臺積電“想哭” 病毒致損失17.6億元 沒有內鬼和黑客？
責編：gltian ｜2018-08-09 10:57:02占有全球芯片代工業市場高達56%的臺積電（TSMC），上周日在其官網發布聲明，向外界正式公布其在8月3日傍晚受電腦病毒影響致生產線停擺一事，及其影響的初步判定；而在6日晚的記者會上，臺積電再次就該事做出說明，并確認之前第三季營收減少約3%（約17.684億元），毛利率影響1%的初步損失判斷。
臺積電從8月3日臺北、中、南三廠區生產線先后停擺，到8月6日下午全部恢復，這三天不到的時間里，發生了什么？這起針對工業環境的安全事件，給我們帶來哪些警示？安全牛記者就此采訪了360工業互聯網安全事業部副總經理李航。
WannaCry變種致全生產線停擺 “人為失誤”損失達17.6億元
據澎湃新聞等新聞機構報道，受WannaCry變種影響，8月3日傍晚，臺積電12英寸晶圓廠和運營總部生產線全數停擺。幾小時內，臺積電位于臺中重科學園區的Feb 15廠和臺南科學園區的Feb 14廠同樣停產。直到8月6日下午，生產線才全部恢復。這種生產設備和檢測設備全線中招的情況，可謂前所未有。
臺積電總裁魏哲家在8月6日的記者會上表示，此次涉事病毒是WannaCry的變種，異常情況包括宕機或重復開機，但生產制造資料、客戶資料等重要信息，都沒有受到該病毒的影響。
臺積電總裁魏哲家
對于發生感染的原因，魏哲家強調，事件的起因是人為失誤，沒有內鬼和黑客的問題。
此次事件發生的原因，魏哲家認為是新機臺在軟件安裝過程中出現操作失誤，沒有進行隔離、確認沒有病毒，就連接了內部網絡，才導致機臺設備里的病毒快速傳播，并感染所有生產線。
我不認為有人定制病毒針對臺積電，這里面沒有黑客問題，我也不認為有內鬼。臺積電的每一項工作都很嚴謹，裝的機臺幾萬臺，第一次發生這樣的事件，（我）也感到驚訝和震撼。人不可能永遠不犯錯，之前的安全流程都是人為來操作，未來會采用系統來自動偵測。沒有做好（網絡）安全的防范處理前，是不能接入內部網絡的。
對于上游，新機臺的供應商，也是此次的“禍因”，魏哲家表示暫時不會對外公開新機臺的供應商，“尋求賠償”不在臺積電的計劃之內；對于下游，包括蘋果、高通、AMD、英偉達、華為海思等在內，全球465個依賴臺積電前沿的制造工藝打造先進芯片的客戶，臺積電表示，部分客戶會延遲（晶圓）交貨，但確定第四季度會全速趕回來，把對客戶的影響降至最低。
客戶對我們很信任，目前還沒有提到賠償問題。
偶然中的必然 臺積電事件的三點警示
對于此次事件的發生，360工業互聯安全事業部副總經理李航表示，這是典型的供應鏈安全事件，更是典型的工控安全問題。缺乏持續性安全維護的工業環境，類似事件的發生，即使魏哲家已經“排除”了黑客攻擊的情況，但這也是偶然中的必然。
工業環境中，帶‘病’生態產是常態，重要的是生產的可靠性和連續性，對這兩點的要求是非常高的。類似免疫系統，雖然人體內可以有病毒和細菌，也一定會有，但也要有發現這些異常，以及像白細胞一樣抑制其蔓延的機制和能力。這就要求安全體系和生產流程，要能深度的結合。
從魏哲家6日的發言中不難看出，有兩點值得注意：
一是此次事件造成的損失，不僅局限在身產線生產原料和設備的損失（已經達到17.6億元），雖然魏哲家口中其客戶目前還沒有因還未到來的“晶圓出貨延遲”向臺積電索賠，但是，客戶信任的損失，可能會成為臺積電長期發展的隱患；
二是新機臺感染內部網絡后，蔓延和擴散需要時間（雖然很短），但是，臺積電及其安全供應商，并沒能及時發現并阻止。
特別對于第二點，李航向工業客戶給出如下三條建議：
1. 注重內部網絡資產的識別
資產的識別，問題資產的發現，都是動態的，也是一切的基礎，需要建立全方位的資產檢測能力。
2. 重視事件響應及預案演練
這次從出現“中毒”的跡象，到蔓延三個廠區，雖然僅有幾個小時，但明顯工廠和安全供應商在事件響應和應急預案的演練上，重視程度不足。工業現場比較特殊，從事件發生-意識到嚴重性-溝通-做出響應動作，很多情況需要應急團隊到現場做出判斷，這無疑會極大程度拉伸響應時間。要想最大程度壓縮這個時間窗，需要規律性的演練來提供支持。它提升不只是應急團隊，還包括監測和負責操作的現場工人響應能力和意識。
3. 事后溯源暴露真正“病灶”
臺積電事件的禍因，表面來看是新機臺誤染WannaCry變種，但實情應不僅如此?；謴蜕a是第一步，但之后更為嚴謹的資產排查，對病毒入侵和蔓延的溯源，也是非常要必要的。找出安全的薄弱點，可能是技術上，可能是管理上（比如這次的人為失誤，說法就很模糊），甚至可能是出自安全供應商的，明確后才能進行補足。同時，還應做好定期的安全排查和評估，可以是自檢，也可以是第三方。
工業環境目前的OT架構，是天生缺乏安全性的。但要想切實推進工控安全，又是非常困難的；僅技術層面，就需要工藝流程、生產控制和網絡安全三方的配合。雖然每個客戶對安全有效性的成本投入都有自己的判斷，但是，只有加強體系化安全能力的建設，全方位提升短板，才能讓這個‘不容有失’的木桶更難被攻破。