【編者按】網(wǎng)絡安全一直被視為水務行業(yè)的頭等大事。水務行業(yè)為其客戶、社區(qū)、地區(qū)、鄰國、工業(yè)和農(nóng)業(yè)部門提供了關鍵的生命線服務。為了充分支持水務行業(yè)復雜的業(yè)務流程和操作，需要有效的IT技術和OT技術。隨著水利領域數(shù)字化的到來，也為水務行業(yè)帶來了無限的機遇和新的安全挑戰(zhàn)，一旦發(fā)生攻擊，產(chǎn)生的后果和社會影響將是災難性的，因此水務行業(yè)必須將網(wǎng)絡安全作為首要任務。
一、遠程訪問無處不在
在過去的幾個月里，每天都有不同的組織成為勒索軟件攻擊的受害者,網(wǎng)絡罪犯攻擊不同關鍵基礎設施的趨勢日益增長。除了數(shù)量驚人的勒索軟件攻擊外，越來越多由于遠程訪問而導致的嚴重漏洞也被發(fā)現(xiàn)。這使得網(wǎng)絡罪犯更容易利用攻擊目標，其中一個受遠程訪問安全影響最大的目標行業(yè)就是水務行業(yè)。
由于水務基礎設施在社會中的重要作用，連接到網(wǎng)絡的水利系統(tǒng)已經(jīng)成為網(wǎng)絡犯罪分子通過內(nèi)部和外部威脅以及供應鏈攻擊等不同攻擊載體進行攻擊的誘人目標。
自2021年初以來，已經(jīng)出現(xiàn)了不同的水廠被網(wǎng)絡犯罪分子成功攻擊的案例。1月15日，舊金山的一家水處理廠被一名企圖毒害該廠的攻擊者利用，網(wǎng)絡罪犯通過使用一名前雇員的TeamViewer賬戶密碼獲得了訪問權限。一旦攻擊者進入自來水廠的系統(tǒng)，就立即刪除了自來水廠用來處理飲用水的程序。攻擊第二天才被水廠發(fā)現(xiàn)，水廠更改了密碼并重新安裝了程序。
幾周后，又發(fā)生了一起針對水廠的攻擊事件，是針對佛羅里達Oldsmar供水系統(tǒng)的網(wǎng)絡攻擊。一名黑客侵入了佛羅里達Oldsmar的水處理系統(tǒng)，并劫持了工廠的操作控制系統(tǒng)，攻擊者可以暫時把水中的氫氧化鈉含量提高到有毒的水平。幸好被一名操作人員很快發(fā)現(xiàn)，并將水質恢復到正常水平。
圖1 佛羅里達州Oldsmar發(fā)生的攻擊事件
2018年，國土安全部(DHS)和聯(lián)邦調查局(FBI)警告稱，俄羅斯政府專門針對水務部門，這導致美國政府成立了網(wǎng)絡安全和基礎設施安全局(CISA)，以確保關鍵基礎設施的網(wǎng)絡安全為即將到來的物理威脅做好準備。
圖2 多年來對水的網(wǎng)絡攻擊
隨著時間的推移，水和廢水基礎設施的攻擊面只會繼續(xù)擴大。這引發(fā)了加強網(wǎng)絡安全和更安全的遠程訪問的優(yōu)先考慮，因為更多的水務公司將成為可能導致災難性后果甚至死亡的網(wǎng)絡攻擊受害者。
二、水務公司是誘人目標
美國有近20萬個飲用水系統(tǒng)，為近3億美國人提供自來水。這些供水系統(tǒng)分布在城市、學校、醫(yī)院、寫字樓和其他地方。當關鍵的水務系統(tǒng)被網(wǎng)絡安全攻擊利用時，惡意活動可能會對公眾健康和安全造成毀滅性的后果。
對自來水設施的攻擊可能會導致污染、運行故障和服務中斷，這會導致潛在的疾病和人員傷亡。此外，這可能會導致應急小組的妥協(xié)，并可能影響不同的交通系統(tǒng)和食品供應。此外，威脅行為者除了攻擊物理供水設施設備外，也會攻擊對日常運營至關重要的過程控制系統(tǒng)。水務部門還負責一些關鍵的個人數(shù)據(jù)，這些個人數(shù)據(jù)對網(wǎng)絡罪犯來說是極具吸引力的目標。事實上，政府情報部門已經(jīng)證實，飲用水和廢水系統(tǒng)已成為多階段入侵行動的一部分，并成為各民族國家和尋求危害國家或獲取非法收益的個別罪犯和其他團體的直接目標。
另一個成功攻擊自來水公司的例子是亞特蘭大市的勒索軟件攻擊。2018年3月，亞特蘭大市和亞特蘭大市流域管理部門的員工無法打開其作電腦并獲得無線互聯(lián)網(wǎng)接入，在攻擊發(fā)生兩周后，亞特蘭大徹底關閉了水務部門網(wǎng)站，“以進行服務器維護和更新，直到進一步通知”。亞特蘭大花了幾個月的時間才恢復，費用高達500萬美元。
三、遠程訪問為攻擊者提供了切入點
現(xiàn)在水務公司需要比以往任何時候都要更認真對待如何管理遠程訪問。
在過去的十年中，水利基礎設施和公用事業(yè)背后的技術與OT和IoT設備變得更加互聯(lián)。自來水公司正在使用不同的連接設備，如控制器、傳感器和智能電表來遠程監(jiān)控和管理流程，這很容易使其成為網(wǎng)絡罪犯滲透的目標。
對于水務公司來說，智能計量可以提高效率，但遠程訪問也會成為成功攻擊的關鍵切入點。遠程訪問安全性差可能使來自內(nèi)部和外部的網(wǎng)絡犯罪分子遠程訪問主操作系統(tǒng)，并造成嚴重的社區(qū)健康問題，如污染水源等。
