網(wǎng)絡(luò)安全技術(shù)商Waterfall Security Solutions公司行業(yè)安全副總裁Andrew Ginter日前指出，運(yùn)營技術(shù)(OT)網(wǎng)絡(luò)目前面臨著Apache Log4j(CVE-2021-44228)漏洞帶來的風(fēng)險。

該漏洞影響了全球數(shù)百萬臺Web服務(wù)器，使網(wǎng)絡(luò)攻擊者能夠?qū)⑷我獯a注入互聯(lián)網(wǎng)上易受攻擊的Java應(yīng)用程序。這一缺陷正在被網(wǎng)絡(luò)攻擊者廣泛利用。這就是世界各地的安全團(tuán)隊(duì)都在爭先恐后地確定哪些Web應(yīng)用程序可能存在Log4j漏洞，然后努力重建或升級這些系統(tǒng)的主要原因。

在互聯(lián)網(wǎng)上使用控制管道、電力系統(tǒng)或鐵路網(wǎng)絡(luò)的OT應(yīng)用程序的企業(yè)通常具有網(wǎng)絡(luò)安全知識。那么，為什么這么多OT企業(yè)對Log4j漏洞如此擔(dān)心呢?

工業(yè)互聯(lián)網(wǎng)

一些關(guān)鍵基礎(chǔ)設(shè)施和制造商將他們的生產(chǎn)設(shè)施連接到工業(yè)互聯(lián)，這些通常是與Web服務(wù)和云服務(wù)的加密連接。這些連接穿透或繞過部署在互聯(lián)網(wǎng)和大多數(shù)自動化系統(tǒng)之間的六層防火墻。這就是問題所在，盡管這些企業(yè)可能已經(jīng)完成了所有供應(yīng)鏈的盡職調(diào)查。

企業(yè)通常會信任其軟件和云計(jì)算服務(wù)提供商。但是即使信任這些提供商，那么應(yīng)該信任他們的網(wǎng)站嗎?供應(yīng)商網(wǎng)站上的Web服務(wù)可能會受到威脅。而且OT網(wǎng)絡(luò)中的工業(yè)互聯(lián)網(wǎng)設(shè)備已經(jīng)連接到這些有風(fēng)險的云服務(wù)。

更糟糕的是，一旦復(fù)雜的勒索軟件組織或其他網(wǎng)絡(luò)攻擊者入侵工業(yè)供應(yīng)商的Web服務(wù)，這些企業(yè)很難發(fā)現(xiàn)或清除Log4j漏洞，而網(wǎng)絡(luò)攻擊者將繼續(xù)嵌入OT網(wǎng)絡(luò)所連接的云服務(wù)中。

一旦這些網(wǎng)絡(luò)攻擊者有時間查看并弄清楚如何利用OT系統(tǒng)對這些云服務(wù)的信任，他們將能夠使用這些云服務(wù)將他們的網(wǎng)絡(luò)攻擊深入到工業(yè)基礎(chǔ)設(shè)施中。這種攻擊有可能同時危及數(shù)千個工業(yè)場所。

基于云計(jì)算的OT勒索軟件

Waterfall Security Solutions公司在供應(yīng)鏈報告中預(yù)測了OT/ICS勒索軟件中OT供應(yīng)鏈和基于云計(jì)算的攻擊行為。不幸的是，最近的網(wǎng)絡(luò)安全事件已經(jīng)證明了這些預(yù)測。美國Colonial Pipeline公司和肉類包裝商JBS公司遭遇的勒索軟件事件表明，被勒索軟件關(guān)閉或破壞的關(guān)鍵基礎(chǔ)設(shè)施服務(wù)商更有可能支付上百萬美元的贖金。這使得關(guān)鍵基礎(chǔ)設(shè)施在未來更有可能成為勒索軟件攻擊者的目標(biāo)。

遠(yuǎn)程IT管理軟件廠商Kaseya公司遭遇的安全漏洞事件清楚地表明，勒索軟件組織有能力利用易受攻擊的云計(jì)算基礎(chǔ)設(shè)施同時對數(shù)千個目標(biāo)發(fā)起攻擊。工業(yè)供應(yīng)商的受損云服務(wù)對全世界的工業(yè)運(yùn)營構(gòu)成了巨大威脅，因此人們對Log4j漏洞感到十分擔(dān)憂。

保護(hù)OT網(wǎng)絡(luò)

大多數(shù)安全從業(yè)者的直覺是將傳統(tǒng)用于保護(hù)IT網(wǎng)絡(luò)免受勒索軟件侵害的安全工具和技術(shù)應(yīng)用于OT網(wǎng)絡(luò)，但并不起作用。為什么會這樣?因?yàn)榻鉀QIT網(wǎng)絡(luò)上的勒索軟件威脅是美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)的“檢測、響應(yīng)和恢復(fù)”支柱，也就是識別受影響的機(jī)器，隔離它們，擦除它們，從備份中恢復(fù)它們，然后重復(fù)操作。

