物联网供应链漏洞对 IIoT 安全构成威胁

IIoT 基础设施面临的风险是真实存在的且很多

大多数网络运营商认识到 IIoT 供应链风险，但具体漏洞难以隔离。这些部署通常影响深远，超越制造商的围墙，扩展到托运人、商人和其他商业合作伙伴。随着网络的扩展和包括额外的集成点，一小段恶意代码复制的风险只会增加。事实上，代码本身可能不是恶意的，但可以提供一个可以危及系统的开放端口。

Finite State 首席执行官马特·威克豪斯 (Matt Wyckhouse) 指出：“只要亲眼目睹嵌入式系统中往往存在多少漏洞，资产所有者就不会意识到这些漏洞存在于他们的系统中。”

一旦 IIoT 环境遭到破坏，恶意行为者可能会将其用作入口以进一步深入公司系统。工业控制系统 (ICS) 和其他生产系统可能面临风险，但如果入侵者能够避开安全障碍并进行更深入的研究，那么关键的企业应用程序和相关数据也可能会暴露。这一切都归因于有问题的固件进入了生产传感器、执行器和其他操作 IIoT 的供应链。

Wyckhouse 解释说：“当报告漏洞时，制造商需要一段时间来响应该漏洞，获取补丁，然后让资产所有者执行对该设备的更新并为其运行最新版本的固件。” ，描述即使是已知的漏洞也能持续存在。

在“工业网络安全状况”中，ARC 咨询小组在 2019 年 7 月为安全提供商卡巴斯基进行的调查报告中，超过四分之一 (26%) 的受访者表示他们考虑了“来自第三方的威胁，例如供应连锁或合作伙伴”成为主要问题，另有 44% 的人表示这是次要问题。有趣的是，所有其他主要的安全问题——例如勒索软件 (70%) 和针对性攻击 (68%)——都可能通过供应链漏洞针对公司发起。

[ 有关物联网安全的更多信息，请注册我们的 物联网安全峰会 今年 12 月。]

在同一项调查中，28% 的受访者指出，他们公司的 ICS 或工业控制网络“很可能”或“很有可能”成为攻击目标。

“全球互联产业网络安全调查”是荷兰安全机构爱迪德在 2019 年进行的另一项民意调查，强调许多公司已经被侵入性物联网攻击所烧毁：“该研究令人震惊地发现，只有 17% 的物联网设备使用或过去 12 个月内，大型企业制造的产品未遭受网络攻击。”

IIoT 供应链如何受到损害

通常，对公司生产线的供应链的最大担忧是生产活动可能会中断，从而导致生产放缓或停工。对于 IIoT 供应链而言，威胁要隐蔽得多，可能需要数周或数月才能显现其影响。

通常，当 IIoT 供应链腐败发生时，更多是多米诺骨牌效应的结果，它掩盖了漏洞的来源。

Adolus 的首席执行官 Eric Byres 表示：“攻击者心中有一些受害者，但他们没有直接攻击受害者，而是攻击二级工业物联网供应商，破坏他们的网站并用木马版本替换合法固件和软件。”提供固件检查服务的公司。

在不知情的情况下进行适当网络维护的 IIoT 网络管理员可能会在不知情的情况下扩散恶意代码。 “他们立即下载并带入他们的工厂，”Byres 说，“突然间，这种恶意软件现在在他们的工厂内、防火墙内和所有东西内肆虐。”

一踏入大门，闯入者可能会从工业网络中闯出，然后破坏企业数据网络。 “坏人攻击一个站点，他们得到了这种可信的乘数效应，”Byres 继续说道。 “对于攻击者来说，这是一个非常好的投资回报。”

大多数 IIoT 环境包括成百上千的旧设备——传感器和其他可能已经使用了十年（或更长时间）的组件。专家一致认为，设备越旧，就越有可能带来安全风险，因为它的支持和更新滞后。

例如，有限状态报告描述了一个华为制造的组件，其中包含使用 2003 年发布的 OpenSSL 版本的代码——众所周知（并记录在案）极易受到攻击。

一些 IIoT 供应链安全漏洞可能是有意插入的——无论是出于无辜还是出于恶意。一个例子是后门。软件中的后门允许访问固件的核心部分，因此无需通过通常的身份验证过程即可访问组件本身。

组件制造商通常会打开这些善意的后门，为技术人员提供支持和监控设备的切入点。通常被称为调试端口，这些后门还允许恶意行为者轻松访问。同样，旨在允许与工业控制系统集成的应用程序编程接口（或 API）可能会无意中提供另一种危及设备操作的方法。更邪恶的后门通常被各国在其出口产品上半掩着，因为他们希望以后使用它们来窃取知识产权 (IP) 或其他数据。

