1996 年經(jīng)典動作冒險電影《碟中諜》中，阿湯哥飾演的伊森·亨特 (Ethan Hunt) 黑入目標(biāo)建筑暖通空調(diào) (HVAC) 系統(tǒng)，破壞其安全控制措施以順利執(zhí)行任務(wù)。如今，電影中充滿未來感的橋段已成現(xiàn)實。
在最近的一份咨詢報告中，美國國土安全部 (DHS) 對某流行智能樓宇自動化系統(tǒng)中的漏洞給出了最高嚴(yán)重度評分。該系統(tǒng)接入網(wǎng)絡(luò)并通過 Web 界面控制空調(diào)、暖氣、門鎖等。攻擊者可利用該漏洞通過非法后門腳本獲得完整系統(tǒng)訪問權(quán)限，并在易受攻擊設(shè)備上以最高權(quán)限執(zhí)行命令。
由于每個樓宇管理系統(tǒng) (BMS) 都在線，可通過互聯(lián)網(wǎng)訪問并破解這些系統(tǒng)以破壞智能樓宇運營。不可能已變?yōu)榭赡堋?/p>
對關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊正變得越來越普遍。事實上，《紐約時報》最近報道稱，美國正加大對俄羅斯電網(wǎng)的網(wǎng)絡(luò)攻擊力度。這個新戰(zhàn)場的主角包括民族國家、恐怖分子和網(wǎng)絡(luò)罪犯。幸運的是，有助于緩解無意疏忽、惡意內(nèi)部人和員工人為失誤的很多控制措施，也可以解決來自黑客和破壞者的外部威脅。
最近的 DHS 咨詢報告表明，智能樓宇中的 BMS 無法抵御這些威脅。由于與硬連線解決方案、云解決方案和第三方應(yīng)用程序集成并互連，這些系統(tǒng)的攻擊界面很大，且有越來越大的趨勢。
與此同時，隨著越來越多的樓宇變得 “智能”，越來越多的基礎(chǔ)設(shè)施參與融合，以及工業(yè)物聯(lián)網(wǎng) (IIoT) 成為 BMS 事實上的標(biāo)準(zhǔn)，風(fēng)險預(yù)計將呈幾何級上升。事實上，市場研究公司 Frost＆Sullivan 指稱，BMS 市場 2019 年創(chuàng)造了 58 億美元，預(yù)計到 2022 年其復(fù)合年增長率 (CAGR) 可達(dá) 4.7％。
盡管 BMS 在簡化流程和降低成本方面可以帶來巨大的好處，但若不將安全內(nèi)化為其部署和管理的一部分，則也有可能帶來危害。例如關(guān)閉 HVAC 系統(tǒng)就很有可能導(dǎo)致數(shù)據(jù)中心迅速升溫，燒毀硬件，對業(yè)務(wù)造成廣泛而永久的損害。
這些系統(tǒng)有多脆弱？DHS 的咨詢報告提醒稱，攻擊者可以通過 “非法后門腳本” 獲得對 BMS 的 “完整系統(tǒng)訪問權(quán)限”，可致攻擊者能以最高權(quán)限在脆弱設(shè)備上執(zhí)行命令。該通報還指出，此漏洞無需太高技術(shù)水平即可遠(yuǎn)程利用，漏洞嚴(yán)重性評分為 10.0——行業(yè)標(biāo)準(zhǔn)通用漏洞評分系統(tǒng)最高評分。通報寫道，利用這個漏洞可以 “一鍵鎖定整棟樓宇”。
電影橋段成為現(xiàn)實，凸顯了擁有健壯 BMS 安全系統(tǒng)的重要性，能在網(wǎng)絡(luò)級和設(shè)備級監(jiān)測威脅已成 BMS 系統(tǒng)必備功能。IT 運營的安全態(tài)勢一貫如此，但相同的方法尚未應(yīng)用到樓宇運營等關(guān)鍵基礎(chǔ)設(shè)施運營上。
正如我們從挪威鋁業(yè)巨頭 Norsk Hydro 和世界最大特種化學(xué)品及材料公司 Hexion & Momentive 最近遭遇的勒索軟件攻擊中看到的那樣，IT 與 OT 的融合需要這兩個領(lǐng)域間更緊密的合作，令兩個基礎(chǔ)架構(gòu)上的可見性、安全性與控制措施均達(dá)到必要水平。由于 IT 工具與 OT 不直接互通，只有通過更高水平的安全集成、協(xié)作與情報共享才能識別源于任一環(huán)境并在兩者間橫向移動的威脅。
只要工業(yè)網(wǎng)絡(luò)安全融入 BMS 基礎(chǔ)設(shè)施并與 IT 安全工具集成，解決和修復(fù)漏洞將更快、更容易、成本更低。同時，安全事件導(dǎo)致樓宇運營系統(tǒng)崩潰的可能性將變得 “不那么可能”。
