|
2021-04-08 18:27 本文來自微信公眾號：機器之能（ID：almosthuman2017），作者：吳昕 兩年前，挪威首都奧斯陸的一個晴朗的夜晚，哈爾沃·莫蘭（Halvor Molland）正在熟睡，電話在凌晨3點左右響了起來。莫蘭是全球最大鋁制造商之一挪威海德魯（Norsk Hydro）負責通訊事務(wù)的高級副總裁。 兩小時前，公司電腦突然開始加密文件并集體離線，匈牙利分公司的一名工作人員意識到大事不妙。他按照預設(shè)的安保程序關(guān)閉整個公司網(wǎng)絡(luò)，包括公司網(wǎng)站、電子郵件系統(tǒng)、工資單系統(tǒng)等，但為時已晚。 海德魯 500 臺服務(wù)器和 2,700 臺個人電腦已經(jīng)無法正常運轉(zhuǎn)，員工電腦的屏幕上閃現(xiàn)著勒索留言，示意受害者電子郵件聯(lián)系解密工具價格。 “我的感覺是：你真的不相信，”莫蘭在最近的一次采訪中回憶說?！爱敃r決定將整個網(wǎng)絡(luò)關(guān)閉，因為某種程度上已經(jīng)沒有什么可以隔離的了。” 攻擊始于海德魯位于美國的工廠。在肯塔基州和德克薩斯州，公司都有鋁重熔設(shè)施，但位于賓夕法尼亞州克雷索納的最大鋁廠損失最為嚴重。這座工廠是美國政府在二戰(zhàn)期間為生產(chǎn)武器用鋁而建造的。 這家市值120億美元、全球擁有約200家工廠的巨頭供應中斷可能會引發(fā)全球鋁業(yè)恐慌，因為世界上只有少數(shù)公司能夠提供符合戴姆勒和福特汽車公司要求的產(chǎn)品，他們的客戶還包括特斯拉。 海德魯位于美國賓州的克雷索納工廠。 海德魯并沒有支付贖金。他們關(guān)閉了幾條自動化生產(chǎn)線，并將挪威、卡塔爾和巴西等國家的工廠運營模式改為“手動”模式。由于目前大部分勒索病毒加密后的文件都無法解密，海德魯面臨的艱巨任務(wù)之一是人工找到具體訂單，并完成他們。 克雷索納的臨時作戰(zhàn)室，利用傳真、便簽紙和舊電腦戰(zhàn)勝了網(wǎng)絡(luò)犯罪分子。 生產(chǎn)在大約一個月內(nèi)恢復了正常。由于部分工廠停產(chǎn)數(shù)周，此次勒索軟件攻擊使公司損失9000萬至1.1億美元，這個數(shù)字遠遠超過保險單賠付的 360萬美元。 這是挪威歷史上最嚴重的網(wǎng)絡(luò)攻擊事件。諷刺的是，沒人知道是誰攻擊了海德魯，雖然種種跡象指向了一個有組織的東歐網(wǎng)絡(luò)犯罪集團，但他們?nèi)藻羞b法外。 一、暗流涌動 不過，莫蘭和他的團隊做了一件非比尋常的事情：他們向公眾詳細講述了發(fā)生的事情，并發(fā)布了采訪視頻。 但這只是孤例。許多制造商都沒有準備好與世界上最致命的惡意軟件作斗爭，即使遭受攻擊，要么輕描淡寫，要么諱莫如深。 襲擊海德魯?shù)睦账鬈浖?LockerGoga 是2019年1月新出現(xiàn)的病毒。造成海德魯關(guān)閉網(wǎng)絡(luò)之后僅僅幾天，它又被發(fā)現(xiàn)疑似入侵另外兩家美國化學公司瀚森（Hexion Inc.）和邁圖（Momentive Performance Materials Inc.）。雖然邁圖承認遭遇勒索攻擊，公司不得不緊急更換數(shù)百臺計算機，但瀚森公司沒有披露任何襲擊細節(jié)。 幾乎在同一時期，遭遇勒索軟件襲擊的比利時飛機零部件制造巨頭ASCO已經(jīng)停產(chǎn)一個多星期，而且還沒有結(jié)束的跡象。在公司努力恢復被惡意軟件攻擊凍結(jié)的關(guān)鍵系統(tǒng)的同時，近1000名員工被送回家休帶薪假。 ASCO是世界上最重要的飛機零部件和零部件設(shè)計供應商之一。