工业物联网(IIoT)被证明是传感器的一把双刃剑。当然，它带来的连通性简化了它们的安装，并简化了收集的数据的分布。但工业物联网也让黑客更容易利用传感器闯入工业网络并制造麻烦。
传感器和其他智能设备已经开始捕捉黑客注意的另一个原因是大多数这些设备都没有设计用于网络安全。添加至于它们旨在沿网络内的数据收集和传递的事实。“这些设备中的漏洞可以让黑客劫持会话的手段，以可能欺骗最终消费者的方式更改数据或修改数据收集模式，”副总裁Dave Weinstein说：Dave Weinstein说网络安全供应商的威胁研究Claroty。
漏洞属于两个基本类别。第一个是软件错误，即黑客可以利用在内部以控制网络本身或外部对抗其他目标来启动攻击。第二类漏洞是硬件。可以通过操纵硬件本身的物理特性来启动攻击，例如通过使用声学或电磁波来安装欺骗数据的转换攻击。
“硬件漏洞，虽然稀释，但不太常见，”Weinstein报告。“大多数事件涉及软件错误 - 而这些事件比硬件漏洞更容易解决。”
即便如此，这些漏洞可能会对制造业务构成严重威胁。“攻击者不是针对信用卡号码或其他个人信息，”应用程序，网关和安全部的工程总监Eric Braun观察爱默生自动化解决方案。涉及对工业控制系统（ICS）的攻击时，许多肇事者都希望造成物理损害。对于证据来说，布劳恩指向2017年在石油化工厂发现的Triton恶意软件，该植物旨在旨在设施的安全系统。
黑客最可能的矢量用于在传感器或类似装置上发射攻击的攻击将是普渡参考模型的较高互联网层。这种攻击通常具有某种网络钓鱼方案。“攻击者将针对个人，并试图让他们打开恶意附件或点击恶意链接，”布劳恩解释道。“这些动作将允许攻击者窃取凭据，浏览网络，并将其向下工作到Purdue模型的下层。”然而，在一个有防火墙的分段网络中保护每个段，黑客不太可能深入钻入网络。
一个新的攻击矢量
这些日子更有可能是对黑客来攻击不再在Purdue模型中概述的层次结构底部的传感器的攻击传感器。今天的IIOT设备直接与您正在交换的数据或谁进行通信。通过这种连接，例如，可以通过云将利用数据传输到机器人的构建器的驱动器。“这可能是在说，根据我的职责循环，我需要在大约17天和四个小时内更换特定部分，”Dan Schaffer产品营销经理凤凰城联系。
随着这种数据交换可以用于最大化性能和正常运行时间，机器人与互联网直接谈话，而不是通过传统的控制层次结构。This direct communication circumvents the several layers of firewalls that would exist between the logical segmentations of a secured network following the Purdue model or security standards like ISA99 and IEC 62443. “If there is a flaw in the robot’s operating system, it could allow the robot to be the victim of a buffer overflow or some sort of other communications attack,” Schaffer notes.
此类漏洞可以潜入最初在普渡或其他模型周围设计其制造操作的网络安全性的用户。“这些用户认为他们秉承模型，但真的不是，”Schaffer说。“他们认为他们是最好的做法，但不是。”
在设备中，妨碍用户以这种方式让他们的守卫是在目前随处出现的IP摄像机。“视觉图像正在成为流程的关键数据流，”Schaffer说。“相机很便宜，很容易部署技术，可让您立即了解在给定位置发生的事情。”因为这些设备通常不受网络安全设计的，所以从远程位置通过因特网传输的视频流可以容易地是攻击向量。
为了进一步说明这一点，谢弗指出了两个最近在iLnkP2P中发现的漏洞——溢出漏洞和身份验证漏洞。iLnkP2P是深圳云尼科技公司推出的一款广泛使用的点对点软件。超过200万台IoT设备(包括IP摄像头)受到影响。黑客有可能利用这些漏洞拦截视频流和窃取设备凭证。
