導(dǎo)致美國(guó)進(jìn)入緊急狀態(tài)的勒索事件揭示出的網(wǎng)絡(luò)安全實(shí)踐需求
背景回顧
2021年5月7日，美國(guó)最大輸油管道公司Colonial Pipeline遭勒索軟件攻擊，導(dǎo)致其被迫關(guān)閉管道系統(tǒng)。
截至發(fā)稿前，Colonial稱已通報(bào)了聯(lián)邦當(dāng)局，并雇用了FireEye公司進(jìn)行事件調(diào)查。在管道關(guān)閉的第三天，Colonial表示正在制定系統(tǒng)重啟計(jì)劃，同時(shí)使其四個(gè)主要輸油管線保持離線狀態(tài)。該公司表示，只有在確保完全安全且符合所有聯(lián)邦法規(guī)的批準(zhǔn)后，才會(huì)將其系統(tǒng)重新上線。
美國(guó)宣布進(jìn)入緊急狀態(tài)的消息一出，全球的網(wǎng)絡(luò)安全領(lǐng)域都在關(guān)注此事。據(jù)報(bào)道稱，Colonial公司每天向美國(guó)東部運(yùn)輸25億桶石油，并與30座煉油廠和近300個(gè)分銷終端相連。它從德克薩斯州向東北部運(yùn)送天然氣和其他燃料，約占東海岸消耗燃料的45%。
昨天早些時(shí)候，拜登政府針針對(duì)此事件出臺(tái)緊急豁免，因?yàn)閾?dān)心輸送短缺對(duì)石油和天然氣價(jià)格構(gòu)成上行壓力，因此解除了對(duì)公路燃料運(yùn)輸?shù)南拗?，Colonial公司對(duì)美國(guó)關(guān)鍵基礎(chǔ)設(shè)施及國(guó)家安全的重要性顯而易見。美國(guó)商務(wù)部長(zhǎng)Gina Raimondo稱，總統(tǒng)已經(jīng)聽取了簡(jiǎn)報(bào)，此時(shí)乃是應(yīng)當(dāng)“齊心協(xié)力，上下一心”的情況，以確保勒索攻擊不會(huì)中斷美國(guó)的石油供應(yīng)。
多個(gè)消息源將攻擊者確定為DarkSide組織，這是一家東歐的網(wǎng)絡(luò)犯罪勒索團(tuán)伙。最新消息稱，DarkSide勒索團(tuán)伙承認(rèn)他們是造成美國(guó)“斷油”事件的元兇。
一個(gè)大問(wèn)題是Colonial能夠以多快的速度制定其重啟計(jì)劃。
ICS網(wǎng)絡(luò)安全和部門負(fù)責(zé)人，F(xiàn)BI InfraGard部門負(fù)責(zé)人Marc Ayala稱：
| 沒(méi)有簡(jiǎn)單的電燈開關(guān)或按鈕即可神奇地重啟和恢復(fù)操作。 |
即使還有其他問(wèn)題尚待解決，Colonial公司勒索事件也為ICS企業(yè)應(yīng)如何應(yīng)對(duì)網(wǎng)絡(luò)攻擊提供了一些經(jīng)驗(yàn)教訓(xùn)。
深入了解OT系統(tǒng)可能加快重啟速度
缺乏對(duì)OT系統(tǒng)安全狀態(tài)的了解可能是導(dǎo)致Colonial停運(yùn)的主要原因。
Marc Ayala提到：
| 該事件最大的問(wèn)題是不清楚影響的深度、范圍和廣度。停止運(yùn)營(yíng)是一個(gè)明確的信號(hào)，表明他們對(duì)當(dāng)前的運(yùn)營(yíng)流程、安全系統(tǒng)和安全環(huán)境不信任。 |
在一份給客戶的說(shuō)明中，Marc Ayala預(yù)測(cè)，Colonial恢復(fù)運(yùn)營(yíng)將需要48到84個(gè)小時(shí)或更長(zhǎng)時(shí)間。
網(wǎng)絡(luò)安全公司Tenable的安全運(yùn)營(yíng)副總裁Marty Edwards也是在ICS-CERT任職時(shí)間最長(zhǎng)的董事，對(duì)此觀點(diǎn)表示贊同：
| 他們(指ICS運(yùn)營(yíng)者，如本次事件的主角Colonial)需要對(duì)環(huán)境有足夠的了解，才能知道實(shí)際影響的范圍。通常情況下，關(guān)鍵基礎(chǔ)設(shè)施所有者和運(yùn)營(yíng)商根本沒(méi)有足夠的可見性，尤其是在這些操作技術(shù)和工業(yè)控制系統(tǒng)環(huán)境中。 |
更好的細(xì)分可以避免停機(jī)
為了避免類似的操作系統(tǒng)停機(jī)，ICS組織應(yīng)集中精力更好地劃分功能和網(wǎng)絡(luò)。
Marc Ayala提到：
- 應(yīng)該有明確而適當(dāng)?shù)募?xì)分，必須從架構(gòu)層面進(jìn)行重構(gòu)。我們得知道如何做出反應(yīng)，IT到OT的分界不清晰是我們面臨的最大威脅之一。
在尋找受感染的組件并盡快隔離它們以加快恢復(fù)正常操作的過(guò)程中，分段就發(fā)揮了作用。Marty Edwards表示：
| ICS組織必須具有這種實(shí)時(shí)的可見性，如果某件事開始影響你在一個(gè)地理區(qū)域內(nèi)的運(yùn)行時(shí)，必須能夠快速進(jìn)入系統(tǒng)并找出可能存在漏洞的其他地方，并將這些系統(tǒng)分段并隔離。 |
攻擊透明度至關(guān)重要
ICS組織需要考慮的另一個(gè)關(guān)鍵因素是圍繞勒索攻擊事件的治理策略，尤其是在事前階段。整理有效的通信策略，為攻擊的后果做準(zhǔn)備。Marty Edwards稱：
| 我總是鼓勵(lì)組織盡可能多地提高透明度。對(duì)于這類事件，他們應(yīng)預(yù)先準(zhǔn)備經(jīng)過(guò)審核的保留聲明、新聞稿等，以便首席信息安全官接到電話時(shí)可以從容應(yīng)對(duì)。 |
ICS組織還應(yīng)針對(duì)如何管理此類勒索攻擊制定詳盡的計(jì)劃。如果公司擁有經(jīng)過(guò)良好測(cè)試和維護(hù)的容災(zāi)備份計(jì)劃，且對(duì)所有這些類型的系統(tǒng)都有良好的備份，那么他們就有信心可以隔離事件，并在盡可能短的時(shí)間內(nèi)恢復(fù)。
與政府合作很重要
Marc Ayala在與聯(lián)邦政府的合作中給予了Colonial很高的評(píng)價(jià)。從長(zhǎng)遠(yuǎn)來(lái)看，政府機(jī)構(gòu)應(yīng)該在為此類事件做準(zhǔn)備中發(fā)揮更關(guān)鍵的作用。
Marty Edwards稱：
| 我們已經(jīng)說(shuō)了很長(zhǎng)時(shí)間了，必須是真正的伙伴關(guān)系。我不會(huì)把“伙伴關(guān)系”這個(gè)詞定義為信息共享計(jì)劃之類的東西。我們需要將私營(yíng)部門和聯(lián)邦政府結(jié)合起來(lái)，政府非常實(shí)誠(chéng)地提出了一系列的解決方案。 |
