「2018工博會」工業物聯網「後盾」 企業與工廠資安威脅防護策略

作者：DIGITIMES策劃

日前，台積電傳出電腦病毒感染事件，導致部分生產機台與設備宕機，受影響範圍遍及台積電各廠區。

消息一出引發製造業極大震撼，製造業標杆企業，竟然也在資安管理上「栽跟頭」。

更引起各界對工業網際網路資訊安全的高度重視。

製造業借鑑台積電工廠病毒擴散事件

此次事件中，企業調查是「新機台在安裝軟體的過程中操作失誤」，在未完成病毒掃描偵測的作業前，讓新機台連網上線，以致發生WannaCry變種病毒擴散，造成了大規模設備停工，預估損失近1.7億美元。

如果，素來以管理精實著稱的台積電，都會發生生產機台病毒感染事件，顯見在資安防護工作上，即便建立了密不透風、滴水不漏的資安高牆，卻仍然會有百密一疏之處。

對於一般管理不夠嚴謹、資訊防護資源欠缺，或者中小型企業來說，或許就更難以防堵病毒的惡意侵入了。

事實上，愈先進的廠房，使用的設備自動化程度愈高，系統也愈複雜。

而高度自動化的設備，意外停機所遭受的影響與損失也會愈大。

從台積電的案例中，我們不難理解，在物聯網應用強調Machine to Machine（M2M）設備連網、系統高度連動的自動化環境下，若是遭受了病毒或黑客的攻擊，那麼，影響範圍和營運損失，恐怕是企業難以承受之重。

因此，在工廠逐步邁向工業物聯網（IIoT）全面連線生產環境下，企業對資訊防護的作為中，已不單純只是資訊人員的工作。

從生產管理到資訊管理、甚至行銷、財務、總務等所有部門，從上到下的全體員工，都必須透過管理制度、觀念學習、制度規範等等手段，推動IIoT資訊安全的正確觀念，規範SOP行動標準，以共同抵禦來自四面八方的資安漏洞和可能威脅。

工業物聯網時代 製造業提築資安防火牆

PC時代，電腦病毒的出現，多是憤世嫉俗的玩家用來證明自己的破壞能力；隨著Internet的出現，有心人士將黑客當成賺錢工具；到了物聯網時代，企業及工廠的生產製造設備陸續連上雲端，物聯網設備目前的資安防護技術尚未完備，眾多的設備、閘道連結節點又可能存在許多未發現的漏洞，加上製造業相對缺乏資安保護意識與措施，企業和工廠仿佛就像一台忘了設定安全機制的提款機，隨時可能被黑客索求。

Gartner預測，到2020年時，全球使用中的連網物件數量將達到204億個，硬體總支出金額預計將達3兆美元。

GSMA智庫 (GSMA Intelligence) 預估，2025年全球的工業物聯網設備連接數量，將達到138億個，而工業物聯網在工廠的應用產值，預計可達3.7兆美元，而大中華地區的連接數約為41億個，約占全球工業市場的三分之一。

對黑客而言，可見有多大的「資安商機」在其中。

目前許多導入工業物聯網的公司並未落實資安防護策略，主要是因為營運科技（Operation Technology；OT）與資訊科技（Information Technology；IT）的連結過程之間，因為二者標準協定的落差，造成整合上的困難，而這也是影響工廠數字轉型的主要因素。

OT與IT原本各司其職，而工業物聯網則促成了OT與IT環境走向融合互通，但因二者的本質、架構、協調標準並不相同，因此在融合過程中，現有針對IT系統設計的資安產品，已無法為工業物聯網的資安需求提供有效的防護。

而資安問題會成為製造業的高度風險，除了企業不了解工業物聯網潛藏威脅的嚴重性，以及OT與IT整合系統的防護技術尚不成熟外，還有第三個原因，就是缺乏資安執行計劃。

傳統工廠中的一些連網設備，例如機器手臂，過去少有資安事件問題發生；而機器手臂的核心作業系統，很多是使用模組化的開源程式碼（Open Source）進行開發，模塊設計時並未考量資安防護，當跟其他裝置連結時，溝通介面就可能產生安全漏洞。

據統計預測，企業在物聯網資安投資部分，隨著威脅的不斷升級，全球資安市場規模未來有上看千億美元的潛力。

Gartner最新統計，2018年全球在資訊安全產品及服務支出的費用將超過1,140億美元，較2017年增加12.4%；預計2019年市場將持續成長8.7%，達1,240億美元。

IIOT入侵管道的知己知彼

在IoT時代，萬物聯網背後的意義就是，愈來愈多裝置都會具備IP位置，都擁有連網能力，以辦公室為例，舉凡個人電腦、智慧型手機、網路印表機、網路攝像頭、網路電話、印表機、乃至照明系統、打卡鐘…，皆可能成為黑客入侵的入口，進一步擴散病毒。

而在工廠生產線部分，像是自動控制工具機、工業網路設備、數據採集分析（SCADA）系統、物聯網感測端點／傳輸節點…也都可能遭受侵入。

此外，在員工個人的網路安全行為部份，像是個人資通訊設備的使用（包括手機、筆電和US盤等）、網路釣魚、DDoS攻擊、Wi-Fi釣魚式攻擊，也是黑客常用的攻擊手法。

舉例來說，發生在封閉場域環境的台積電病毒事件，發生的主因是因為新機台安裝軟體的過程中，未做好防毒隔離措施，因此可能經由U盤導致病毒感染。

2016年，NweWorldHacker黑客組織使用Mirai病毒感染了美國東部10萬部監控攝影機，對DNS服務供應商Dyn發動DDoS攻擊，讓許多網站停止服務，影響了近半個美國Internet。