還有一個問題是，由水管理機構部署的智能電表和水設備可能會被網(wǎng)絡攻擊滲透。如果智能電表受到攻擊或逆向工程破壞，網(wǎng)絡犯罪分子就有可能進入電表基礎設施，這將使他們能夠在組織的系統(tǒng)和網(wǎng)絡內(nèi)橫向攻擊和移動。
智能電表的不同漏洞突顯了更好的設備保護的重要性和必要性。對于使用ICS、控制器、智能電表、傳感器等互聯(lián)公用事業(yè)設備的組織來說，對其進行適當?shù)谋O(jiān)控和管理至關重要。通過了解誰有權訪問，他們從哪里訪問，以及對水利公用設備的不定期活動，可以減少成功的遠程攻擊水務系統(tǒng)的機會。
四、水務安全是重中之重
水務組織必須優(yōu)先考慮安全問題，必須要留出適當?shù)馁Y源和精力來保護公司的基礎設施和設備。這個過程首先要深入了解水和廢水系統(tǒng)存在的不同安全風險，以及需要采取哪些步驟來確保更好的安全性。
圖3 組織采取更主動降低風險的方法
隨著針對水廠的成功攻擊越來越多，以及人們對自來水設施不同風險的認識不斷提高，越來越多的組織開始慢慢認識到在保護其IT和OT系統(tǒng)時實施正確的安全做法的重要性。隨著水廠采用更智能的傳感器和其他物聯(lián)網(wǎng)設備，使其基于水的過程自動化和現(xiàn)代化，這將為網(wǎng)絡犯罪分子創(chuàng)造新的可利用的切入點，以便其在組織系統(tǒng)內(nèi)能夠遠程利用和橫向移動。2020年初，黑客曾試圖通過干擾廢水流動和干擾氯的含量來擾亂以色列的供水，雖然攻擊得以避免，但其后果可能是致命的。
這一事件突顯出，公用事業(yè)公司再也不能以攻擊不太可能發(fā)生或可預見的心態(tài)來應對網(wǎng)絡安全問題了。相反，水務公司必須通過制定事件響應(IR)計劃來應對不斷變化的環(huán)境，該計劃包括細粒度的威脅驅動策略，以便更好地分析、檢測、遏制網(wǎng)絡安全攻擊，并在對運營連續(xù)性影響有限的情況下從網(wǎng)絡安全攻擊中恢復。
隨著技術的不斷發(fā)展，隨之而來的各種風險也在不斷增加。通過采用更多的連接技術和設備，迫使水務組織連接到互聯(lián)網(wǎng)，這導致了更多的遠程訪問入口點，從而導致安全事件增加。這一趨勢也導致安全團隊必須要更新其安全方法，以更好的適應遠程訪問安全和OT安全。
除了網(wǎng)絡攻擊外，供水企業(yè)還面臨著因其使用的工業(yè)控制系統(tǒng)(ICS)存在漏洞而暴露的威脅。2020年2月，商用、關鍵制造業(yè)、能源、供水和廢水處理設施使用的C-more觸摸屏被發(fā)現(xiàn)存在漏洞。該漏洞CVE-2020-6969允許攻擊者在未受保護的項目文件上解密憑據(jù)和其他敏感信息。
與水處理廠和供水機構相關的組織是公共基礎設施的重要組成部分。供水基礎設施需要定期監(jiān)控，不僅要檢測網(wǎng)絡上的潛在威脅，還要識別可能入侵的任何異常情況。因此擁有一套全面的網(wǎng)絡安全法規(guī)和安全實踐也有助于避免攻擊事件發(fā)生。
網(wǎng)絡安全風險被認為是全世界水務關鍵基礎設施面臨的最大威脅。與其他關鍵基礎設施行業(yè)類似，水務公司面臨的挑戰(zhàn)包括老舊的基礎設施、過時的硬件及軟件、未經(jīng)身份驗證的協(xié)議以及缺乏安全資源和知識。為了避免措手不及，水務行業(yè)需要采取適當措施應對可能會損害整個水務運營和基礎設施的網(wǎng)絡安全事件。水務公司應該更有創(chuàng)造性和積極的在處理網(wǎng)絡安全的問題，為此應該分配更多的資金，通過增加年度預算和減少依賴資本，改進措施來提高網(wǎng)絡安全，防止水利基礎設施的網(wǎng)絡攻擊。
網(wǎng)絡風險是一個嚴重的威脅，水務部門的組織必須將網(wǎng)絡安全作為首要任務，提高警惕是防止針對水務公司的網(wǎng)絡攻擊的關鍵。水務公司應專注于實施最佳安全做法，例如避免關鍵資產(chǎn)暴露在互聯(lián)網(wǎng)上，建立關鍵資產(chǎn)的冗余機制，采用嚴格的訪問控制政策，并提高員工的安全意識，還應該了解現(xiàn)有的安全流程，以及攻擊者如何通過網(wǎng)絡手段繞過這些流程。
隨著水務組織繼續(xù)成為網(wǎng)絡犯罪分子更具吸引力的目標，最好是現(xiàn)在就采取行動，降低任何風險，為任何針對水務公司的攻擊做好準備。決策者應該考慮新的安全方法，這些方法要能夠提供設備級別的安全設計，可以在未來數(shù)年保護其水利基礎設施。
參考資料：
【1】https://cyware.com/news/water-utilities-face-increasing-risk-of-cyberattacks-37a1d084
【2】https://www.ey.com/en_au/cybersecurity/how-australias-water-utilities-can-build-cybersecurity-resilience
轉載來源：關鍵基礎設施安全應急響應中心
