本網站使用cookies以改善您的使用體驗,並提供更優質的客製化內容。若您未改變cookies設定並繼續瀏覽我們的網站(點擊隱私權政策以獲得更多資訊),或點擊繼續瀏覽按鈕,代表您同意我們的隱私權政策及cookies的使用。
工控安全
25.May.2021
如何抵擋駭客攻擊,提升工控系統主動防禦力?(下)
IEC 62443-4-1 & IEC 62443-4-2 OT安全的「Why/What/How」(下)
用兵之法,無恃其不來,恃吾有以待也;無恃其不攻,恃吾有所不可攻也。──《孫子‧九變》
早在 2500年前,孫子充分展現了中國文化的智慧,這句話中有三個關鍵字:「敵」、「我」、「待」。其中「敵」,根據其「意圖」、「動機」、「能力」與「資源」依威脅程度分級為:
早在 2500年前,孫子充分展現了中國文化的智慧,這句話中有三個關鍵字:「敵」、「我」、「待」。其中「敵」,根據其「意圖」、「動機」、「能力」與「資源」依威脅程度分級為:
- 非故意且不具對應能力與資源的非授權使用者。
- 故意但動機不足、不具特定能力與資源不算充裕的非授權使用者。
- 故意且具有中度動機、具備對應的安全能力且具備中度資源的非授權使用者。
- 故意且具備高度動機與對應的安全能力。此外,還有高度資源(可能是國家等級資源)的非授權使用者。
至於關鍵字「我」、「待」,面對以上四種等級的敵人,「我」們應該視「可用的資源」以及「我方」願意承擔的風險,選定對應的安全等級,是吾有以「待」之。攻擊總是比防禦需要準備更多資源,因此攻擊方的策略是將資源挹注在少數有機會的缺口,找到破口後再深入挖掘可以利用的漏洞,獲得更多可供利用的破口;防禦雖然有先天的優勢,但因為守備範圍廣,所以重點在於延展防守的廣度以及縱深的防禦。根據可接受的風險選定對應的策略,除了避免殺雞用牛刀的情況,也藉由這樣的方式,讓資源能夠聚焦在關鍵的資產部位,降低風險。
防禦技術要求(IEC 62443-4-2)
安全限制
在進入安全要求前,有四項安全限制是不可以違背的,藉由這四項限制讓產品與系統的安全策略一致,不相牴觸。
- 先求不傷身體在講求療效:必須支援必要功能(Essential Function)的運作。
- 成功不必在我:不需要所有安全要求都由單一產品(元件)實作,也可以透過系統內的其他元件藉由縱深防禦補償安全弱點。
- 建立防火牆:所有的元件(Component)僅開放運作所需最小權限,避免攻擊者攻擊成功後取得不必要的權限。
- 戰略與戰術協同一致:戰術與戰略相互搭配,才能避免建樹不見林的問題,IEC 62443-4-2的技術要求必須與IEC 62443-4-1定義的防禦策略一致。
七大基礎要求 (Fundamental Requirements, FR)
FR 1 – Identification and Authentication Control
以保障授權使用者合法存取為目標,從非授權存取手法分別就「攻擊路徑」、「帳號與識別管理」、「識別器(Authenticator)管理」、「密鑰/公私鑰管理」這幾個面向進行要求。常見的Public Key Infrastructure (PKI) 管理議題、證書洩漏或過期問題都屬於此項。在此項如果發生資安問題,常見的影響會是敏感資料外洩以及系統被非授權使用者接管或控制,同時也是攻擊者取得基礎授權的第一步,不可不慎。
FR 2 – Use Control
FR 1 講的是角色或是使用者的識別,FR 2則是通過識別後的權限控管。其內容涵蓋了「授權管理」、「會議(Session)管理」、「動態執行碼(Mobile Code)管理」以及「稽核資料保護」。常見的會議劫持(Session Hijacking)、跨站請求偽造(Cross Site Request Forgery, CSRF)、跨網站指令碼攻擊(Cross-Site-Scripting, XSS)都屬於此範圍。此項目長踞OWASP Top 10,且頻繁出現在網站服務以及遠端服務上,漏洞數多且攻擊成功率高,是防守方需要特別留意的項目。
FR 3 – System Integrity
FR 3規範了「通訊、程式碼、軟韌體與會議(Session)的完整性」,以及問題發生時的反應機制。當中的「注入驗證 (Input Validation)」與「惡意程式防護(Protection from Malicious Code)」是在「揭露」階段常用的手段。透過注入攻擊(Injaction Attack)觸發異常行為,例如:記憶體溢位,進一步執行惡意程式(Malicious Shellcode)取得控制權;惡意程式防護在程度上也與注入攻擊相似,只有在攻擊的策略有不同。
