工控網首頁
>

新聞中心

>

業界動態

>

工廠系統安全性對策 : 從設備層面進行考慮的必要性與有效對策

工廠系統安全性對策 : 從設備層面進行考慮的必要性與有效對策

img-220916_factory-security-mv.jpg

在制造業中,運用工廠的運行數據以及在嘗試創造全新附加價值的舉措中,工廠系統網絡連接互聯網的必要性不斷提高,從而增加了新的安全性風險源。

在此背景下,日本經濟產業省發行了標題為“工廠系統網絡/物理安全對策框架(草案)”的文件,旨在以專業面向制造業工廠的形式定義“模擬工廠”,并制定必要的對策理念、實施方法指南。

在本次技術專欄中將會解說從設備層面思考工廠系統安全性對策的必要性,同時介紹康泰克為提供有效對策所做的努力。

數字環境變化帶來的安全性對策的必要性

img-220916_factory-security-01.jpg

隨著遠程辦公與DX的發展,我們所處的數字環境發生了巨大的變化。隨著居家辦公、遠程辦公的擴大以及移動終端的普及,通過各類終端連接公司內部網絡環境開展工作的企業不在少數。

如今工廠內也實現了網絡化,安全性風險不僅僅只有“IT(Information Technology)”、同時還涉及“OT(Operational Technology)”、“產品”等3個領域。隨著此類情況越來越普遍,已經出現了導致重大損害的網絡攻擊事例。尤其在近年,有許多關于被勒索軟件攻擊的報告。

在日本,勒索軟件造成的損害在2021年至少報告了146件,其中55件為制造業。2022年2月,知名汽車制造商“豐田汽車”因為作為交易對象的部件廠家受到勒索軟件攻擊,導致臨時性地停止了日本國內所有工廠運營。

同時,還有醫院遭受勒索軟件攻擊的事例。例如,2021年10月德島縣劍町立半田病院,2022年6月鳴門山上病院遭受了勒索軟件的攻擊。兩家醫院的電子病歷系統癱瘓,對業務造成了巨大影響。

如今,安全性已經成為了影響事業整體的“經營風險”之一,因此必須推進對策。由于攻擊對象和入侵途徑的日益多樣化,僅僅通過傳統的邊界防御方法越來越難以抵御網絡攻擊威脅,因此需要采用一種全新的思維方式。

零信任和網絡彈性

img-220916_factory-security-02.jpg

雖然安全性對策的重要性不斷提高,但僅靠傳統的邊界防御措施已不足以防范網絡攻擊的威脅。當前的對策方面,安全性從性善論向性惡論轉變,不僅是抵抗力,恢復力、零信任和網絡彈性等思考方式也越來越普遍。

零信任是一種“不信任所有訪問的安全性對策”的思考方式。傳統的邊界控制將網絡分為外部和內部,這是一種一旦訪問通過認證并進入網絡的內部便意味著信任該訪問的安全性對策。實現零信任的方法包括加強認證,如多因素認證等,以及對各類設備的日志進行監控,基于設備狀態進行訪問控制等。

網絡彈性是指以無法完全防止網絡攻擊為前提,表示組織對于攻擊的抵抗力、恢復力的術語。具體而言包括針對網絡攻擊威脅的預測及不斷采取對策(抵抗力)、受到網絡攻擊造成的損害時的迅速及切實應對,以及為實現此類措施的組織抵抗力的完善等。

這里我們將針對以往的安全性對策所無法完全防御的主要網絡攻擊,再次確認“零日攻擊”和“惡意軟件”的概要。

什么是零日攻擊?

零日攻擊是指發現軟件漏洞后,在其采取對策之前的期間內,以該漏洞為目標進行攻擊的網絡攻擊。零日攻擊無法提前防御,因此遭受攻擊的一方只能盡早采取措施修補漏洞。

什么是惡意軟件?

惡意軟件是指會對遭受攻擊的計算機用戶造成不利的惡意程序統稱。惡意程序包括計算機病毒、蠕蟲病毒、特洛伊木馬病毒、間諜軟件等。

惡意軟件主要通過電子郵件的附件或網絡,尋找軟件漏洞入侵計算機,并盜取信息、篡改數據等。上一段中提到的勒索軟件便是惡意軟件的一種,它通過對計算機進行加密,使其無法使用,并將其作為人質索要錢款。

設備層面安全性的必要性

img-220916_factory-security-03.jpg

網絡攻擊的對象除了辦公室及家庭中使用的設備以外正呈現不斷擴大的趨勢。同時還出現了以被稱為“新一代工廠”的智能工廠為目標的動向。在傳統工廠中通常會使用工業用機器人以及自動組裝機等,并通過制造執行系統(MES)以及ERP等實現管理及網絡化。

