RSA报告人背景
该报告的作者是Tom VanNorman和Dan Gunter。Tom VanNorman曾在GRIMM的工业控制系统运营、工程以及安全的项目中承担重要职位，在工业控制领域有着深厚的背景。服役于美国空军长达24年，其中12年服役于美国国家任务团队的网络运营中队。此外，Tom还是ICS village 的联合创始人和SANAS网络区域架构与运营的咨询顾问（ICS village是非盈利的教育性组织，行业决策者们从中借助认知实验、教育、训练来更好的保护工业设备）；Dan Gunter是Insane Forensics公司的创始人兼CEO，该公司总部位于美国德州，专注于提供数字取证平台服务，包括居家取证、整合取证。Dan曾就职于Dragos，任职原油、电力、矿产和其他基础设施环境的工业互联网安全首席分析师。在这之前，Dan也曾服役于美国空军，负责跨DOD部门的攻击性武器和防御性武器管理。
一、概述
该报告针对工业控制系统的黑客入侵过程研究进行了详细阐释，包括攻击手段的演化及对应的解决措施。
二、常见工业设备与事件可视化
常见的工业热交换设备需依赖s7comm、ENIP、modbus等常见工业协议进行气压、温度、时间、开关等的控制。在发生安全事件时，各个协议所支持的IP地址流量会发生显著变化，即安全事件的可视化。IP地址包括图4中常见的HMI、PLC等。例如在图2中，通过分析Modbus和EthernetIP流量的显示图，可得知在发生安全事件时，IP地址的流量会显著减少。从图3也可得知，三个IP地址的Modbus和ENIP的流量在大幅下降前会发生突增。这种流量的变化也对应着不同的攻击方式。
三、常规攻击流程
随着工业互联网安全技术的更新，新的攻击方式也层出不穷。黑客可通过钓鱼邮件部署远程访问软件，建立远程桌面协议以登入用户计算机，从而操纵控制流程。攻击所用到的技术来自MITRE建立的ATT&CK技术库。具体攻击流程如下：
1、T1566.002网络钓鱼及T1113-屏幕获取
攻击手段：
- 向用户发送钓鱼邮件，诱导用户点击钓鱼链接。
- 尝试截屏电能桌面以获取操纵信息。屏幕获取的功能特点与远程访问工具类似。截屏工具可以为CopyFromScreen、 xwd和screencapture。
利用该攻击手段的组织如下：
APT1、APT28、 APT29、 APT32、 APT33、 APT39、 Dragonfly 2.0、 Leviathan/APT40、OilRig。
2、T1219– 远程访问软件
攻击手段：
- 利用合规桌面支持远程访问软件（如Team Viewer、 Go2Assist、 LogMein、AmmyyAdmin等）与目标系统在网络中建立交互指令与控制渠道。这些服务一般用于合规技术支持软件，可以实现在目标环境中的应用控制。远程访问工具也经常被黑客所使用，如VNC、 Ammyy和Teamviewer。
- 远程访问工具可用于冗余访问的另类通讯渠道，或作为与目标系统的交互性远程桌面使用，也可用作恶意软件的组成部分，来与被黑客控制的系统建立反转连接或后门连接。
利用该攻击手段的组织如下：
- Sandworm Team/Electrum
– Ukraine 2015
- Kimsuky
– Korea Hydro & Nuclear Power
- Carbanak
在此步攻击中，可以的域名登录时，HTTP/TLS的流量会发生突增。流量突增的可视化可作为该攻击的检测手段。部分商业软件可显示远程访问记录。
3、T1021.001–远程服务：远程桌面协议
攻击手段：
- 可以通过远程桌面协议（RDP），利用有效账户登入计算机。
- 远程桌面是操作系统中的常见应用，即利用系统桌面图形化的用户界面从远程系统登录。而微软会把这一行为看作远程桌面服务（RDS）。
- 通过RDP/RDS连接远程系统，在该服务给予访问许可时进行进一步访问。利用认证访问技术获取RDP权限，并与访问性特征技术同时使用，以实现持久访问。
利用该攻击的组织如下：
APT1、APT3、APT39、AP41、APT40/Leviathan、Lazarus Group、Oil Rig
在这一步的攻击中，黑客的登录可以在远程访问解决方案日志中显示。
4、T8031 操纵控制流程
攻击的手段：
- 操纵工业环境中的物理流程控制。
- 控制流程的操纵包括篡改基准值、标签、参数等。
- 操纵控制系统设备与指令物理控制流程进行通讯。
- 根据运行人员的检测，设置临时或长期的操纵时间。
利用该攻击的组织如下：
Sandworm/Electrum – Ukraine 2015 & Ukraine 2016
Equation – Stuxnet
图9-11对三种安全事件在windows事件日志中的可视化进行了展现，包括HMI端的流量变化、IP地址端的流量变化，以及异常IP地址。
四、造成的影响与相应对策
1、安全事件造成的影响
- 利用TTP总线协议对网络造成危害。
- 通过远程桌面发现HMI，通过HMI访问工业控制系统。
- 通过HMI篡改工控系统中的关键阈值。
2、安全事件可能造成的进阶影响
- 部署勒索软件。
- 损毁文件或造成服务拒绝状态。
- 通过篡改HMI的设定值威胁人员健康、寿命、安全或造成产品质量问题。
3、预防措施
- 基于工业实践设计工业流程。优秀工业实践的方法和流程可提供高相关性、低成本的解决方案，以符合合规标准和使用规范。
- 优秀的工业实践可参考PSM Standard, 29 CFR 1910.119。
4、攻击的检测与防御
| 攻击技术 | 造成的影响 | 如何防御 | 如何检测 |
| T8031-操纵控制流程 | ICS设备损毁ICS协议网络HMI和PLC之间流量的突增和突减 | 限制关键区域的流量定时进行审计，加强关键系统防御 | 提高工业协议监测深度审查数据销毁的策略 |
| T1021.001-远程桌面协议 | 黑客利用RDP从入侵点转移到HMI | 审计远程桌面用户组限制关键区域的RDP流量 | 监测Windows事件4624记录分析用户在网络和主机日志的访问行为 |
| T1219-远程访问软件 | 黑客利用远程访问软件进行初始访问 | 限制并监控远程访问的范围2FA认证 | 审计访问软件网络和主机日志警惕异常行为 |
| T1566.002-钓鱼链接 | 利用钓鱼邮件进行初始入侵 | 对钓鱼邮件提高警惕性监控OT出站和入站邮件的流量 | DNS/HTT的新旧流量监控监控用户账户的不正当使用行为 |
| T1113-屏幕获取 | 对远程访问证书进行截屏用以访问网络 | 由于截屏是系统内置的功能，因此较难防御 | 监控剪切板在OT网络中寻找拥有截屏功能的二进制文件 |
五、现阶段可采取的措施
1、现阶段可采取的安全措施
–理解现有的防御措施集合以及分析范围；
–利用现有人员、流程、技术的力量；
–理解现有工作流程和所需的安全措施；
–与运营和工程部门建立良好关系；
–对所有人员进行安全培训。
2、未来3个月可采取的安全措施
–收集分析一个或多个攻击场景；
–在运营人员、安全流程、安全技术等方面投入更多的资金和精力，以提高企业的安全防护能力。
版权声明
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。