未受保护的IP摄像机也是最近在银行业首次发现的Mondet特洛伊木马恶意软件最近的IOT设备中的物联网设备中的。新变种作为命令和控制攻击中的代理，将IP摄像机和其他物联网设备作为代理商，从而允许MODET通过中间人进行通信，而不是直接与命令和控制服务器进行通信。
 |
Phoenix联系人的Mguard安全路由器和其他设备可以作为工业网络的防火墙。 |
防止攻击
为了防范这些威胁，安全专家敦促用户确保其传感器和智能设备安全地藏在合适的防火墙后面。并且由于没有网络是坚不可摧的，他们进一步建议用户开发一种防御策略，包括将网络划分为逻辑段，以包含可能发生和监视流量以检测和停止这些入侵的任何入侵。
为支持这一努力，自动化供应商已经推出了许多可以作为工业网络中防火墙的设备。例如，Phoenix联系人的FL MGUARD系列网络安全设备包括工业级路由器和集中器。即使公司的I / O设备和安全桥也旨在支持网络安全。像这些使用的设备使用加密以保护数据和认证协议以仅允许授权流量。他们还可以基于它来自它的谁，积极地阻止流量，它来自哪里以及它的流量类型。
“该技术与其在数据中心中使用的类型相同，”Schaffer说。然而，菲尼克斯联系人和其他自动化供应商的菲尼克斯联系人和其他自动化供应商在工厂楼层上打包了控制柜。这意味着该装置被硬化以承受通常在制造设施中发现的湿度，温度和电磁干扰。另一个重要的区别是，这些工业安全设备旨在由控制工程师管理，而不是管理网络的IT专家。
艾默生在其基于WirelessHART协议的无线技术中加入了许多相同的防御原则。“WirelessHART在保护传感器网络方面做了很多工作，”布劳恩报告说。“事实证明，与一些更不受保护的有线网络相比，它是一个非常安全的选择。”
内置安全措施可防止多种网络入侵，包括重播攻击，窃听，欺骗，中间人和拒绝服务（DOS）攻击。例如，WirelessHart支持图层并使用AES-128位加密使用多个键加密所有数据。“网络上的所有设备都被认证，因此用户不必担心不需要的或流氓活动，”布劳恩说。
事实上，无线通信中的加密传输目前在普通型模型的较低级别填充了空白，包括AUREL Buda，工厂自动化产品经理Turck。“除了无线通信系统之外，几乎没有自动化的现场级别的通信协议支持加密，”他说。
Buda归属于这种缺乏支持，部分地部分地分离制造公司试图维护其自动化和IT网络之间的分离。在过去，感知是，分离使得不需要保护现场级通信。Buda在现场级别提供加密支持的稀缺的另一个原因是金钱。“安全通信以成本为止，”他说。“考虑到大型设施包括成千上万的现场设备，本质安全组件的利用将显着提高其成本。”
入侵者的侦察员
当与关闭未使用的端口的实践耦合时，控制允许交叉防火墙的流量限制了外人可能进入网络的可见性。“不知道网络上有什么让它做任何事情更难以做到，更不用说任何恶意的东西，”Schaffer笔记。“攻击你看不到的东西很难。”
虽然一个良好的网络防御将努力使网络的设备尽可能不可行于黑客，但它将努力最大限度地提高监督网络的授权人员的可见性。“你无法保护你看不到的东西，”我们是威斯坦解释道。“因此，至少用户必须提高他们的OT [操作技术]网络资产的可见性，以包括Purdue模型的0和1级的传感器和其他设备。”
对温斯坦来说，可见性不仅仅是简单地将它们添加到包含网络上设备及其配置设置列表的详细清单中。可见性还包括检查这些设备之间通信的能力。他说:“工业网络安全要求深入了解每一项资产的功能以及设备之间的关系。”“只有从网络的每个角落剖析和关联这些流程自动化对话，才能实现100%的可见性。”
为了帮助用户实现这一目标，Claroty开发了使用多光谱数据获取(MDA)的工具，这是一种被动监控、主动查询和应用程序数据库解析的组合。通过被动收集，该工具自动盘点设施的资产，并剖析每个资产的通信模式。主动查询是一个目标流程，用于收集那些通过被动监视无法收集的细节。由于一些最丰富和最新的资产数据驻留在用于从备份恢复系统的配置文件中，MDA还解析这些大型和复杂的二进制文件。由此产生的模式集合形成了Claroty的软件用于检测安全问题的基线。
但最终，所有安全措施的可见性范围必须将传感器和其他设备纳入保护网络其余部分的网络安全保护伞之下。“保护自动化基础设施需要全面的网络安全概念，必须在定期审计中重新评估，”布达说。
