https://www.informationsecurity.com.tw/seminar/2024_Cloudflare/
https://www.informationsecurity.com.tw/seminar/2024_Cloudflare/

觀點

OT資安實例:大型工業控制設備聯網的網路威脅及解方

2024 / 01 / 24
投稿文 / 四零四科技 (Moxa)
OT資安實例:大型工業控制設備聯網的網路威脅及解方
過去兩年全球各大行業遭受網路攻擊頻繁,而製造業更成為遭受網路攻擊次數最多的行業之一,其中原因主要是工業控制系統(ICS)逐步連上了網際網路,讓各種工業級場域的營運技術(OT)和資訊技術(IT)進入多網融合的各種應用,使得以往封閉式的OT基礎設施需要面對來自網路世界的安全威脅。然而,現代製造業想要保持競爭力,就不能再與外界隔絕,而是要運用連網的種種優勢。
 
本文將從網路安全的角度探討兩個智慧製造應用場景: (1)即時監控設備互連的大規模設施及(2)整合多個網路以實現最佳化管理,所面臨的關鍵挑戰,以及提供如何保護這些應用場景免受網路威脅的建議。

針對智慧製造系統而來的網路威脅

雖然工業4.0的興起促使OT和IT基礎設施的連結和多網融合,藉由智慧製造實現更高的生產效率和創造更大的價值,但也使過去一直處於封閉環境運作的OT系統開始承受各種網路攻擊的風險,在工業領域的網路威脅數量持續增加。再者,製造業對停機時間容忍度極低的特性,更讓製造業成為熱門的網路攻擊目標。
 
針對成為網路攻擊目標的工業應用深入研究後,可以發現一些共同的挑戰及需要迫切改進的範疇。讓我們用兩個實際的工業應用案例探究網路威脅如何影響相關運作,以及在網路攻擊事件中如何提升其防禦力和減低風險。
 
案例1:大規模設備的即時監控及控制系統應用
在大規模工業網路中使用即時監控和控制的相關應用,會越來越容易受到網路威脅。這些應用通常需要大規模部署許多連網設備,以利從現場收集、傳送和分析大量數據並將其傳送到控制中心,因此,必須關注以下情境中的安全風險:
  1. 生產場域內有數百個可編程邏輯控制器(PLC)和感測器需要連接起來,以利收集有關製造設備狀況和優化能源使用的相關數據。這些設備每個都是一個節點,可能會成為網路攻擊的目標,例如攻擊可以透過未經授權的訪問或惡意軟體入侵。
     
  2. 當這些設備連結的網路逐步擴張,如果沒有將網路作妥善的分割和隔離,只要有一個節點受到攻擊,整個網路就可能受到威脅。 
在部署這些應用時,操作人員應該考慮同時在系統網路中採用縱深防禦的機制,包括選擇安全的設備、構建堅固的網路防禦層,並需要識別網路狀態,以確保網路的安全性和可用性。選擇通過國際安全認證或基於國際標準(如IEC 62443和NERC CIP)設計具有安全功能的設備,則可保障新增網路節點的安全基礎。網路區段分割和威脅預防則可提供另一層保護,以防突如其來的入侵和避免威脅蔓延到其他網路節點。最後必須一提的是,若要了解網路狀態並能即時回應任何問題或異常情況,則需要持續監控網路節點的安全狀態。
 
案例2:將諸多工業設備整合至網路中以優化管理
另一個在製造場域容易受到網路安全威脅的應用,是將諸多的工業設備連結並透過網路優化管理。在傳統上的做法是,工業工程師會建立一個封閉的網路環境,並為機器分配IP位址;然而,要能遠端控制和集中管理工業設備,卻是需要將工業網路連上網際網路的。
 
當這些一直在封閉環境運作的設備連接到集中式管理系統,並由於配置錯誤而導致不同設備具有重複的IP位址時,若情況嚴重還可能會造成網路停擺。然而,如果為所有設備重新配置IP位址,不僅整體作業耗時,而且容易產生安全漏洞。此外,當它們連接到網際網路時,會面臨各種網路威脅,特別是可預測的IP位址,很快就會成為網路攻擊目標。
 
要解決這類透過網路將大規模製造場域眾多機器集中控管的問題,必須簡化管理模式和增強其安全性。例如,系統整合商可以利用網路位址轉換(NAT)技術來保護IP位址,不但讓IP位址免受窺探,更可簡化設備和系統的整合。相關的硬體解決方案已有提供入侵偵測與防禦系統,可以自動阻止來自未經授權IP位址的數據。綜合使用這些工具,可以為連結大量設備的網路提供一個堅實的保護層。

跨越OT網路安全障礙,實現智慧數位新未來

當製造業邁向數位轉型,必須因應OT和IT多網融合而不斷精進網路安全機制,以保護連網設備免於新興的網路威脅。定期監控網路基礎設施並讓防護機制保持在最新狀態,是安全策略中重要的環節,不但可保護連結的系統,更能夠降低成本高昂的停機風險。然而,OT工程師可能對最新IT專業的培訓或經驗不足,因而難以同時保持系統的智慧功能和安全性。為了抵禦設備連網後帶來的網路威脅,系統整合商和工業營運商可以部署與時俱進的工業網路解決方案,並採用針對OT網路設計的縱深防禦方法,則可增進網路安全的關鍵機制。

相關文章:三個心法檢視網路安全,部署 OT 資安少走冤枉路

本文為投稿文章,不代表社方立場。