漏洞攻擊
S4x23 資安大會回顧：工業物聯網 (IIoT) 網路資安
本篇是這系列的第 4 篇，我們將介紹一些與工業物聯網相關的議題，包括在現代化環境當中導入網路資安策略的挑戰。
本文聚焦工業物聯網 (IIoT)。大多數的製造業者都面臨了如何保護老舊系統以及如何在現代化環境內導入 ICS 資安原則的挑戰，以下介紹三場 S4x23 大會上的演講來探討這個議題。
老舊系統現代化的新冒險
主講人：Marianne Bellotti
Marianne Bellotti 擁有 15 年以上的軟體工程師資歷，每一家她所待過的機構，包括美國政府單位與民間機構，都面臨了老舊系統的問題，不論規模大小、也不論歷史有多悠久。最近她撰寫了一本新書叫做「Kill It with Fire」(用火來解決)，主要是根據她豐富的經驗來探討老舊系統現代化的議題。她在這場 S4x23 的專題演講上將該書的精華介紹給聽眾。
Bellotti 首先表示，我們要了解老舊的技術其實是成功的技術。老舊技術之所以能延續至今，正是因為它們有用而且重要。它們是其他系統的基礎，因此一旦改變的話將衍生重大影響。不過，人們對於現代化存在著一些迷思。
第一，該技術已被認定為老舊，但技術新舊其實不重要。
例如，Python 比 Java 老，LISP 比 COBOL 老。但真正重要的是該技術是否仍在持續發展，是否提供資安修補，是否能與現代通訊協定整合。我們應小心所謂的「新奇事物症候群」(Shiny Object Syndrome)，也就是一些吸引人的新鮮名詞經常讓我們忽略原有的價值觀。
第二，將老舊系統砍掉重練是最危險的一種移轉方式。我們必須看看萬一新技術的運作不如預期，要退回原本的舊系統有多容易。現代化的目的是要增加新的價值，但砍掉重練需耗費大量時間和金錢才能達到企業原本已有的功能。此外還必須重新進行技術及營運作業的教育訓練及新手輔導。根據最低可行產品 (Minimum Viable Product，簡稱 MVP) 原則，新價值的創造必須從小規模著手，然後逐步累積。
第三是移轉至現成商用軟體 (COTS)、軟體服務 (SaaS) 以及雲端。當您面臨的問題和許多企業相通時，COTS 和 SaaS 是不錯的選擇。反之，當您對 COTS 做越多的客製化，它就會變得越不穩定。託管式基礎架構最適合在您還沒有達到經濟規模時採用。
不過，請小心別將所有雞蛋放在同一個籃子而被單一廠商綁死。假使您是要建立一個使用者數量有限的內部服務的話，不須撰寫或只需撰寫少量程式碼的方案當然不錯，但它可能會產生許多「垃圾程式碼」讓效能下降並造成一些漏洞。
Bellotti 表示，技術跟人息息相關。技術是為了幫助人們解決他們所遭遇的問題，技術本身不是目的。作業疏失所造成的問題，無法改用技術來解決。
所以，很重要的一點是，企業機構領導者必須了解如何達成卓越營運，以及需要哪些資源來讓系統達成效能目標。在這樣的情況下，逐步現代化是改善營運的最佳策略，而非直接淘汰舊技術、換成新技術。我們應該根據現有系統的監控和評估結果來設定目標、定義問題，然後再決定該將時間和金錢投入哪些地方。
就算是類似的企業，其遭遇的問題也不盡相同。隨著企業不斷成長，企業的成熟度和策略會跟著改變，取捨的標準也會隨時變化。請記住，技術有很多需要取捨的地方，強化某方面就可能削弱另一方面。那些能夠在價值和投資之間找到平衡點的企業團隊，就能實現良好的現代化，並且避免不必要的砍掉重練或移轉。
IIoT 導入 IEC62443 的挑戰
AWS 工業物聯網 (IIoT) 資安解決方案首席架構師 Ryan Dsouza
IEC62443 是一系列針對工業自動化控制系統 (Industrial Automation Control System，簡稱 IACS) 的資安標準，總共包含 12 份文件，分成 4 大類別：一般、政策與程序、系統，以及元件。該委員會自 2002 年起便開始著手研究 ICS 資安議題，目前 IEC62443 已經獲得許多產業的引用。
Dsouza 是 AWS 的解決方案架構師，在數位平台與 IIoT 方面擁有 25 年以上的經驗，他在演講中使用一個全新成立的 IEC 62443 認證計畫來探討 OT 資安的未來。
