水和能源關鍵基礎設施工業物聯網在全球范圍內面臨重大安全風險
責編：gltian ｜2018-11-01 13:54:15隨著工業物聯網（IIoT）技術的不斷發展，水和能源兩個至關重要的關鍵基礎設施系統向著更加互聯的方向發展，在為人們的生活和企業的運轉提供更高效可靠的資源流的同時，系統中的漏洞也不斷暴露出來，面臨著巨大的網絡安全風險。安全問題一旦發生，將對生產和生活造成重大破壞。
10月30日，趨勢科技發布題為“暴露而脆弱的關鍵基礎設施：水和能源工業”的報告，披露了全球范圍內兩大關鍵基礎設施工業物聯網面臨的網絡安全風險。報告中指出，風險主要來自工業物聯網的監控和數據采集系統（SCADA）人機接口（HMI）。
研究人員使用開源情報技術（OSINT），通過互聯網掃描（主要通過Shodan）和物理位置映射，發現許多中小型企業的人機接口直接暴露于網絡，易受攻擊。這說明網絡安全對每個關鍵基礎設施系統以及供應鏈的每個層面都極為重要。
在水處理領域，在不同水相關系統的監測和控制接口發現了暴露的HMI，包括水暖，地熱，抽水，濾水，海水反滲透和滅菌等領域，這一威脅遍布世界各地。
在能源領域，威脅發生在多個子領域，包括石油、天然氣、沼氣和電力領域。除中東地區的單個鉆井平臺外，石油和天然氣行業大多數暴露的HMI來自美國。這些HMI允許攻擊者查看實時生產水平等信息，甚至是關機和重置選項等關鍵控制。
暴露的沼氣設備主要來自德、法、意、希臘等國。這些暴露的HMI是頂級菜單，帶有泵控制、空氣燃氣混合器，循環，參數調整等子菜單。
暴露的電力系統主要來自德、意、法、奧、西、瑞典、捷克、韓國等國，包括太陽能、風能和水力發電廠等領域的系統， 暴露的內容包括監測界面、控制界面、甚至是用戶數據庫。
這些發現意味著攻擊者可以監視和使用來自這些系統的信息。此外，大多數暴露的HMI都具有關鍵控制，如溫度控制和關閉控制。這意味著，通過訪問這些HMI，攻擊者最終可以直接控制這些系統和設備。
能源和水資源的重要性毋庸置疑，一旦針對上述暴露和脆弱系統的攻擊發生，可能會產生深遠的影響。一次攻擊可能會使供應鏈中的故障進一步擴散，或者推動攻擊者轉向更大的目標。以下是三種可能性：
（1）同一關鍵基礎設施領域發生供應和服務短缺。例如，如果水處理廠或具有易受攻擊的頂級域名菜單的發電廠被篡改，它將直接影響這些基礎設施為其各自區域提供的總供應量。較小的公司同時也為大公司提供資源，因此，意外的供應短缺可能會妨礙這些大公司的運營。
（2）導致其他關鍵基礎設施領域供應中斷。 不同關鍵基礎設施領域之間存在的相互依賴性進一步擴展了一個受損系統對其他類型資源供應的影響。例如，水凈化廠中未被注意到的篡改可能對食品和健康行業產生連鎖效應。同樣，石油和天然氣的突然短缺可能直接影響運輸業。
（3）中小型企業成為攻擊大型企業的試驗田。盡管較大的公司由于具備更高的網絡安全意識，在互聯網上暴露設備的可能性較小，但它們與小公司在操作和設備上的相似性使得后者成為攻擊者測試和學習的場地。
對于這兩個關鍵基礎領域來說，掌握理論、抵御上述威脅是一項重要任務。暴露和脆弱的人機界面的存在提醒了中小型企業，對整體安全而言，為整個供應鏈做出貢獻、從整個供應鏈中受益的每個層面都同等重要。對于大型組織而言，確保第三方供應商同等安全是必要的，因為安全思維應跳出被公司利潤約束的范圍。