其中,在針對嵌入式設備的要求(Embedded Device Requirements EDR 3.2)中,特別列舉對應的防護機制,諸如:No Execute (NX) bit、Data Execution Prevention(DEP)、Address Space Layout Randomization (ASLR)等等。雖然進階的攻擊手段有機會繞過上述防護機制,但也著時遏止初階的攻擊行為,以及消耗中高階攻擊者的資源,降低攻擊動機、增加反應時間。
其中,在針對嵌入式設備的要求(Embedded Device Requirements EDR 3.2)中,特別列舉對應的防護機制,諸如:No Execute (NX) bit、Data Execution Prevention(DEP)、Address Space Layout Randomization (ASLR)等等。雖然進階的攻擊手段有機會繞過上述防護機制,但也著時遏止初階的攻擊行為,以及消耗中高階攻擊者的資源,降低攻擊動機、增加反應時間。
FR 4 – Data Confidentiality
FR 4 定義了「敏感性資訊的保護要求」以及「使用的密碼邏輯」。其中,「使用的密碼邏輯」推薦以NIST FIPS 140定義的密碼模組規範,以提供防護端更完整的安全要求標準以及指引。
FR 5 – Restricted Data Flow
FR 5定義了「網路切割要求(Network Segmentation)」並導入「Zone」的概念,藉由相同安全能力的設備,組成Zone的範圍.並以安全能力決定Zone 與Zone之間允許傳遞的資訊,藉以將重點資源投放在關鍵的設備,例如 Zone和Zone的邊界,做好資料流的管理。
FR 6 – Timely Response to Events
FR 6除了定義「稽核紀錄管理」以在於問題發生時判斷問題來源、盤點損害範圍並快速做出反應外。也定義了「持續監控機制」,期能在最快時間內偵測入侵活動。
FR 7 – Resource Availability
FR 7規範了「資源管理」以及「系統備援機制」,解決或降低目標設備資源被耗盡後的影響。今(2021)年即發生好幾起國內網路供應商受到分散式阻斷服務攻擊,導致系統無法正常提供服務的情況。倘若防禦端的設備與健康、安全及環境相關,則更需要留意此類型的攻擊行為,避免造成人員、財產的損失。
結語
矛盾不矛盾
楚人有鬻盾與矛者,譽之曰:「吾盾之堅,物莫能陷之。」以譽其矛曰:「吾矛之利,於物無不陷也。」或曰:「以子之矛陷子之盾,何如?」其人弗能應也。夫不可陷之盾與無不陷之矛,不可同世而立。──《韓非子,難一》
楚人扮演一個常見的標準錯誤示範:「只有規格但沒有測試,如何驗證結果?」,但他很幸運的被點出問題,「以子之矛陷子之盾,何如?」雖然故事沒有下文,但如果故事背後的展開是楚人在每做出一面盾之後,便根據這個盾的用途與使用情境,選擇合適的矛做測試。測試的結果作為矛與盾的改善標的。在持續的強化迭代下,矛與盾不再矛盾,最終成為捍衛楚國的神兵利器。
對比IEC 62443,持續符合情境的改善方案記述在IEC 62443-4-1;定義矛要多利、盾要多硬的則是IEC 62443-4-2的範疇.如果不想和故事中的楚人踏進相同的誤區,兩個標準必須相互搭配成為增值迴路,不可或缺。
此外,資安威脅是期待的安全等級與實際安全防護間的差距,補足這段差距的是名為IEC 62443-4-1的策略,以及IEC 62443-4-2的要求。這當中最容易被忽略的是「實際安全防護」的量度。除了透過威脅建模以及相關測試作為模擬考與隨堂考之外,更重要的是理解攻擊者的思維脈落,才能根據自身能夠承擔的風險對症下藥,讓防守方取得與攻擊者在不對稱戰場上匹敵的能力。
媒體報導
楚人扮演一個常見的標準錯誤示範:「只有規格但沒有測試,如何驗證結果?」,但他很幸運的被點出問題,「以子之矛陷子之盾,何如?」雖然故事沒有下文,但如果故事背後的展開是楚人在每做出一面盾之後,便根據這個盾的用途與使用情境,選擇合適的矛做測試。測試的結果作為矛與盾的改善標的。在持續的強化迭代下,矛與盾不再矛盾,最終成為捍衛楚國的神兵利器。
對比IEC 62443,持續符合情境的改善方案記述在IEC 62443-4-1;定義矛要多利、盾要多硬的則是IEC 62443-4-2的範疇.如果不想和故事中的楚人踏進相同的誤區,兩個標準必須相互搭配成為增值迴路,不可或缺。
此外,資安威脅是期待的安全等級與實際安全防護間的差距,補足這段差距的是名為IEC 62443-4-1的策略,以及IEC 62443-4-2的要求。這當中最容易被忽略的是「實際安全防護」的量度。除了透過威脅建模以及相關測試作為模擬考與隨堂考之外,更重要的是理解攻擊者的思維脈落,才能根據自身能夠承擔的風險對症下藥,讓防守方取得與攻擊者在不對稱戰場上匹敵的能力。
媒體報導