巴斯基实验室，许多网络安全供应商都发现 ICS 安全攻击呈上升趋势。仅在 3 月份，全球最大的铝生产商之一 Norsk Hydro 就在欧洲和美国的运营中遇到了网络引发的生产问题。

为了解决这个问题，工业巨头西门子和国际测试、检验和认证公司 TÜV SÜD 联手开发了他们所谓的“数字安全和安保的新方法”。西门子工业网络和数字安全副总裁兼全球负责人 Leo Simonovich 表示：“针对工业环境的攻击正以指数级的速度增加。 “然而，与 IT 领域主要关注的是数据丢失不同，针对运营技术的网络攻击可能导致潜在的关闭或更糟。”因此，两家公司将合作提供他们所谓的“数字安全和安保评估”，以帮助能源客户，特别是评估和管理网络风险。

西蒙诺维奇指出了网络安全公司 Dragos 于 2017 年在沙特阿拉伯发现的潜在灾难性 Triton 恶意软件。研究人员最近在第二个设施中发现了该代码。

“[Triton] 攻击的非凡之处在于攻击者可以轻松地从 IT 到 OT 再到安全系统，”西蒙诺维奇说。

事实上，这是网络安全漏洞构成潜在安全风险的各个行业反复出现的主题。尽管所有研究都证明了网络安全事件中的攻击类型深奥且通常是难以置信的攻击类型，但很容易忽视由“气隙”Windows XP 计算机或诸如 Kwampirs 之类的过时恶意软件所带来的风险，一种发现的特洛伊木马2015 年，或 2008 年首次发现的 Conficker。虽然正如研究人员所证明的那样，黑客可以修改 CT 扫描以创建假癌细胞，但医院更有可能受到商品类型的攻击或心脏起搏器患者的袭击最终会成为网络杀手的目标。 MedSec 研发副总裁斯蒂芬妮·普雷斯顿·多马斯 (Stephanie Preston Domas) 表示：“当我说：‘即使我认为自己是网络安全专家，也有更简单的方法可以伤害他人。 “所有这些针对医疗设备设计的花哨的自定义漏洞都没有指向真正的问题。真正的问题是像 Kwampirs 这样的东西仍然有效。像Conficker这样的东西仍然有效。”

然后是 WannaCry，欧洲刑警组织表示，2017 年的勒索软件攻击在其范围内是前所未有的。 WannaCry 影响了大约 200,000 台计算机，影响了工业和医疗设施。日产不得不停止在英国的一家工厂生产。雷诺被迫在多个地点停止生产。德国的火车公司 Deutsche Bahn 是受害者。类似的恶意软件 Notpetya 对航运巨头马士基造成了价值数百万美元的损失。

但与 ICS 安全影响一样大，WannaCry 也对英国的国民健康服务产生了巨大影响，造成近 1 亿英镑的损失，同时导致 19,000 次医疗预约被取消。

Cynerio 首席执行官 Leon Lerman 表示，WannaCry 或类似的商品攻击可能会导致死亡或受伤，例如延迟心脏手术，尽管通常很难证明直接联系。

像 WannaCry 这样的攻击也说明了民族国家开发的漏洞可能会泄露并在不知不觉中授权对手攻击美国和盟友。 WannaCry 和 NotPetya 都使用了一种名为 EternalBlue 的漏洞，该漏洞可能是美国国家安全局开发的。 《纽约时报》最近报道称，中国情报人员利用“[美国] 网络安全武器库的关键部分”进行攻击。顺便说一句，这篇文章还报告说，用于针对伊朗核离心机的复杂的 NSA 开发的 Stuxnet 恶意软件对包括雪佛龙在内的美国企业造成了损害。

Domas 更担心通用恶意软件或简单的粗心大意在具有安全后果的网络攻击中发挥作用。她说：“我仍然看到太多的耸人听闻的观点集中在坏人对患者造成伤害上。” “我希望看到更多的转变，即如果患者受到伤害[由于网络攻击而发生]，这可能是偶然的。这可能是他们试图在系统上做的其他事情的副作用。”

西蒙诺维奇说，研究工业控制系统网络攻击的研究人员看到了类似的模式。 “大多数都存在与违规相关的一定程度的人为错误。”

另一方面，工业系统和医疗设备上的错误软件代码是一个与安全和网络安全密切相关的主题。最近关于波音 737 MAX 的传奇故事强调了这一点。安全专家布鲁斯·施奈尔 (Bruce Schneier) 在谈到这个问题时写道：“从技术上讲，这是安全而不是安全；没有攻击者。但这些领域是密切相关的。”

Domas 同意这种观点，例如，一名医院工作人员在将手机插入后导致麻醉机异常卡住的案例。很容易忽视此类日常事件的风险，这些事件不涉及网络攻击者。

同样，往往获得最多媒体报道的标题 ICS 安全和医疗设备故事类型很容易忽视内部威胁的风险。但“内部威胁占[工业部门攻击]的绝大多数，”西蒙诺维奇说。

最终，为了帮助解决日益互联的工业和医疗环境中的风险，在其中工作的人员需要清楚地了解此类互联系统可能带来的风险，无论是有意还是无意地被利用。 “我认为精通技术的人越来越意识到，但我真的没有看到对不精通技术的人的理解或欣赏有很大的提高。”

然后，衡量风险管理的话题可能非常困难。威胁建模之一，它是风险管理的一个子集。 “但是因为任何系统中都存在太多的网络风险，你无法修复所有这些风险，”多马斯说。 “所以这就是为什么你必须将它与威胁建模之类的东西结合起来，并弄清楚你最需要关心的是什么，”她补充道。 “老实说，很多时候，你会发现排名系统中出现的一些事情，你会说：‘你知道吗？我可以接受这种风险，’而且你没有采取任何措施来解决它，即使你知道，那里存在网络安全问题，”多马斯说。 “你必须制定战略。你无法解决所有问题。”