如何提高設(shè)施網(wǎng)絡(luò)安全

James McHale
現(xiàn)代物聯(lián)網(wǎng)和樓宇自動(dòng)化設(shè)備也很快因容易受到注入和內(nèi)存損壞等問題而聞名,因?yàn)椴涣嫉木幋a實(shí)踐使攻擊者能夠繞過其安全功能并完全控制它們。此外,太多的連接設(shè)備仍然帶有默認(rèn)的用戶名和密碼設(shè)置。

640 (1).png

本文來自千家網(wǎng),作者:James McHale。

如果不解決廣泛的建筑特定網(wǎng)絡(luò)安全問題,就不可能實(shí)現(xiàn)托管數(shù)百個(gè)互連設(shè)備的大規(guī)模超連接智能建筑的最終愿景。每個(gè)系統(tǒng)、設(shè)備、路由器、服務(wù)器和網(wǎng)關(guān),包括它們的多個(gè)版本和迭代,都會(huì)給建筑物帶來自己的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。而且,如果沒有嚴(yán)格的分段,對(duì)如此廣泛的漏洞中任何一個(gè)的未經(jīng)授權(quán)的訪問都可能暴露整個(gè)網(wǎng)絡(luò)。建筑物的設(shè)計(jì)并沒有以這種速度發(fā)展,新的智能建筑必須快速了解網(wǎng)絡(luò)安全。

“智能建筑行業(yè)對(duì)其系統(tǒng)所代表的日益擴(kuò)大的攻擊面的理解在很大程度上仍然落后。設(shè)施管理團(tuán)隊(duì)通常仍然缺乏管理網(wǎng)絡(luò)安全所需的IT技能,安全性較差的物聯(lián)網(wǎng)設(shè)備仍然以有吸引力的價(jià)格涌入市場(chǎng),盡管存在網(wǎng)絡(luò)安全問題,但建筑物中的技術(shù)仍在不斷增加。”Memoori最近的一份研究報(bào)告稱。“構(gòu)成智能建筑生態(tài)系統(tǒng)的每個(gè)不同元素都需要采取全面、多學(xué)科的防御方法,以有效減輕網(wǎng)絡(luò)威脅。”

建筑技術(shù)歷來缺乏對(duì)網(wǎng)絡(luò)安全的關(guān)注,這一點(diǎn)最能體現(xiàn)在之前用于建筑自動(dòng)化的開放通信標(biāo)準(zhǔn)的迭代中。BACnet、LonWorks和KNX等公司過去缺乏基本的加密、身份驗(yàn)證或完整性保護(hù)功能,因?yàn)樗鼈兌际亲鳛榉忾]網(wǎng)絡(luò)的一部分運(yùn)行的。當(dāng)然,這種情況現(xiàn)在已經(jīng)通過例如BACnet/SC得到解決。

最近的一項(xiàng)網(wǎng)絡(luò)安全研究指出:“由于許多智能建筑解決方案的生命周期延長,該行業(yè)仍然擁有相當(dāng)大的遺留建筑自動(dòng)化系統(tǒng)和設(shè)備的安裝基礎(chǔ),這些系統(tǒng)和設(shè)備仍然充滿安全缺陷和配置問題。”“遺留系統(tǒng)顯然給建筑運(yùn)營帶來了重大網(wǎng)絡(luò)風(fēng)險(xiǎn),老練的攻擊者意識(shí)到遺留系統(tǒng)造成的安全漏洞,并且越來越積極地利用已知漏洞來破壞運(yùn)營和竊取敏感數(shù)據(jù)。”