但該網絡設計限制在工廠內部,因此無需通過互聯網連接外部。如今為了實現智能工廠化,連接互聯網的IoT設備是不可或缺的。

然而,一旦IoT設備被發現存在漏洞,則可能成為零日攻擊的目標。例如,假設遠程訪問工廠內本地網絡的IoT設備時,為了進行維護而插入了U盤。

感染了以此作為入侵途徑的惡意軟件的IoT設備可能會被作為入侵的跳板。由于僅依靠邊界防御無法完全避免此類攻擊,因此也需要設備層面安全性對策。

殺毒軟件

img-220916_factory-security-07.jpg

如上所述,不僅是網絡方面,對于設備層面也需要采取安全性對策。在設備層面進行殺毒的軟件大致可分為“阻止列表方式”與“允許列表方式”。以下將對此進行詳細說明。

阻止列表方式(Block List)

阻止列表是指根據定期更新的定義文件(阻止列表),阻止驅除可疑代碼或數據的方式的安全性對策。大部分的傳統殺毒軟件通過阻止列表方式進行安全性對策。

但阻止列表方式在應對不斷進行代碼變更的惡意軟件、在發布定義文件前進行攻擊的零日攻擊方面存在課題。并且由于該方式需要更新定義文件以及定期掃描,因此運用成本及設備穩定運行方面存在不確定性。

允許列表方式(Pass List、Safe List)

允許列表方式是一種制作只允許執行獲得許可的高可靠性代碼的列表,并且拒絕該列表中刊載內容以外的所有訪問的安全性對策方式。允許列表也需要根據需要添加允許代碼等的維護工作,但不需要像阻止列表的定義文件那樣進行頻繁更新。

允許列表方式還可應對惡意軟件及零日攻擊。同時,由于不需要定期掃描,因此可以削減運用成本,減少妨礙設備穩定運行的不確定性。

》配備了McAfee白名單殺毒軟件的康泰克嵌入式計算機

TPM(Trusted Platform Module)

TPM是指以TCG(Trusted Computing Group)定義的規格為準的安全性芯片。該功能能夠安全保存及管理以往保存在存儲器內的密鑰等信息。由于其獨立于OS及其他硬件進行運行,因此具有較強抵御外部攻擊能力的特點。TPM的功能還可以運用于設備的各類安全性對策中。代表性的事例為Windows的“BitLocker”。

1.jpg

搭載TPM 2.0的嵌入式PC

2.jpg

搭載TPM 2.0的觸摸屏PC

3.jpg

搭載TPM 2.0的工業PC

BIOS攻擊及其對策(NIST SP800-147)

img-220916_factory-security-09.jpg

BIOS攻擊是指利用BIOS安全漏洞的攻擊。BIOS是Basic Input Output System的縮寫,是指在啟動電腦時最初執行的程序。如果BIOS遭到攻擊,電腦將無法啟動,因此十分棘手。

即使是殺毒軟件也無法檢測出BIOS感染的計算機病毒。在最壞的情況下甚至需要更換保存有BIOS的閃存等硬件。

符合NIST SP800-147(ISO 19678)的安全BIOS

TCG(Trusted Computing Group)的TPM(Trusted Platform Module)以及NIST(美國國家標準與技術研究院)SP800 針對旨在提高設備層面安全性的舉措制定了指南,并且實施了各廠家提供符合該指南產品的措施。NIST SP800要求全球所有與美國國防部有業務往來的公司都要遵守該指南,今后,該舉措將不僅局限于美國政府,其他主要國家也開始紛紛效仿美國。

NIST SP800-147是通過保護BIOS來保證設備可靠性的指南??堤┛颂峁┯写钶d了BIOS寫入保護、數字簽名、加密、密碼等保護功能,并且符合NIST SP800-147的安全BIOS的產品。

11.jpg

搭載了NIST SP800-147 安全BIOS 的嵌入式計算機

22.jpg

搭載了NIST SP800-147 安全BIOS 的觸摸屏一體機

實現符合NIST SP800-193、NIST SP800-171

綜合性考慮安全性風險,并從上述的網絡彈性觀點出發進行擴展的指南NIST SP800-193也已發布。同時,也公布了擴展到組織結構和計劃的綜合安全標準的NIST SP800-171??堤┛艘舱陂_發搭載檢測和恢復BIOS修改功能,并且符合NIST SP800-193的工業用計算機。

審核編輯(
李娜
)
投訴建議

提交

查看更多評論
其他資訊

查看更多

最新推出工業用邊緣AI計算機” DX-U1220“ 配備大容量SSD,USB3.2 Gen2款式

通天閣體驗游樂設施高塔話題提供的視頻服務處理技術中采用了工控機“VPC-5000"

日本大阪通天閣體驗型游樂設施高塔滑梯的視頻服務處理技術中采用了工控機“VPC-5000”

有關Web HMI/SCADA軟件 CONPROSYS HMI System,康泰克開展期間限定降價35%促銷活動

康泰克最新推出擴展性能優異的高性能超薄塔式PC “LPC-700系列”