該公司的客戶包括空客、波音、龐巴迪和洛克希德·馬丁。與海德魯不同，ASCO對此事件一直保持沉默。 與海德魯不同，ASCO對此事件一直保持沉默。 制造商不斷出現(xiàn)在勒索軟件受害者清單中。德國自行車廠商Canyon 內(nèi)部文件遭勒索加密，訂單下達與交付被迫延遲；美國核武器承包商遭Maze勒索軟件攻擊，敏感數(shù)據(jù)被泄露；特斯拉、波音、SpaceX供應商Visser Precision拒付贖金，遭機密泄露。 最轟動的當屬本田集團遭受SNAKE勒索團伙攻擊，導致日本總部以外多國工廠生產(chǎn)停頓。與官方聲明輕描淡寫不同，外媒報道下的情況可謂慘烈：
IBM 2020年發(fā)布的威脅情報稱，第一季度，勒索軟件攻擊在所有行業(yè)增長了25％，但針對制造業(yè)的攻擊增加了156％，是風險最高的行業(yè)。全球網(wǎng)絡(luò)安全軟件公司趨勢科技（Trend Micro Incorporated）數(shù)據(jù)顯示，2020年第三季度有150家制造企業(yè)牽涉勒索軟件，多于任何其他行業(yè)。 咨詢公司 Kivu Consulting 2019年的一份報告數(shù)據(jù)顯示，盡管在2019年支付的贖金事件中，制造業(yè)占18%。但贖金數(shù)額非常可觀，2019年支付了680萬美元的勒索軟件付款，占總贖金額的 62%，高于其他任何行業(yè)。 2021年3月，制造商霍尼韋爾（Honeywell）成為最新一家在網(wǎng)絡(luò)攻擊中受害的制造巨頭。這一事件也再次提醒世人制造業(yè)所面臨的威脅。 霍尼韋爾發(fā)言人斯科特·塞雷斯（Scott Sayres）在3月25日的一封電子郵件中表示，“惡意軟件入侵”對“我們的生產(chǎn)造成的影響微乎其微”。他拒絕詳細說明，也拒絕回答有關(guān)是否涉及勒索軟件的問題。 據(jù)兩名不愿透露姓名的霍尼韋爾員工透露，盡管霍尼韋爾在3月23日發(fā)表聲明稱公司已“恢復服務(wù)”，但數(shù)天后公司仍存在揮之不去的IT困難。這些技術(shù)問題已經(jīng)逐漸得到解決，包括連接到該公司的虛擬專用網(wǎng)絡(luò)和內(nèi)部數(shù)據(jù)共享驅(qū)動器的困難。 今年3月，趨勢科技委托獨立研究專家Vanson Bourne對美國，德國和日本的500名IT和OT專業(yè)人員進行的調(diào)查結(jié)果顯示，61%的制造商在其智能工廠經(jīng)歷過網(wǎng)絡(luò)安全事件，75%的制造商因此遭受系統(tǒng)中斷，其中43%持續(xù)了4天以上。 外媒CyberScoop曾要求采訪十幾家歐洲和美國的制造商，據(jù)報道，這些制造商在過去兩年半的時間里因勒索軟件事件而中斷了生產(chǎn)。幾乎所有公司要么拒絕置評，要么沒有回應，要么表示截止發(fā)稿時無法聯(lián)系到一位高管。 故事還在繼續(xù)，每天都有新的受害者。著名工業(yè)網(wǎng)絡(luò)安全公司 Dragos 預測明年制造業(yè)面臨的威脅將繼續(xù)增加。 二、為何青睞制造業(yè)？ 制造業(yè)已經(jīng)成為勒索軟件匪幫的熱門目標。一個很重要的原因是成本與收益的巨大反差，畢竟也是一門生意。 勒索軟件作為一種勒索手段之所以能持續(xù)成功，部分原因在于它使用起來很容易。犯罪分子可以在暗網(wǎng)上購買和租賃各種勒索軟件產(chǎn)品，然后通過釣魚郵件和其他手段迅速、廉價地開始傳播這些產(chǎn)品。 這些勒索軟件即服務(wù)的功能包括24/7在線聊天，幫助獲取比特幣支付贖金，訪問支付服務(wù)，以及幫助犯罪經(jīng)銷商監(jiān)控其運營進度和利潤的控制臺。 