IEC62443 當中提到的 Purdue 模型在管理層次與現場控制層次將 IACS 變成了一個階層式架構，然而 IT 和 OT 的整合已經因為現代化技術 (如雲端和 OPU UA) 而大有進展。工廠的聯網能力已經非常彈性，未來，邊緣及雲端的混合使用將可讓任何元件彼此相連。
IEC62443 已經利用區域的概念來將資產依功能和彼此之間的通訊渠道歸類為不同群組，不過 IIoT 卻帶來了新的功能和通訊路徑。此外，IEC62443 也定義了資產擁有者、產品供應商以及服務供應商 (系統整合商與維護廠商) 的角色，但卻未包含雲端供應商。所以，區域和通訊渠道的概念有必要針對 IIoT 系統而調整，此外還要定義雲端供應商的角色。雲端供應商是產品供應商、維護服務供應商以及系統整合商。
為了讓資產擁有者使用 IIoT 並提升競爭力，我們正努力為 IIoT 元件和 IIoT 系統建立一套基於 IEC62443 的認證系統。前者目前已經成形，但後者還在進行當中。
IIoT 元件安全確保認證 (Components Security Assurance Certification) 涵蓋了 IIoT 裝置以及 IACS 當中所使用的 IIoT 閘道。62443 的原則顯然可以套用到 IIoT 環境 (延伸「4-1 節：產品開發週期」、「4-2 節：IACS 元件技術要求」)。例如，利用分割技術建立內部區域、軟體更新控管、遠端系統管理、認證方法、元件對抗阻斷服務攻擊 (DoS) 的韌性等等。
IIoT 系統的認證則包含了 IIoT 元件和雲端服務 (延伸「2-4節：IACS 服務供應商要求」、「3-3 節：系統要求與安全等級」、「4-1 節：產品開發週期」)。62443 的風險評估流程與區域/渠道模型可套用至 IIoT 應用案例，並套用至可能影響實體單位的雲端功能。
IEC62443 也可以用於未來的 IACS，但必須重新詮釋其概念以便讓 IIoT 能發揮最大效益。我們必須盡快提供新的指引、認證計畫及教育訓練來協助資產擁有者隨 IIoT 而成長。
LTE/5G 專網世界的 Purdue 模型
Georgia Pacific 系統工程師 Abdullah Yousif
Georgia-Pacific 是全世界領先的面紙、紙漿、包裝與建築產品製造商之一，並且在其母公司 Koch Industries (科氏工業集團) 旗下扮演著工業物聯網先驅的角色。Yousif 參與了 Koch Industries 旗下公司內部正在建立的 5G 應用案例，他在這場演講中說明了他們遭遇的資安挑戰，以及他們如何在行動電信網路基礎架構當中導入最佳實務原則。
他表示，傳統的 Purdue 模型已經崩塌，因為行動電信網路基本上是扁平結構，Purdue 模型無法套用至行動電信網路，這意味著無法以情境來進行分割。該公司已經建置了自動導引車輛 (AGV)、感測器、相機，以及行動裝置，就像一個行動電信專網的應用案例，並且未來還將導入 AR/VR。他們資安隱憂是裝置生態系的複雜要求。
有鑑於他們多樣化的業務，其未來的網路連線勢必橫跨多個通訊層，如：Wi-Fi、行動電信、衛星等等。他們一開始先從了解應用案例相較於現有系統或替代方案的價值提案、優勢及主要漏洞著手。他們判斷，效能與資安是他們持續創造商業價值的必要條件。
LTE/5G 專網為駭客帶來了新的攻擊面，成為既有網路的資安漏洞。
企業網路、行動電信網路與 IoT 裝置之間重疊的技術領域將帶來新的風險。他提出以下幾種可能的攻擊：MQTT 挾持、IP 攻擊、訊號風暴、雲端橫向移動、GTP 攻擊、APN 攻擊、換手攻擊 (Handover Attack)，以及 DNS 挾持。
他們根據分析結果對行動電信網路採取了 5 個步驟來加以分割。(1) 裝置分析、(2) 根據情境進行分組、(3) 定義群組個別政策、(4) 透過 PCRF (政策與收費規則功能) 來落實政策、(5) 監控。
在大多數情況中，資安都是在行動電信專網整合之後才考慮，但他表示，資安其實應該更早考慮才對。
對 IIoT 資安來說，很重要的是要了解標準與原則的整體概念，然後根據環境變化和個別企業機構來加以調整。在整合新技術時所產生的問題，應該從人員、流程、技術三個面向來加以解決。為了對 IIoT 資安貢獻一份心力，趨勢科技也發表了一份技術報告來探討一種新的網路資安策略，並根據我們的經驗來分析 IIoT 的效益和風險。請至此處下載這份報告。
參考資料：