現(xiàn)代物聯(lián)網(wǎng)和樓宇自動(dòng)化設(shè)備也很快因容易受到注入和內(nèi)存損壞等問題而聞名,因?yàn)椴涣嫉木幋a實(shí)踐使攻擊者能夠繞過其安全功能并完全控制它們。此外,太多的連接設(shè)備仍然帶有默認(rèn)的用戶名和密碼設(shè)置。然后,用戶也常常無法定期更改密碼、對(duì)多個(gè)系統(tǒng)使用相同的密碼或選擇簡單且易于猜測(cè)的密碼。許多較新的物聯(lián)網(wǎng)設(shè)備還附帶通過未加密協(xié)議進(jìn)行通信的默認(rèn)設(shè)置,從而導(dǎo)致流量嗅探和敏感信息被篡改。

報(bào)告稱:“應(yīng)該注意的是,設(shè)備在互聯(lián)網(wǎng)上被簡單搜索并不一定是負(fù)責(zé)安裝的供應(yīng)商或系統(tǒng)集成商的錯(cuò),最終是建筑員工和企業(yè)It部門的責(zé)任,以確保他們的設(shè)備免受窺探。”。最終,不同建筑系統(tǒng)的聯(lián)網(wǎng)意味著它們的安全性取決于網(wǎng)絡(luò)中最弱的設(shè)備。因此,為了確定現(xiàn)代網(wǎng)絡(luò)化智能建筑中潛在的系統(tǒng)漏洞,有必要全面評(píng)估連接到建筑自動(dòng)化和控制系統(tǒng)的系統(tǒng)、設(shè)備和網(wǎng)絡(luò)的范圍。”

為了對(duì)特定網(wǎng)絡(luò)上的所有設(shè)備進(jìn)行全面的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估,需要對(duì)所有設(shè)備和系統(tǒng)連接進(jìn)行全面審核。然而,通常部署在IT環(huán)境中以促進(jìn)此審核過程的自動(dòng)網(wǎng)絡(luò)掃描工具和技術(shù)并不適合建筑物等OT環(huán)境。由于智能建筑OT設(shè)備和系統(tǒng)通常運(yùn)行在過時(shí)的傳統(tǒng)協(xié)議上,因此它們無法響應(yīng)IT掃描流程所使用的消息協(xié)議類型,而這些協(xié)議會(huì)報(bào)告設(shè)備狀態(tài)、固件等。事實(shí)上,這種掃描方法可能會(huì)對(duì)OT環(huán)境產(chǎn)生積極的破壞。

公開可用的物聯(lián)網(wǎng)設(shè)備搜索引擎,如Shodan、BinaryEdge或Censys,可用于識(shí)別威脅的規(guī)模和暴露的設(shè)備的絕對(duì)數(shù)量。ForeScout Technologies 2019年的一項(xiàng)研究匯總了Shodan和Censys上的搜索數(shù)據(jù),發(fā)現(xiàn)在發(fā)現(xiàn)的22,902臺(tái)設(shè)備中,9,103臺(tái)(39.3%)容易受到零日攻擊,易受攻擊的設(shè)備包括訪問控制和暖通空調(diào)控制器以及協(xié)議網(wǎng)關(guān)。ForeScout的研究發(fā)現(xiàn),對(duì)于連接IP的攝像頭,91.5%的攝像頭容易受到攻擊,這一點(diǎn)令人震驚。檢查安裝在這些搜索引擎上的設(shè)備對(duì)建筑經(jīng)理來說是必須的,但這意味著他們將不得不處理他們發(fā)現(xiàn)的問題。

“在Shodan和其他同類搜索引擎上進(jìn)行搜索不需要網(wǎng)絡(luò)安全知識(shí)或網(wǎng)絡(luò)專業(yè)知識(shí),任何人只要有兩分鐘的空閑時(shí)間,就可以輕松獲得與暴露設(shè)備有關(guān)的大量數(shù)據(jù),包括設(shè)備的IP地址、地理位置(包括緯度和經(jīng)度坐標(biāo))、所有者、服務(wù)端口頭信息、固件詳細(xì)信息和可用的協(xié)議,”網(wǎng)絡(luò)安全報(bào)告解釋道。所有信息都是從公開來源獲得的,這意味著任何有足夠動(dòng)力尋找它的人都可以獲得這些信息。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無評(píng)論