一般来说，IIoT 供应链更像是狂野西部而不是控制良好。

“就安全标准而言，物联网仍然是一项严重不受监管的技术，”纽约大学 Tandon 学院的 Muhammad Junaid Farooq 和 Quanyan Zhu 发表的研究论文“物联网供应链安全：概述、挑战和未来之路”指出。工程。 “从设备所有者的角度来看，无法控制上游供应链。并非所有供应商都准备好明确阐明其网络安全实践并披露其供应链信息。”

恶意行为者的目标和他们想要的

IIoT 供应链入侵可能导致我们见过的由其他类型的网络漏洞引起的任何受损情况。但是，鉴于其本质和功能，“泄漏”的 IIoT 设备可能会导致各种恶意活动和中断。

勒索软件仍然是攻击的主要动机。许多 IIoT 供应链渗透也是如此，因为在支付赎金之前，不良行为者可以阻止或以其他方式对生产产生负面影响。

生产中断可能对工业环境造成更大的破坏。通过改变来自传感器和其他 IIoT 设备的数据流，可以操纵机器设置，这反过来又会在制造过程中引起看不见的问题，这可能导致有缺陷的产品或工厂车间的机器（例如机器人设备）在不安全的情况下运行方式。

2020 年 3 月的一份报告 OT 安全最佳实践指出，工业控制系统漏洞可能会产生深远的影响：“其中一些包括对人类生命健康和安全的重大风险、对环境的严重破坏以及生产损失等财务问题，以及对国家经济的负面影响。”

某些垂直行业也已成为关键目标。

“如果你想要一个目标丰富的环境，有很多有趣的目标，那就去能源，去电网，去石油和天然气，”阿多卢斯的拜雷斯说。 “现在，由于大流行，我们看到的另一个目标丰富的环境是医疗。”

Finite State 的 Wyckhouse 也将医疗保健作为主要目标。 “在过去的几周里，我们实际上看到医疗保健行业的破坏性和危及生命的破坏性攻击正在增加，勒索软件攻击在大流行期间摧毁了医院。”

攻击者的目标并不总是大赚一笔——有时目标是信息，如关键知识产权 (IP)。

挤过 IIoT 环境中的裂缝以到达企业数据网络也是一种常见的策略。 “攻击面每天都在增长并变得越来越复杂，”威克豪斯说。 “在某些情况下，我们应该关注使用供应链作为初始访问机制的参与者。”

如何应对 I​​IoT 供应链弱点

对于大多数公司而言，创建更安全的 IIoT 环境将是一项重大任务，因为网络上的设备数量庞大且历史复杂。如果您已经拥有这些设备的详细而全面的清单，那么您将领先一步——如果您没有，那就是开始的地方。

一旦确定了场地，下一步就是供应链风险评估。识别“宏观”风险，例如勒索情况、数据损坏或 IP 盗窃。但风险评估也需要更细化，评估每台设备的潜在漏洞，以及该漏洞如何复合成更广泛的网络入侵。

仔细研究公司的网络以及它们如何整合也是有必要的。例如，可以通过使用气隙将操作技术环境与 IT 网络分开，从而将 IIoT 与互联网隔离。

还应评估 IIoT 设备供应商，以便了解他们的安全工作水平。这样做的最佳时机是贵公司正在评估要购买的产品时，因为“设备生命周期中运营商对制造商影响最大的时间点是在购买该设备期间，”Wyckhouse 表示。

如果 IIoT 设备采购数量多且频繁，最好建立一个正式的评估流程，以确保所有供应商和产品都经过适当审查。

“不要只是拿着一张纸条，上面写着‘我们认真对待安全问题，’”拜雷斯指出。 “从他们那里得到一份适当的报告，或者去找第三方进行适当的分析，真正弄清楚你的供应商是否在做安全方面的功课。”

您还可以利用美国国家标准与技术研究院 (NIST) 国家漏洞数据库 (NVD) 等资源来查看其常见漏洞和暴露 (CVE) 列表。

新类别的服务和应用程序不断涌现，专门用于解决 IIoT 供应链问题。 Adolus 和 Finite State 是一些公司的例子，它们提供的服务可以帮助用户确定他们已经安装或正在考虑的设备的安全性。

Adolus 最初是美国国土安全部的一个项目，后来演变为商业化服务。它建立在一个数据库之上，该数据库收集与数千个物联网设备相关的已发布和轶事信息，包括任何已知漏洞的汇编。最终用户或设备制造商可以利用数据库来追踪组件的沿袭，并找到有关其组成部分和供应商的详细信息。

“我们的技术是关于构建这些软件材料清单，”Adolus 首席执行官 Eric Byres 说。 “因此，我们不仅可以了解您刚刚购买和安装的基本产品，还可以了解其随附的所有组件。”

有限状态也对这个问题采取了一种新颖的方法。该公司的技术可以有效地解析固件，以确定它是否对 IIoT 基础设施构成风险。这一点尤其重要，因为正如 Finite State 的首席执行官马特·威克豪斯 (Matt Wyckhouse) 所指出的那样，“当应用固件更新时，该固件将替换该设备上的所有软件。它完全取代了它，因此，它可以完全改变设备的风险状况。”