本文來自千家網(wǎng)，作者：James McHale。
如果不解決廣泛的建筑特定網(wǎng)絡(luò)安全問題，就不可能實(shí)現(xiàn)托管數(shù)百個(gè)互連設(shè)備的大規(guī)模超連接智能建筑的最終愿景。每個(gè)系統(tǒng)、設(shè)備、路由器、服務(wù)器和網(wǎng)關(guān)，包括它們的多個(gè)版本和迭代，都會(huì)給建筑物帶來自己的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。而且，如果沒有嚴(yán)格的分段，對(duì)如此廣泛的漏洞中任何一個(gè)的未經(jīng)授權(quán)的訪問都可能暴露整個(gè)網(wǎng)絡(luò)。建筑物的設(shè)計(jì)并沒有以這種速度發(fā)展，新的智能建筑必須快速了解網(wǎng)絡(luò)安全。
“智能建筑行業(yè)對(duì)其系統(tǒng)所代表的日益擴(kuò)大的攻擊面的理解在很大程度上仍然落后。設(shè)施管理團(tuán)隊(duì)通常仍然缺乏管理網(wǎng)絡(luò)安全所需的IT技能，安全性較差的物聯(lián)網(wǎng)設(shè)備仍然以有吸引力的價(jià)格涌入市場(chǎng)，盡管存在網(wǎng)絡(luò)安全問題，但建筑物中的技術(shù)仍在不斷增加。”Memoori最近的一份研究報(bào)告稱。“構(gòu)成智能建筑生態(tài)系統(tǒng)的每個(gè)不同元素都需要采取全面、多學(xué)科的防御方法，以有效減輕網(wǎng)絡(luò)威脅。”
建筑技術(shù)歷來缺乏對(duì)網(wǎng)絡(luò)安全的關(guān)注，這一點(diǎn)最能體現(xiàn)在之前用于建筑自動(dòng)化的開放通信標(biāo)準(zhǔn)的迭代中。BACnet、LonWorks和KNX等公司過去缺乏基本的加密、身份驗(yàn)證或完整性保護(hù)功能，因?yàn)樗鼈兌际亲鳛榉忾]網(wǎng)絡(luò)的一部分運(yùn)行的。當(dāng)然，這種情況現(xiàn)在已經(jīng)通過例如BACnet/SC得到解決。
最近的一項(xiàng)網(wǎng)絡(luò)安全研究指出：“由于許多智能建筑解決方案的生命周期延長，該行業(yè)仍然擁有相當(dāng)大的遺留建筑自動(dòng)化系統(tǒng)和設(shè)備的安裝基礎(chǔ)，這些系統(tǒng)和設(shè)備仍然充滿安全缺陷和配置問題。”“遺留系統(tǒng)顯然給建筑運(yùn)營帶來了重大網(wǎng)絡(luò)風(fēng)險(xiǎn)，老練的攻擊者意識(shí)到遺留系統(tǒng)造成的安全漏洞，并且越來越積極地利用已知漏洞來破壞運(yùn)營和竊取敏感數(shù)據(jù)。”
現(xiàn)代物聯(lián)網(wǎng)和樓宇自動(dòng)化設(shè)備也很快因容易受到注入和內(nèi)存損壞等問題而聞名，因?yàn)椴涣嫉木幋a實(shí)踐使攻擊者能夠繞過其安全功能并完全控制它們。此外，太多的連接設(shè)備仍然帶有默認(rèn)的用戶名和密碼設(shè)置。然后，用戶也常常無法定期更改密碼、對(duì)多個(gè)系統(tǒng)使用相同的密碼或選擇簡單且易于猜測(cè)的密碼。許多較新的物聯(lián)網(wǎng)設(shè)備還附帶通過未加密協(xié)議進(jìn)行通信的默認(rèn)設(shè)置，從而導(dǎo)致流量嗅探和敏感信息被篡改。
報(bào)告稱：“應(yīng)該注意的是，設(shè)備在互聯(lián)網(wǎng)上被簡單搜索并不一定是負(fù)責(zé)安裝的供應(yīng)商或系統(tǒng)集成商的錯(cuò)，最終是建筑員工和企業(yè)It部門的責(zé)任，以確保他們的設(shè)備免受窺探。”。最終，不同建筑系統(tǒng)的聯(lián)網(wǎng)意味著它們的安全性取決于網(wǎng)絡(luò)中最弱的設(shè)備。因此，為了確定現(xiàn)代網(wǎng)絡(luò)化智能建筑中潛在的系統(tǒng)漏洞，有必要全面評(píng)估連接到建筑自動(dòng)化和控制系統(tǒng)的系統(tǒng)、設(shè)備和網(wǎng)絡(luò)的范圍。”
為了對(duì)特定網(wǎng)絡(luò)上的所有設(shè)備進(jìn)行全面的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估，需要對(duì)所有設(shè)備和系統(tǒng)連接進(jìn)行全面審核。然而，通常部署在IT環(huán)境中以促進(jìn)此審核過程的自動(dòng)網(wǎng)絡(luò)掃描工具和技術(shù)并不適合建筑物等OT環(huán)境。由于智能建筑OT設(shè)備和系統(tǒng)通常運(yùn)行在過時(shí)的傳統(tǒng)協(xié)議上，因此它們無法響應(yīng)IT掃描流程所使用的消息協(xié)議類型，而這些協(xié)議會(huì)報(bào)告設(shè)備狀態(tài)、固件等。事實(shí)上，這種掃描方法可能會(huì)對(duì)OT環(huán)境產(chǎn)生積極的破壞。
公開可用的物聯(lián)網(wǎng)設(shè)備搜索引擎，如Shodan、BinaryEdge或Censys，可用于識(shí)別威脅的規(guī)模和暴露的設(shè)備的絕對(duì)數(shù)量。ForeScout Technologies 2019年的一項(xiàng)研究匯總了Shodan和Censys上的搜索數(shù)據(jù)，發(fā)現(xiàn)在發(fā)現(xiàn)的22,902臺(tái)設(shè)備中，9,103臺(tái)(39.3%)容易受到零日攻擊，易受攻擊的設(shè)備包括訪問控制和暖通空調(diào)控制器以及協(xié)議網(wǎng)關(guān)。ForeScout的研究發(fā)現(xiàn)，對(duì)于連接IP的攝像頭，91.5%的攝像頭容易受到攻擊，這一點(diǎn)令人震驚。檢查安裝在這些搜索引擎上的設(shè)備對(duì)建筑經(jīng)理來說是必須的，但這意味著他們將不得不處理他們發(fā)現(xiàn)的問題。
“在Shodan和其他同類搜索引擎上進(jìn)行搜索不需要網(wǎng)絡(luò)安全知識(shí)或網(wǎng)絡(luò)專業(yè)知識(shí)，任何人只要有兩分鐘的空閑時(shí)間，就可以輕松獲得與暴露設(shè)備有關(guān)的大量數(shù)據(jù)，包括設(shè)備的IP地址、地理位置(包括緯度和經(jīng)度坐標(biāo))、所有者、服務(wù)端口頭信息、固件詳細(xì)信息和可用的協(xié)議，”網(wǎng)絡(luò)安全報(bào)告解釋道。所有信息都是從公開來源獲得的，這意味著任何有足夠動(dòng)力尋找它的人都可以獲得這些信息。