2015年發生的烏克蘭大停電，起因是黑客對電廠員工進行網路釣魚，取得員工登入權，從遠端登入電廠系統後截斷電力，且更改密碼、關閉電話系統，讓員工無法登入重啟系統、也無法互相聯絡。

2014年發生在德國鋼鐵廠的資安事件中，黑客駭入鋼鐵廠的工作網路中，取得鼓風爐控制權，造成巨大的損失；2010年伊朗核電廠發生Stuxnet蠕蟲感染事件，黑客藉由視窗作業系統的Ink捷徑檔嵌入惡意程式，對西門子的自動化生產控制系統進行攻擊，所幸未對當時即將上線運作的核能發電系統造成影響。

黑客攻擊企業、工廠的案例不勝枚舉，因此企業除了必須注意網路防護，重視實體裝置與內部設備行為的防護，還要作好員工上網的觀念教育與行為規範，儘速建立從內到外的完整資安防禦網。

此外，設備製造商、基礎設施供應商亦應尋藉助專業資安業者的協助，共同定義資安威脅的屬性與來源，強化網路架構設計，推出符合物聯網環境的防火牆解決方案。

經由多方的共同努力和重視，有效降低工業物聯網的資安風險。

鞏固工業物聯網資安 企業制勝之道

推動工業物聯網建制的關鍵之一，就是製造系統與資訊系統要做到完美連接，因此在資安策略的規划上，不僅是資訊部門的工作，必須由OT、IT相關人員協力合作，重新建立物聯網架構的資安政策。

對於製造業來說，工廠內的生產製造系統就是企業營運命脈，對高度自動化、高度連動的物聯網生產線來說，任何設備一旦無預警故障停機，不止造成整條生產線的停擺，也會造成原物料、半成品的損失，影響到訂單延遲出貨的賠償問題、公司商譽損失…等問題。

OT與IT在運作上本來就有明顯差異，各自需要不同的資安處理原則；因此，在推動工業物聯網資安時，不能忽視以製造系統穩定為前提，以及製造部門的管理特性和作業需求。

製造業若要有效推動工業物聯網的資安建制，大致可以注意下列四個重點：

首先，要做好設備資產的盤點工作。

盤點項目在於機台廠牌、型號、韌體、軟體版本型號等等的列表統計，盤點重點則應針對工業控制系統、數據採集與分析系統、資料庫結構等，分析出可能的弱點或漏洞，進行改善。

其次，在完成資產盤點之後，應配合標準生產SOP，檢視生產流程中所有可能遭受攻擊的弱點，預測黑客或病毒的攻擊流程和擴散方式，完成風險評估和威脅場景，建立資安威脅模型，然後進行漏洞掃描、滲透測試、模擬攻擊、完成系統安全性驗證工作、危機處理演練。

第三，病毒技術與病毒變種總是「日新月異」，黑客攻擊手法令人防不勝防，因此在完成資產盤點、資安威脅模型後，也要隨時注意系統安全更新，調整資安威脅模型、並且作好人員的資安觀念訓練及安全作業的SOP、權限管理。

因為，唯有隨時保持資安意識與能力的與時俱進，才能防患於未然。

第四，在資安防護的工作上，莫存自掃門前雪的心態，企業應與各方資安單位保持互動，掌握專業領域最新的物聯網資安問題與技術，分享學習資安情報與策略作法，例如Critical Intelligence、ICSCERT、Infragard、IoTSF、ISAC、OWASP、SCADAHacker…等組織。

各地積極研擬物聯網資安舉措

隨著物聯網應用的普及，病毒與黑客攻擊的案件頻傳，資安廠商積極布局物聯網資安服務外，產品與設備製造商也開始將資安防護列入技術研發重點。

不止如此，各國與國際組織也正視物聯網資安問題，針對個資泄露、殭屍攻擊等問題，推動立法規範。

2017年美國發布「強化聯邦網路與關鍵基礎設施網路安全」命令，要求公私企業及政府單位必須分享黑客攻擊情資，8月再提出物聯網安全強化法案，規定機關單位採購物聯網設備時，必須符合網路安全操作標準安全需求。

歐盟組織在2017年則提出了聯網器材後門加密禁令，要求傳輸端點對點兩端都提供加密程序，並且禁止賣給終端用戶的聯網器材「偷開後門」。

中國於2017年3月，中國聯通聯合眾多企業與研究機構，在ITU-T SG20訂出全球第一個物聯網區塊鏈（Blockchain of Things；BOT）標準，定義去中心化的可信賴物聯網服務平台框架，用區塊鏈技術為物聯網資安問題提出一道解方。

台灣地區也在2017年年底，公告「IPCAM資安產業標準及檢測規範」正式版，推動網路攝影機的安全驗證工作；並在2018年中發布IoT設備資安驗證標章制度，列為資安採購優先原則。

各地IoT產品規範紛紛上路，在法規要求下，未來廠商生產的設備需具備資安設計。

物聯網市場正從功能優先進入實用導向，用戶對資訊安全設計重視度，也將進一步推進到產業標準規範，廠商也更積極重視設備的資安保護設計，及早建構其產品優勢。