1996 年经典动作冒险电影《碟中谍》中,阿汤哥饰演的伊森·亨特 (Ethan Hunt) 黑入目标建筑暖通空调 (HVAC) 系统,破坏其安全控制措施以顺利执行任务。如今,电影中充满未来感的桥段已成现实。

在最近的一份咨询报告中,美国国土安全部 (DHS) 对某流行智能楼宇自动化系统中的漏洞给出了最高严重度评分。该系统接入网络并通过 Web 界面控制空调、暖气、门锁等。攻击者可利用该漏洞通过非法后门脚本获得完整系统访问权限,并在易受攻击设备上以最高权限执行命令。

由于每个楼宇管理系统 (BMS) 都在线,可通过互联网访问并破解这些系统以破坏智能楼宇运营。不可能已变为可能。

对关键基础设施的网络攻击正变得越来越普遍。事实上,《纽约时报》最近报道称,美国正加大对俄罗斯电网的网络攻击力度。这个新战场的主角包括民族国家、恐怖分子和网络罪犯。幸运的是,有助于缓解无意疏忽、恶意内部人和员工人为失误的很多控制措施,也可以解决来自黑客和破坏者的外部威胁。

最近的 DHS 咨询报告表明,智能楼宇中的 BMS 无法抵御这些威胁。由于与硬连线解决方案、云解决方案和第三方应用程序集成并互连,这些系统的攻击界面很大,且有越来越大的趋势。

与此同时,随着越来越多的楼宇变得 “智能”,越来越多的基础设施参与融合,以及工业物联网 (IIoT) 成为 BMS 事实上的标准,风险预计将呈几何级上升。事实上,市场研究公司 Frost&Sullivan 指称,BMS 市场 2019 年创造了 58 亿美元,预计到 2022 年其复合年增长率 (CAGR) 可达 4.7%。

尽管 BMS 在简化流程和降低成本方面可以带来巨大的好处,但若不将安全内化为其部署和管理的一部分,则也有可能带来危害。例如关闭 HVAC 系统就很有可能导致数据中心迅速升温,烧毁硬件,对业务造成广泛而永久的损害。

这些系统有多脆弱?DHS 的咨询报告提醒称,攻击者可以通过 “非法后门脚本” 获得对 BMS 的 “完整系统访问权限”,可致攻击者能以最高权限在脆弱设备上执行命令。该通报还指出,此漏洞无需太高技术水平即可远程利用,漏洞严重性评分为 10.0——行业标准通用漏洞评分系统最高评分。通报写道,利用这个漏洞可以 “一键锁定整栋楼宇”。

电影桥段成为现实,凸显了拥有健壮 BMS 安全系统的重要性,能在网络级和设备级监测威胁已成 BMS 系统必备功能。IT 运营的安全态势一贯如此,但相同的方法尚未应用到楼宇运营等关键基础设施运营上。

正如我们从挪威铝业巨头 Norsk Hydro 和世界最大特种化学品及材料公司 Hexion & Momentive 最近遭遇的勒索软件攻击中看到的那样,IT 与 OT 的融合需要这两个领域间更紧密的合作,令两个基础架构上的可见性、安全性与控制措施均达到必要水平。由于 IT 工具与 OT 不直接互通,只有通过更高水平的安全集成、协作与情报共享才能识别源于任一环境并在两者间横向移动的威胁。

只要工业网络安全融入 BMS 基础设施并与 IT 安全工具集成,解决和修复漏洞将更快、更容易、成本更低。同时,安全事件导致楼宇运营系统崩溃的可能性将变得 “不那么可能”。

DHS 咨询报告原文:

https://ics-cert.us-cert.gov/advisories/ICSA-19-157-01

声明:本文来自安全牛,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。