低成本的另一邊是收益非?？捎^。針對制造業(yè)的大多數(shù)攻擊都是出于經(jīng)濟動機，包括錢和知識產(chǎn)權(quán)。生產(chǎn)商最忌諱生產(chǎn)線停工，面對業(yè)務(wù)中斷、生產(chǎn)損失、難以交付產(chǎn)品和開票的困境，企業(yè)往往需要耗費大量資金才能重回正軌。高昂成本迫使企業(yè)迅速支付贖金以恢復業(yè)務(wù)。 但這還不包括難以計算的隱形損失。莫蘭說，他并不后悔公開詳細說明勒索軟件給海德魯他的公司帶來多大的痛苦，因為，“它太大了，我們無論如何也掩蓋不了?！?/p> 2020年12月，McAfee最新調(diào)查報告 The Hidden Costs of Cybercrime 指出，對于大多數(shù)組織來說，勒索攻擊事件發(fā)生后，平均需要安排8個人、耗時19 小時對IT系統(tǒng)或服務(wù)進行恢復補救。這不僅增加了被攻擊方的風險處理成本，還或因外部援助和風險保險等方面需求的激增，衍生出新的成本增長點。 比如，所謂新藍領(lǐng)問題。瑞士制造商邁耶·托布勒（Meier Tobler）遭到勒索軟件攻擊，導致該公司直接成本超過500萬美元，生產(chǎn)損失超過1060萬美元。對于一些員工（尤其是物流部門），只能安排帶薪休假；ASCO停產(chǎn)期間，近1000名員工被送回家休帶薪假；海德魯甚至新雇傭了大量勞動力。 長遠來看，業(yè)務(wù)中斷也通常會不同程度影響客戶體驗，波及企業(yè)及機構(gòu)的品牌信任度和聲譽。 一次數(shù)據(jù)泄露可能會使制造商損失數(shù)年的專有信息價值，并導致客戶信任度的永久喪失。這也是為什么絕大多數(shù)制造業(yè)“肉票”會對惡意軟件入侵守口如瓶。他們擔心失去客戶，或者承認自己為了恢復數(shù)據(jù)而付錢給了犯罪分子。 2020年6月，美國國際數(shù)據(jù)管理公司Veritas Technologies最新調(diào)查研究顯示，44％的消費者表示會停止從遭受過勒索軟件攻擊的公司購買商品。 另外，一些制造業(yè)公司活動延伸到多個垂直行業(yè)，這也使得它們成為對手攻擊電力公用事業(yè)或制藥等行業(yè)的跳板；作為全球供應鏈的一部分，制造商也日益受到來自地緣政治沖突性質(zhì)的網(wǎng)絡(luò)風險挑戰(zhàn)。 可以預期，網(wǎng)絡(luò)犯罪分子將繼續(xù)使用勒索軟件攻擊包括制造業(yè)，在這些部門中，停機會給利潤，股票價格，人命或政治聲譽帶來高昂成本。注意力從消費者轉(zhuǎn)移到了更大更肥的魚上：手頭有錢，而且承受著迅速恢復的巨大壓力的公司。 三、“肉票”為何破綻百出？ 吊詭的是，“在網(wǎng)絡(luò)安全方面，制造商很馬虎?！比斯ぶ悄芷脚_ C3.ai CEO Thomas Siebel 曾直言不諱地說。 隨著制造商向工業(yè)4.0過渡，面對網(wǎng)絡(luò)威脅，他們比其他行業(yè)更準備不足?！度A爾街日報》去年的一篇報告中指出，只有不到三分之二的制造商有網(wǎng)絡(luò)安全項目，排名墊底。 此外，更大比例的制造業(yè)企業(yè)表示，它們不計劃在未來12個月的任何時候在重要領(lǐng)域?qū)嵤└倪M。例如，63%的制造商目前沒有網(wǎng)絡(luò)保險，37%的制造商在未來12個月內(nèi)沒有購買網(wǎng)絡(luò)保險的計劃。 網(wǎng)絡(luò)安全培訓也不在制造商來年的計劃之內(nèi)：22%的公司不打算實施員工培訓，26%的公司表示不會進行高管培訓。