上述這些案例并非孤立，也非偶然。近年來，能源、化工、政府、金融、水利等關(guān)鍵信息基礎(chǔ)設(shè)施(Critical Information Infrastructures, CII)行業(yè)的網(wǎng)絡(luò)安全情況日趨嚴峻，特別是專門針對工控系統(tǒng)等目標的 APT 攻擊，不僅給企業(yè)的網(wǎng)絡(luò)安全防護帶來了嚴峻的挑戰(zhàn)，其威脅的持續(xù)發(fā)酵還可能給國家安全帶來不可估量的危害和損失。
新技術(shù)背景下 網(wǎng)絡(luò)安全風險挑戰(zhàn)CII行業(yè)供應(yīng)鏈
隨著物聯(lián)網(wǎng)、云計算等技術(shù)在CII行業(yè)的深入應(yīng)用，工控系統(tǒng)等信息化系統(tǒng)的鏈條正在向業(yè)務(wù)鏈的上下游不斷延伸，連接著日益廣泛的工業(yè)設(shè)備以及員工，這也意味著一旦發(fā)生信息安全風險，更多的業(yè)務(wù)以及數(shù)據(jù)將會被影響。在此次挪威海德魯公司所遭受的勒索軟件攻擊中，就展現(xiàn)了物聯(lián)網(wǎng)等技術(shù)的興起給供應(yīng)鏈系統(tǒng)帶來的網(wǎng)絡(luò)攻擊風險，一旦網(wǎng)絡(luò)不法分子通過勒索軟件攻擊等方式影響了供應(yīng)鏈的某一環(huán)節(jié)，那么其它環(huán)節(jié)都有可能受到影響，甚至導(dǎo)致企業(yè)的生產(chǎn)計劃無法如期完成。
CII行業(yè)的網(wǎng)絡(luò)安全風險還體現(xiàn)在，任何一個微小的疏漏都有可能成為影響企業(yè)核心資源乃至社會穩(wěn)定的重大隱患。通過公開來源的情報(OSINT) ，亞信安全在近期就發(fā)現(xiàn)了能源與水資源產(chǎn)業(yè)中，存在著許多暴露在外且容易遭到攻擊人機界面(HMI)系統(tǒng)，這些系統(tǒng)包括各種水資源系統(tǒng)的監(jiān)控界面，暴露了即時的能源產(chǎn)量，以及系統(tǒng)關(guān)機、重啟等操作選項，甚至是用戶數(shù)據(jù)庫這樣的重要信息，這也意味著黑客可以監(jiān)控并利用這些系統(tǒng)的信息。
盡管這些安全風險往往僅存在于中小企業(yè)，但是CII行業(yè)密切且銜接緊密的供應(yīng)鏈系統(tǒng)讓任何一個單點的風險都可能造成難以挽回的損失。例如，通過暴露在外的 HMI 系統(tǒng)，黑客可以對于小型企業(yè)的水供給系統(tǒng)發(fā)動攻擊，進而關(guān)閉關(guān)鍵的水處理設(shè)施，導(dǎo)致業(yè)務(wù)中斷，直接影響其服務(wù)地區(qū)的水資源供給，甚至威脅社會穩(wěn)定。
對此，亞信安全COO 陸光明認為：”隨著CII行業(yè)的發(fā)展，用戶將面臨新舊風險共存的情況，比如用戶采購的工控軟件未及時升級打補丁、技術(shù)運維依賴于第三方、上游產(chǎn)品存在未發(fā)現(xiàn)的安全漏洞等。同時，5G技術(shù)的加速應(yīng)用也會引入指數(shù)級增加的物聯(lián)網(wǎng)終端設(shè)備，我們將面臨更加復(fù)雜的安全形勢，無疑對網(wǎng)絡(luò)設(shè)施和安全運營提出更高的需求。”
構(gòu)建應(yīng)急響應(yīng)能力 關(guān)注2019 C3行業(yè)論壇
CII行業(yè)供應(yīng)鏈覆蓋面極其廣泛，用戶很難確保每一個供應(yīng)商是否具備相同等級的安全性，并將信息安全意識延伸至企業(yè)外部。因此，為了應(yīng)對隨時發(fā)生的侵入攻擊，企業(yè)需要將重點放在通過精密編排構(gòu)建網(wǎng)絡(luò)空間恢復(fù)修補能力，確保企業(yè)業(yè)務(wù)在安全威脅下的可用性和恢復(fù)能力、以維系關(guān)鍵應(yīng)用的正常，并減少后續(xù)的聲譽和財產(chǎn)損失。
陸光明指出：”構(gòu)建完善的補救能力框架，需要形成覆蓋全網(wǎng)應(yīng)用、主動威脅偵測與智能聯(lián)動響應(yīng)的整體解決方案，并建立以精密聯(lián)動的調(diào)查工具、工作手冊和安全專家為基礎(chǔ)的指揮平臺，形成’實時發(fā)現(xiàn)—深度分析—快速響應(yīng)—優(yōu)先處置’閉環(huán)管理。”
為了推動CII行業(yè)用戶網(wǎng)絡(luò)安全防護能力的進階提升，亞信安全將在2019年5月7日召開的C3安全峰會上設(shè)定相關(guān)行業(yè)與技術(shù)論壇，共同探討CII行業(yè)所面對的風險變化與應(yīng)對手段。據(jù)了解，作為中國最高規(guī)格的網(wǎng)絡(luò)安全行業(yè)閉門盛會，2019年C3安全峰會將開設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施保護圓桌論壇，以及9大行業(yè)論壇，一同研討的數(shù)字經(jīng)濟時代的新挑戰(zhàn)與新機遇，未雨綢繆，共建安全的數(shù)字世界。
