您正在使用IE低版浏览器,为了您的雷峰网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
政企安全 正文
发私信给李勤
发送

0

17000台工业主机宕机,让他开始调查“工业相亲对象”黑历史

本文作者:李勤 2019-03-06 17:34
导语:“我有点担心,大家知道后会有勒索软件特别有目的地搞工业勒索,今年已经有苗头了。”

在 360 企业安全去年处理的 100 多起大型的工业企业安全案例里,因为工业勒索导致生产受到影响甚至停产的大厂多达 30 多个,最惨的一个厂家停产了 21 天。

然而,这些勒索软件都不是被人故意种过去的,纯属误伤。

但这也许是一个坏消息。

“我有点担心,大家知道后会有勒索软件特别有目的地搞工业勒索,今年已经有苗头了。”360企业安全集团副总裁左英男对雷锋网宅客频道(微信ID:letshome)说。

17000台工业主机宕机,让他开始调查“工业相亲对象”黑历史

【左英男】

躺枪与巨额误伤费

这是一家知名的汽车制造企业,业务涉及汽车制造、电池生产、电路配件等不同生产线。这家汽车制造商的惨案发生在 2017 年年底,由于惨案已经发生,安全人员能做的就是一台一台恢复主机。

难点在于,这个工厂里有很多不同的工业软件,还有十几种不同的工业协议,以及各种工业操作系统。在这 17000 多台工业主机中,Window 7 Server 操作系统占了 50% 以上,排第二位是 Windows XP。

微软中国早在 2014 年 4 月 8 日宣布停止对 Windows XP 的支持。当然,对于付费的政企用户,他们还是可以给予定期支持的。

不过,这对工业生产环境而言,并没有什么用。

工业互联生产环境,牵一发动全身,更新慢,有时甚至为了生产环境稳定,并不会更新。协议、工业软件、操作系统十分复杂,加上自身适配较难,在非停产实施的环境下,安全人员花了整整一年,才把这家汽车制造企业所有的工业主机加上了主机防护。

有意思的是,这事本来和这个汽车制造企业没有半毛钱关系,谁能想到罪魁祸首是 2017 年 5 月 12 号爆发的永恒之蓝勒索病毒的变种。

在人们的印象中,都快两年了,这货怎么还没狗带?很简单,两个原因:

第一,变种横行;

第二,有些系统没有及时打上补丁,尤其是老旧的工控主机。

遭殃的不仅是这家汽车制造商,去年 8 月,台积电位于台湾新竹科学园区的 12 英寸晶圆厂和营运总部,突然传出电脑遭勒索病毒入侵且生产线全数停摆的消息。随后位于台中科学园区的晶圆厂、龙潭封测厂,以及台南科学园区的晶圆厂也中招,台积电在台湾北、中、南的三处重要生产基地均因病毒入侵而导致生产线停摆。

即使到了今年 1 月,国内一家著名的芯片生产线依然中招,它踩的坑叫做 Wanna Miner,就是利用永恒之蓝的漏洞挖矿。

17000台工业主机宕机,让他开始调查“工业相亲对象”黑历史

一个工业主机本身计算资源量就有限,承担着 24 小时不停机的工业控制运行,还要被耗费里面大量的资源挖矿,整个生产系统变得极其不稳定,系统开始出问题了……但是,永恒之蓝勒索病毒刚开始并非针对工业场景。也就是说,只是因为工业用的某些关键设备接入了互联网,然后不知不觉被感染了。

因此,左英男将之称为“误伤”和“躺枪”:“工厂躺枪,这个问题就严重了,你家里有电脑,装了一个挖矿软件,不就占点资源,慢点无所谓,所以你觉得没啥关系,但是工业现场的主机不行,我们曾见过最老的一台工业主机,只有 250 兆内存,硬盘 4 个G。在这么老旧的系统环境下,要是挖个矿,整个崩溃,因为控制逻辑没有了,接着整个生产线停掉,这叫误伤。”

这样的“误伤”给工厂造成了巨大的损失,可能会给攻击者“发财致富”提供新思路——专门针对工业主机开展勒索攻击,随随便便要个100万赎金,不然工厂将因停产、关键数据加密等遭受更多的损失。

