拒绝服务（DoS）攻击给全球设备制造商带来的挑战与因应之道

物联网带来的便利性让连网设备范围由消费性商品扩大至国家基础设施，美国许多地区的三表(水表、电表、瓦斯表)已经换成具备连网功能的Smart Meter。国内也在建置智慧电网，通过智慧电网可实现快速取得用户使用能源信息、精准估算能源用量并可根据用量定制收费等多重好处，让传统电表逐渐汰换为具备连网功能的数字电表。然而便利的连网设备，却成为黑客对能源公司基础设施发动攻击的利器，在其频繁攻击的手法中，甚至存在以瘫痪设备为目的的DoS攻击。消费性产品安全的不足所引起的攻击事件，第一时间的冲击可能是消费者暂时无法使用该产品，但若是对发电或供水设备进行攻击，能源公司受攻击，轻则无法取得客户的使用资料，重则可能导致大规模停电、断水，或爆发成为撼动国家安全的高级别灾难。
 

DoS攻击对工控设备造成的危害

根据调查，70%的工控系统(ICS)已知漏洞可被黑客远程操控，而其中通过远程执行代码(RCE)的漏洞侵入工控系统的比率占了49%，侵入之后进行DoS攻击的比率也高达39% [5]。另外卡巴斯基在2018年的统计调查报告中也指出，大部分工控系统上的漏洞属于重大风险等级且可能会造成拒绝服务（DoS）攻击，且其攻击成功率也高达50%[6]。

2018年德国奥格斯堡大学与柏林自由大学发表的论文"You Snooze, You Lose: Measuring PLC Cycle Times Under Attacks"指出，对可编程逻辑控制器（Programmable Logic Controller, PLC）发送洪水攻击(Flooding Attack)，能造成工控设备物理控制过程中断或失效，达到拒绝服务（Denial-of-Service, DoS）攻击的效果。ICS-CERT于2019年12月12日针对此类可能造成可编程逻辑控制器周期时间影响(PLC Cycle Time Influences)的攻击手法发布了一份报告，因其具有"可远程攻击"、"低技术要求"等特性，因而将此问题编列为CVE-2019-10953漏洞，并给予CVSSv3评7.5分，列为高风险漏洞（CVSS向量为AV：N / AC：L / PR：N / UI：N / S：U / C：N / I：N / A：H)，受影响的设备包含了ABB, Phoenix Contact, Schneider Electric, Siemens, WAGO。[3][4]

在制造业上，近年国内也在大力推动智能制造，鼓励工业设备连网以提供完整的生产履历并提升产品合格率，过去因为工厂设备无连网需求，对于网络信息安全防护的概念十分薄弱。如果厂区的安全防护机制未能跟上现代的防护观念，极可能受DoS攻击后便造成产线停摆，这将对制造业及相关的供应链造成极大损害，因此提升工控设备安全质量来降低DoS攻击的风险已是刻不容缓的事。
 

对物联网安全的规范要求

物联网设备安全问题渐渐攀升，让愈来愈多国家要求设备制造商提升设备本身的安全性，例如美国在2016年11月发布《保护IoT策略准则（Strategic Principles for Securing the Internet of Things）》；在工控领域也有工业自动化控制系统(IACS)的网络安全标准来要求工控安全。2019年2月27日IECEE（国际电工委员会电工产品合格测试与认证组织）发布工业自动化控制系统的安全性第4-2部分(IEC 62443-4-2 : 2019)，将资源可用性列为基础要求的第七项(Fundamental Requirement No.7 : Resource Availability)，其中元件要求第7.1项拒绝服务攻击的防护(Component Requirement 7.1 : Denial of Service Protection)，便针对工控设备遭到拒绝服务攻击事件而影响效能时，规定组件仍应维持良好基本功能运作。因此设备制造商将需在开发流程中验证并致力提升自身产品抵抗拒绝服务攻击的能力。[7]
 

设备制造商面对DoS攻击的因应之道

连网的便利性与信息安全如何兼具，这一直都是企业高度关注的议题，对跨越连网设备的制造商而言，如何为物联网商品提升安全性更是一项新的挑战。然而面对物联网信息安全也不是没有方法可循，首先可以通过建立符合规范的产品开发流程，在每个阶段导入安全设计重点，落实Secure by Design的概念；在测试阶段可以通过自动化工具进行测试以减少产品上市前的网络信息安全风险。

仲至信息科技旗下的「HERCULES SecDevice漏洞检测自动化工具」，具备检测连网产品环境配置与安全性评估等自动化功能，内置120多个测试项目，可协助用户在产品开发过程中发掘已知和未知漏洞，其中模拟DoS攻击的测试项目，可让设备在测试过程模拟从数据链路层(Data Link Layer)至传输层(Transport Layer)协议的DoS攻击，达到拒绝服务攻击的效果，适合让设备制造商进行DoS攻击演练与联网设备安全强度测试；「HERCULES SecFlow产品网络信息安全管理系统」可让研发团队在软件设计与开发阶段，检查所使用的第三方开放源代码套件是否存在争议性授权问题及重大网络信息安全漏洞，开发过程层层把关，进一步提升产品安全性，并使产品符合法规要求，以降低网络信息安全风险。