還有15%的人沒有計劃在明年識別出值得保護的關(guān)鍵數(shù)據(jù)。 《華爾街日報》網(wǎng)絡(luò)安全在線研究中心在2019年12月至2020年3月期間對389家企業(yè)的受訪者進行了調(diào)查。 調(diào)查結(jié)果顯示制造業(yè)的安全防范得分基本墊底。 事實上，現(xiàn)代化大型制造工廠也非常困難。許多設(shè)施使用的遺留設(shè)備或工業(yè)物聯(lián)網(wǎng)（IoT）設(shè)備，在最初設(shè)計時考慮了效率和合規(guī)問題，沒有考慮網(wǎng)絡(luò)安全和數(shù)據(jù)隱私風險。生產(chǎn)線和工業(yè)流程通常運行在操作系統(tǒng)或工業(yè)控制系統(tǒng)上，由于軟件的年代久遠，這些系統(tǒng)不再接受安全更新。 比如，許多食品工廠中，用于運行機器的硬件和軟件多半是在1990年代和2000年代開發(fā)和實施的，尤其是食品加工和制造中常用的較舊的工業(yè)控制系統(tǒng)（ICS），這些舊系統(tǒng)的問題在于它們與當前的網(wǎng)絡(luò)安全最佳實踐不兼容，從而使其極易受到攻擊。 如果制造商不讓設(shè)備離線以更新安全，那么就有可能被勒索軟件攻擊，導致產(chǎn)線癱瘓，但系統(tǒng)脫機維護可能會導致高昂成本或者對操作造成破壞。 而且，由于制造商每種設(shè)施在IT基礎(chǔ)架構(gòu)，使用的系統(tǒng)和要保護的數(shù)據(jù)方面都是不同的，很復雜。也沒有統(tǒng)一方法可以在一夜之間確保每個制造工廠的安全。 從認知層面來看，目前許多制造業(yè)管理層對網(wǎng)絡(luò)安全的認識不足，不愿意將資源用于升級舊系統(tǒng)。當然，除了問題本身的負責和技術(shù)化，對人才的需求大于供給，也導致解決方案的昂貴。據(jù)估計，到2020年，全球安全專業(yè)人員缺口將高達200萬人。由于工業(yè)企業(yè)通常支付的薪水要低得多，因此，高端人才不太可能去OT公司尋求職業(yè)發(fā)展。 尤其值得注意的是，從企業(yè)規(guī)模來看，盡管媒體報道主要關(guān)注大型制造商的網(wǎng)絡(luò)攻擊事件，但最常見的威脅來源是中小企業(yè)。由于小型企業(yè)通常沒有財力或人力資源來進行強大的網(wǎng)絡(luò)評估和風險量化流程，安全防范往往落后于大公司。 上述《華爾街日報》報告顯示，在收入低于5000萬美元的公司中，只有63%的公司有網(wǎng)絡(luò)安全計劃，而在收入超過10億美元的公司中，有81%的公司有網(wǎng)絡(luò)安全計劃。令人擔憂的是，15%的小公司沒有實施網(wǎng)絡(luò)安全計劃。 問題在于，中小型企業(yè)缺乏網(wǎng)絡(luò)安全防范可能會通過復雜供應鏈將風險傳導給其他企業(yè)。他們自己首先成了那塊最短的木桶板，可能被用作破壞客戶網(wǎng)絡(luò)的跳板，就像2013年攻擊目標公司（Target Corp.）的事件一樣，黑客通過一家暖通空調(diào)供應商進入了該公司網(wǎng)絡(luò)。 2020年初，安全專家曾調(diào)查針對歐洲、英國太空與國防業(yè)的系列攻擊活動時發(fā)現(xiàn)，攻擊組織直接使用供應商與合作伙伴之間的合法遠程連接或協(xié)作方案，繞過防護嚴密的邊界防護，成功進入攻擊目標的網(wǎng)絡(luò)。 