在一些新闻报道中,台积电因停摆三天损失超过了 5 亿美元。


冰冷工业“铜墙铁壁”瓦解

对抗思路早就有了。

左英男认为,全员身份化这种2007年就提出的理念对于工业互联网的安全架构而言,可以解决新问题。

区别于传统互联网的边界,工业互联网的“铜墙铁壁”已经因为不再封闭而全面瓦解:因为信息的共享需求,除了自己的员工,外有外包商、合作伙伴;除了人,还有各种各样的工业互联网设备。多元的设备、平台、业务让原来传统的数据中心变成了虚拟的数据中心,很多数据资产被放在了云上,工业企业不再有100% 的控制权。

2018 年,左英男所在的 360 企业安全对外提出了针对工业互联网的零信任架构,它的逻辑就是——我在没有完全确认的情况下,我不应该相信内部和外部任何设备甚至人,我要给他们建立一个身份标识。

这一思路脱胎于以前谷歌针对企业内部提出的零信任架构。

在工业场景下,现阶段遇到的最明确的场景就是工业物联网设备的接入。比如,以前电表不会有智能化网络的概念,就是经由电线连接,现在很多电表却是由“一根网线”连接。这意味着,所有的电表将暴露在攻击者的视野中,他们多了无数条可能切入的入口。

如何确保智能电表不是攻击者伪装攻击的一台计算机?

“你要做确认、验证、持续的验证,度量它的风险。因为电表可以访问后端业务系统,采集、交互数据,是一个非常稳定的模型,你发现有异常,突然出来一个WannaMiner这样的协议,那肯定有问题,所以也是基于行为的方式发现现有问题,就及时对它做出动态的调整,这就是零信任架构核心的理念。”左英男对雷锋网说。


查行为:堪比调查相亲对象黑历史

查出攻击者经历了“三代”过程。

17000台工业主机宕机,让他开始调查“工业相亲对象”黑历史

第一代技术属于“查黑”。从 1986 年到 2000 年,病毒种类比较少,每年几百个,传播速度比较慢,只要病毒一出来,研究它的特征,提取后放在黑名单里,只要在黑名单里,肯定是坏人,这是查黑的技术。

从 2000 年到 2010 年,互联网蓬勃发展,病毒也出现两个特征,第一,传播速度非常快,过去一个病毒可能在几周,甚至几个月里传播量也不会太大。第二,在互联网时代,病毒有自己的获取经济利益的模式,病毒的样本变异非常快,每天面对的可能是百万级的病毒样本,再把病毒一个个搞出来查杀,显然不可行。

黑名单变得庞大无比,变得不可运行,所以就出现了第二代白名单技术——不去管坏的,把可以信任的程序添加到名单,只要在名单,就允许运行,不在名单里,就彻底不让它运行。

在工业场景下,白名单技术大有用武之地。在一台工业主机上,运行的工业软件非常有限,仅是工业软件在控制传感器运行,数量很有限,只要把设置白名单,其他任何程序进程都不允许运行,这样就能有效避免病毒和恶意代码攻击。

2015 年,攻击者进化了。他们开始利用可信的程序,甚至是 Windows 操作系统的进程执行恶意操作,简直就是“披着羊皮的狼”,绕过了白名单的控制机制。

于是,第三代恶意代码防范技术来了。这代技术的核心堪比筛选相亲对象——任何一个程序在终端上的所有行为都要被记录且比对,它开展了哪些进程,打开了哪些文件,调用了什么函数,做了哪些操作,包括在网络上的行为,连接了哪些网络端口,使用什么协议,发送什么样的数据。

雷锋网了解到,因为其功能是相对确定的,行为也是相对确定的,通过数据采集与分析建模,能够建立起软件程序的行为极限。一旦发现异常行为,就要开始告警,并引入人工分析,有效地清理发生异常行为的程序,这就是查询技术的源头。

第三代查行为技术十分依赖大数据、数据建模和机器学习。左英男认为,优秀的查行为技术要通过长期的数据采集与大量数据采集建模,不断优化模型,建模建得越准,异常操作就越能准确发现。另外,查行为技术还要配合长期运营和优化。

左英男很有信心。他想,既然在非工业互联的场景里,数据可以记录人们长期用鼠标、摸手机的习惯,最后甚至可以实现不需要用户输入口令就能打开设备,那么在这些技术创新之下,冷冰冰的巨型工业设备,也许也能敞开温暖的怀抱,知道你就是你。

雷峰网原创文章,未经授权禁止转载。详情见转载须知

分享:
相关文章

编辑、作者

跟踪互联网安全、黑客、极客。微信:qinqin0511。
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说