CNC 全名為「電腦數值控制」，是一種工廠內用來製造產品的工具機，這類機器已廣泛使用多年，而且在過去 10 年當中，由於連線能力的提升，這類工具機的應用還變得更廣。連線能力的提升也使得這類工具機更依賴軟體來運作，因此也更容易遭到駭客攻擊。這項弱點起因於工廠環境充斥著各式各樣的技術，但使用者卻缺乏安全觀念，不知該如何保護系統。
趨勢科技針對四家代表性CNC工具機進行了一系列資安評估，同時分析了工業 4.0 潮流下的一些技術發展，並針對真實世界安裝情境進行一系列的攻擊實驗。
趨勢科技測試四家代表性CNC工具機: Haas(左上)、Okuma (左下)、Fanuc(右上)、Heidenhain(右下)
了解 CNC 工具機
工具機是一種使用刀具來將一塊原料切削成產品的裝置，這個過程稱為機械加工，它可生產出符合特定幾何形狀的成品。所謂「數位控制」(NC) 是一種透過電腦來控制工具機的技術，這項技術革命性改變了工具機，讓它們變得更加精準，使用上也更有彈性。NC 工具機現在廣泛應用於製造業，但也可應用於其他類型的設備，例如雷射與彎曲機。
以下介紹工具機的一些基本概念：
- 數值控制。NC 是這台機器最重要的單元，因為它控制了整個流程。此外，NC 一定會配備人機介面 (HMI) 來幫助操作人員控制機器。
- 程式設計。工具機最普遍使用的程式設計語言是「G-code」(或稱為「G 碼」，也就是 RS-274)，開發於 1950 年代。
- 參數化程式設計。這在工具機當中用來協助處理生產系統之間的回饋與封閉迴路控制之類的情況。
- 單節執行 (Single Step)。操作人員能檢查程式碼執行後的結果是否達到最佳效果，進而決定是否該手動修改。
- 進給暫停 (Feed Hold)。進給暫停功能主要用來查看複雜功能是否正確執行，。
- 刀具。切削的動作是藉由被加工材料與刀具之間的相對速度來達成，也就是所謂的切削速度或表面速度。
廠商評估
針對每一家被研究的廠商，我們會對其工具機執行一系列相同的資安評估：
- 所謂「工業 4.0 相容」技術是智慧工廠設備用來對外傳輸資訊的一些介面和相關通訊協定，例如將生產資料傳送至中央系統以改善管理或降低成本，此外也方便遠端管理，如此操作人員就不須親臨現場也能變更要執行的程式。
- 我們利用像 Nessus 這類的自動化掃描工具來發掘這些對外暴露的服務是否有潛在的漏洞，包括一些可能造成危險的已知漏洞和組態設定錯誤，不過我們暫時略過這些問題，將焦點擺在領域相關的 CNC 介面攻擊。
- 接著，我們深入分析前面發現的 CNC 相關技術，看看是否存在著被攻擊的風險，並針對 CNC 控制器發動實際攻擊。為此，我們開發了一個攻擊工具，然後搭配廠商提供的專屬 API 來攻擊我們發現的領域相關介面弱點。
- 我們將相關證據蒐集起來，然後通報給廠商，並提出一些防範建議。所有證據都來自於我們對真實世界安裝環境的測試結果，不過我們也使用模擬器來執行一些初步測試，或者當身邊沒有可用的實際環境時，也會用模擬器進行測試。
研究發現
我們測試了Haas、Okuma、Heidenhain 、Fanuc四個重要CNC設備，找出了 18 種不同的攻擊手法 (或變化形)，並將它們分成五大類：入侵、損害、阻斷服務、 挾持，以及竊取資料。
Haas、Okuma 和 Heidenhain 三家的控制器所包含的問題數量大致相同，都是 15 個左右，而 Fanuc 確定可能遭遇的攻擊有 10 個。不幸的是，從我們的研究可以看出該領域缺乏關於資安與隱私權的危機意識，因而造成一些嚴重而迫切的問題。
研究中發現的攻擊類型摘要。
一些自動化方面的功能，例如從遠端設定刀具幾何數值，或經由連網的資源來決定參數化程式中的數值，在製造業越來越普遍。
防範措施
我們發現，四家廠商當中只有兩家支援安全認證。但這兩家也不會預設啟用安全認證，使得設備很容易遭到駭客攻擊。啟用安全認證對於防止工業 4.0 功能遭到濫用至關重要。
資源存取控管系統對於降低攻擊的衝擊很重要，廠商有許多技術都開放讓所有人可以存取控制器的資源，這樣做很危險。正確的作法是採用一套資源控管系統來有限度開放權限。如此有助於確保唯有經過授權的使用者才能存取控制器的資源，防止未經授權的人員存取這些資源。
針對系統整合商與使用者，我們建議採用以下防範措施：
- 具備環境偵測能力的工業入侵防護及偵測 (IPS/IDS) 系統：最近資安廠商的這類產品突然大受歡迎，它們內建了網路引擎可即時擷取工業流程相關的網路流量來偵測攻擊。
- 網路分割：正確的網路架構非常重要，正如我們的研究顯示，所有受測的工具機都暴露了一些可能遭駭客濫用的介面。
- 正確的系統修補：現代化 CNC 工具機都配備完整的作業系統與複雜的軟體，因此難免會含有一些資安漏洞，而這樣的情況也確實發生在我們測試的機器上。
負責任地揭露
我們逐一測試了各家廠商的控制器，並適時通知了相關的廠商，我們第一次通知廠商的時間是在 2021 年 11 月，最後一次是 2022 年 3 月。
截至本文撰寫為止，所有四家廠商都已回覆了我們提出的疑慮，而且大部分廠商都在合理時間內針對我們發現的問題提出了某種程度的解決方案。更重要的是，所有廠商都對我們的研究感到興趣，並且都決定改善其說明文件或接洽其工具機的製造商，希望能為終端使用者提供更安全的解決方案。
通報過程摘要
本文節錄自趨勢科技部落格。