https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

觀點

協助 IoT 裝置抵禦以關鍵基礎設施為目標的攻擊

2022 / 12 / 29
編輯部
協助 IoT 裝置抵禦以關鍵基礎設施為目標的攻擊
South Staffordshire PLC 負責向超過 100 萬名的英國客戶供水,並於今年 8 月向客戶表明該公司淪為網路攻擊犯罪的目標。該起事件突顯了關鍵基礎設奢產業目前面臨的縝密威脅。 South Staffordshire 表示,該漏洞似乎沒有對系統造成傷害,也沒有影響該公司為客戶安全供水的能力。
 
威脅發動者取得工業控制系統 (ICS) 環境存取權限所產生的風險,在本次的攻擊展露無疑。相關資料提到,與 Cl0p 勒索軟體相關的某個團體,聲稱他們為本次攻擊的幕後主使,該攻擊沿用了類似的敲詐勒索模式,亦即攻擊者威脅在不加密組織檔案的情況下外流資料,藉此對攻擊目標進行敲詐勒索。在遭受攻擊後,舉凡機密文件,以及該供水廠所使用之資料擷取和監控 (SCADA) 系統的螢幕擷取畫面,皆不幸遭到外流。

Microsoft Defender 研究團隊進一步研究了類似攻擊事件之威脅發動者所採用的技巧。威脅發動者會透過兩種方式取得存取權限:
  • 在資訊技術 (IT) 裝置上部署惡意程式碼,接著跨越界線入侵網路中的作業技術 (OT) 部分,藉此鎖定具有高度價值的作業資產;或者
  • ​入侵未受管理且通常較不安全的 IoT 和 OT 裝置。

關鍵基礎設施網路中的 IoT 裝置

IoT 裝置運用在常見的辦公室設備和網路裝置中。然而,關鍵基礎設施網路中的 IoT 裝置若未適當加以防護,即有可能增加在未經授權情況下存取作業資產和網路的風險。舉凡預設認證等不當設定,以及未經修補的弱點,都經常為威脅發動者所用,以趁機取得網路或裝置存取權限。一旦建立存取權限,攻擊者就能識別相同網路中的其他資產、進行偵察,並規劃鎖定敏感設備和裝置的大規模攻擊。
 
針對關鍵基礎架構和公共事業的威脅監控領域,Microsoft 研究人員著手調查了多個在自身網路內公開 IoT 裝置的英國供水業者。該團隊使用開放來源情報 (OSINT) 和 Microsoft Defender 威脅情報資料,以搜尋整合至供水業者網路中的公開 IoT 裝置,並發現這類型設施皆採用應用於居家環境中的 Draytek Vigor 路由器。
應用於居家環境中的 Draytek Vigor 路由器也會用在關鍵基礎設施,且未進行更新。
舉凡印表機、相機、路由器和閘道裝置,都被歸類在難以修補的裝置範疇下,並成為潛在的網路跳板,而這類型裝置也經常遭到公開。Microsoft 研究人員觀察到:威脅發動者會利用 Draytek Vigor 裝置中的已知遠端程式碼執行弱點 (CVE-2020-8515),著手部署 Mirai 殭屍網路。在攻擊者建立裝置存取權限後,CVE-2020-8515 等遠端程式碼執行弱點就能讓攻擊者於裝置上執行惡意指令、在網路中橫向移動,並存取其他具有漏洞且並未直接在網際網路上公開的裝置,例如 SCADA 系統。

在供水應用程式中,SCADA 系統可讓供水廠監控特定化學物質和有害物質的等級,並收集系統記錄。儘管 South Staffordshire PLC 遭受的攻擊並未利用這些裝置,與 OT 相關的檔案發布,仍會構成高度的作業風險,同時突顯使用網路區隔防範在裝置和網路中進行橫向移動的重要性。

守護關鍵網路

公共事業 OT 網路和裝置的相關攻擊為高度風險事件,種類涵蓋資料遭竊,以及操控作業控制裝置等。這類型的事件會導致作業中斷,而在嚴重的情況下,甚至有可能對個人和客戶造成傷害 。
 
鑑於這些攻擊的嚴重性,及其對公共事業運作甚或其客戶帶來的潛在影響,我們必須正視以適當安全性做法保護未受管理之 IoT 和 OT 裝置的重要性,以確保這類型的攻擊不會再度重演。OT 網路採用的防禦機制不僅應面面俱到、可防範未經授權的系統存取,還要包含偵測功能,以揪出發生漏洞後的異常、不常見和惡意行為。

IoT 和 OT 裝置防禦策略

Microsoft建議組織可針對旗下網路中的 IoT 和 OT 裝置採取以下防禦策略:
  • 採用面面俱到的 IoT 和 OT 安全性解決方案 (例如 Microsoft Defender for IoT),以掌握並監控所有 IoT 和 OT 裝置、進行威脅偵測和回應,並整合 SIEM/SOAR 和 XDR 平台 (例如 Microsoft Sentinel 和 Microsoft Defender 365)。
     
  • 進行弱點評估,以識別組織網路內尚未修補的裝置,並設定工作流程,以透過 Microsoft Defender 弱點管理和Microsoft Defender for Endpoint 來搭配Microsoft Defender for IoT 附加元件,藉此啟動適當的修補程序。
     
  • 縮小受攻擊面,像是減少連至 IoT 裝置和 OT 控制系統的非必要網際網路連線。不妨實作零信任做法,透過套用網路分段,避免攻擊者於入侵後橫向移動並竄改資產。IoT 裝置和 OT 網路應與使用防火牆的 IT 和 OT 網路隔離開來。建議您使用 Microsoft Defender 外部受攻擊面管理,將弱點和風險暴露控制延伸至防火牆以外的範疇。
     
  • 提高網路安全性,例如落實 Azure Active Directory MFA 等多重要素驗證 (MFA) 方法。建議您啟動網路保護機制,以避免應用程式或使用者存取惡意網域,或網際網路上的其他惡意內容。