四、“綁匪”畫像 在制造企業(yè)所遭受的勒索攻擊中，有一點趨勢是清楚的：制造業(yè)依靠工控系統(tǒng)（ICS）實現(xiàn)規(guī)模化、功能化，并確保一致的質(zhì)量控制和產(chǎn)品安全，但針對工業(yè)控制系統(tǒng)的攻擊越來越嚴重。 Dragos公司發(fā)現(xiàn)，過去兩年工控系統(tǒng)成為了攻擊者的重要目標，采用工控系統(tǒng)感知功能的勒索軟件顯著增加。 Ekans/Snake勒索軟件和 “最強”工控惡意軟件 Trisis 是兩個比較突出的“綁匪”代表。 2020年6月，Ekans勒索軟件針對本田的攻擊，導致其暫停美國和土耳其汽車工廠、以及印度和南美洲摩托車工廠的生產(chǎn)。這款勒索軟件旨在終止受害計算機上的64種不同軟件進程，包括許多特定于工業(yè)控制系統(tǒng)的軟件進程。 其中，針對擁有工業(yè)控制和SCADA系統(tǒng)組織的“目標運動”，這是前所未有的。它可以破壞用于監(jiān)控基礎(chǔ)設(shè)施的軟件，例如石油公司的管道或工廠的機器人。這可能會帶來潛在的危險后果，例如阻止員工遠程監(jiān)視或控制設(shè)備的運行。 除了本田汽車，Ekans 攻擊目標已經(jīng)覆蓋了能源（巴林石油、ENEL能源）、醫(yī)療設(shè)備經(jīng)銷等多個工業(yè)行業(yè)，打擊工業(yè)控制系統(tǒng)已成為其重要目的。 至于“最強”工控惡意軟件 Trisis，是首款專門針對安全儀表系統(tǒng)（SIS）的惡意軟件，也是首款能遠程讓民用基礎(chǔ)設(shè)施進入不安全狀態(tài)的惡意軟件。 安全儀表系統(tǒng)作為硬件和軟件控制系統(tǒng)，其主要作用是保護核、油氣或制造等工廠的工業(yè)進程和設(shè)備。SIS 是工廠企業(yè)自動控制中的重要組成部分。目前全球有為數(shù)不多的幾家公司在開發(fā)并管理 SIS 系統(tǒng)，包括但不限于艾默生（Emerson）、霍尼韋爾（Honeywell）和日本的橫河電機（Yokogawa）。 Trisis包含的指令可能導致生產(chǎn)中斷、或使 SIS 控制的機器在可能引發(fā)爆炸的不安全狀態(tài)下工作，對人類操作者的生命造成了巨大的威脅。2017年12月，Trisis背后黑客組織 XENOTIME 利用施耐德 Triconex安全儀表控制系統(tǒng)零日漏洞，攻擊中東一家石油天然氣工廠，差點造成工廠爆炸。 Dragos目前公開跟蹤了五個以制造業(yè)為攻擊目標的組織：CHRYSENE、PARISITE、MAGNALLIUM、WASSONITE和XENOTIME，以前或目前都試圖利用遠程訪問技術(shù)或登錄基礎(chǔ)設(shè)施。不難發(fā)現(xiàn)，能源網(wǎng)絡(luò)特別容易受到網(wǎng)絡(luò)攻擊。 作為最早將機器人集成到裝配線的行業(yè)之一，制造業(yè)也將先進的自動化納入到行業(yè)中。特別是金屬和采礦業(yè)，技術(shù)和自動化是關(guān)鍵點。海德魯公司于2015年投資于自動化超聲波檢測系統(tǒng)，以精確掃描產(chǎn)品雜質(zhì)，滿足運輸行業(yè)客戶的嚴格需求。如果沒有自動認證，汽車制造商將無法使用這些零部件。 然而，無論是聯(lián)網(wǎng)機器人、移動機器人、監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)甚至AI集成，雖然帶了了極大的效率提升，如果沒有在前端嵌入網(wǎng)絡(luò)安全，這些都可能增加制造業(yè)的高級網(wǎng)絡(luò)風險。 