這種方法在OT網(wǎng)絡(luò)出現(xiàn)的問題在于，網(wǎng)絡(luò)攻擊和不受控制的關(guān)閉措施可能會帶來物理方面的危險和損害。例如發(fā)電廠正在運(yùn)行的重達(dá)百噸的渦輪機(jī)，其轉(zhuǎn)速為1200轉(zhuǎn)/分;煉油廠正在生產(chǎn)的六層樓高的催化裂化爐，里面充滿了高溫高壓的碳?xì)浠衔?，如果這些生產(chǎn)設(shè)施遭到破壞，后果不堪設(shè)想。而即使是大型建筑物中的自動扶梯突然關(guān)閉，也會對扶梯上的人員造成傷害。而依賴“檢測、響應(yīng)和恢復(fù)”措施的一個主要問題是無法從備份中恢復(fù)生命、損壞的設(shè)備和生產(chǎn)損失。OT網(wǎng)絡(luò)通常具有事件響應(yīng)能力，但這些能力只是在一定程度上減少了網(wǎng)絡(luò)攻擊和漏洞帶來的后果——防止漏洞和網(wǎng)絡(luò)攻擊才是OT網(wǎng)絡(luò)的首要任務(wù)。

為此，工業(yè)站點(diǎn)針對該問題應(yīng)用的OT安全解決方案是單向網(wǎng)關(guān)。單向網(wǎng)關(guān)包括在物理上只能向一個方向推送信息的硬件——從關(guān)鍵OT網(wǎng)絡(luò)到互聯(lián)網(wǎng)。網(wǎng)關(guān)部署在互聯(lián)網(wǎng)和易受攻擊的OT網(wǎng)絡(luò)的工業(yè)互聯(lián)網(wǎng)設(shè)備之間。網(wǎng)關(guān)之所以有效，因?yàn)樗欣账鬈浖推渌W(wǎng)絡(luò)破壞攻擊都是信息——這就是“網(wǎng)絡(luò)”的含義。

因此，當(dāng)網(wǎng)關(guān)在物理上能夠?qū)⑿畔⑼扑偷交ヂ?lián)網(wǎng)上工業(yè)供應(yīng)商的云服務(wù)上，并且不能讓任何信息返回時，那么遭到破壞的云服務(wù)就不再對安全或可靠的工業(yè)運(yùn)營構(gòu)成威脅。

這種漏洞可能仍然對高效運(yùn)營構(gòu)成威脅，因?yàn)楣I(yè)站點(diǎn)使用工業(yè)云服務(wù)是為了提高效率。但效率的暫時降低通常是可以容忍的風(fēng)險，而對員工人身安全、公共安全和環(huán)境安全的威脅通常是不可接受的。

如何應(yīng)對Log4j漏洞

歸根結(jié)底，Log4j漏洞是一個巨大的問題。云服務(wù)供應(yīng)商(尤其是工業(yè)云服務(wù)供應(yīng)商)需要仔細(xì)檢查他們曾經(jīng)出現(xiàn)過漏洞的云計(jì)算和互聯(lián)網(wǎng)系統(tǒng)。所有這些系統(tǒng)以及與其相連的任何事物都有可能藏匿被網(wǎng)絡(luò)攻擊者和勒索軟件組織利用的漏洞。

工業(yè)企業(yè)需要轉(zhuǎn)移關(guān)注重點(diǎn)。這些企業(yè)可能正在詢問他的每一個軟件供應(yīng)商，他們的產(chǎn)品是否使用Log4j或存在這個漏洞。一個更重要的目標(biāo)是詢問所有工業(yè)云提供商，他們的云服務(wù)是否曾經(jīng)受到和Log4j漏洞相關(guān)的攻擊。

不管這些措施如何查找或解決Log4j漏洞，尚未這樣做的工業(yè)企業(yè)應(yīng)該考慮為OT系統(tǒng)部署基于硬件的、不可破解的保護(hù)措施，尤其是那些連接到互聯(lián)網(wǎng)的OT系統(tǒng)。而OT系統(tǒng)使用的云服務(wù)不可避免地會存在其他漏洞和其他危害。

需要記住的是，勒索軟件已經(jīng)對Kaseya公司1500名客戶造成了危害。人們不希望勒索軟件組織或其他人通過Log4j漏洞或任何一個云系統(tǒng)漏洞關(guān)閉輸油管道或癱瘓發(fā)電廠等基礎(chǔ)設(shè)施。