許多新型連接設(shè)備已引入企業(yè)網(wǎng)絡(luò)，但物聯(lián)網(wǎng)設(shè)備的嵌入式操作系統(tǒng)并不是為輕松修補而設(shè)計的，這會造成普遍的網(wǎng)絡(luò)風險問題。 受新冠疫情大流行和全球數(shù)字化進程加快的驅(qū)動，數(shù)以百萬計遠程辦公場景的快速激增一定程度上因網(wǎng)絡(luò)開放度的提升和接口的增多，無形之中，又給勒索病毒造就了新的攻擊面。 制造企業(yè)的數(shù)字化轉(zhuǎn)型，導致工控系統(tǒng)成為了攻擊者的重要目標。2019年卡巴斯基的一份報告數(shù)據(jù)顯示，易受攻擊產(chǎn)品數(shù)量最大的領(lǐng)域是工業(yè)控制系統(tǒng)。對于那些高度依賴計算機系統(tǒng)開展生產(chǎn)、自動化、質(zhì)量保證、監(jiān)控和安全的制造活動，勒索軟件具有巨大破壞性。 五、工業(yè)4.0第一要務(wù)是安全 長期以來，制造業(yè)一直是全球經(jīng)濟的基礎(chǔ)部分，也是技術(shù)創(chuàng)新的領(lǐng)導者。在工業(yè)4.0為主導的世界中，制造商越來越多地采用機器人技術(shù)，人工智能，機器學習和高級分析。 在考慮工業(yè)4.0的當前和未來觀點時，人們的注意力需要逐漸轉(zhuǎn)向“連接一切”的未來意味著什么。 除了轟轟烈烈的數(shù)據(jù)討論，安全也是在工業(yè)4.0過程中一個揮之不去的重要課題。對舊系統(tǒng)進行新工 業(yè)4.0應用改造可能增加安全風險， 舊系統(tǒng)并不適用于此種方式的連接。 與此同時，高度互聯(lián)的系統(tǒng)和供應鏈在產(chǎn)生巨大收益同時，企業(yè)也無法全面了解其風險暴露面和攻擊面的問題，尤其是在涉及其他互相連接系統(tǒng)、網(wǎng)絡(luò)和供應鏈之時。 在工業(yè)4.0的規(guī)劃過程中，解決安全問題不是后續(xù)任務(wù)， 而是第一要務(wù)。 如今，Norsk Hydro正在開發(fā)一種AI工具，以檢測黑客試圖訪問其工業(yè)設(shè)備的過程。該工具會尋找可能暗示黑客入侵的異常活動，例如設(shè)備上頻繁更改密碼。然后，它將向Norsk Hydro的網(wǎng)絡(luò)安全團隊觸發(fā)警報。 事實證明，機器學習和人工智能在這一特定方面是有用的新技術(shù)，使端點防御在識別和響應新的勒索軟件變體時更加敏捷和自適應。 自2015年以來，制造業(yè)一直是受網(wǎng)絡(luò)安全攻擊最嚴重的五個行業(yè)之一。未來，制造業(yè)只會變得越來越重要。面對失去的贖金、丟失的數(shù)據(jù)甚至知識產(chǎn)權(quán)和各種巨大風險，再“龜毛的”制造商也不得不在妥協(xié)中推動第一要務(wù)的落地。 參考鏈接： https://www./articles/the-industries-most-vulnerable-to-cyberattacksand-why-11592786160?mod=searchresults&page=1&pos=15 https://www./blog/why-manufacturers-are-under-prepared-for-cyber-resilience/ https://www./honeywell-hack-ransomware-manufacturing-norsk-hydro/https://resources./Industrial-Cybersecurity-WP.html 本文來自微信公眾號：機器之能（ID：almosthuman2017），作者：吳昕 |
|
|
機器之能?
