避免工廠成為駭客組織的提款機 智慧製造資安防護不可輕忽

在經過多年智慧製造的推廣以及工業4.0的導入，或多或少地現在的生產現場已經不再是過往的無網路環境的狀況。取而代之的是，更多的資訊設備以及網路連線環境。當然，帶來的是更方便、更明確的生產管理能力，但同樣的也產生了一個過往不太被生產單位注意到的問題 – 資訊安全。

網路攻擊可直接影響產線作業　製造業不可輕忽

太遠或太早的資安事件不提，光是台灣在2020年，就已經在工業生產領域發生多起網路攻擊事件。2020年6月就有自動化設備商-盟立被勒索軟體攻擊，導致資料庫無法存取；2020年6月也有PCB生產大廠欣興電子遭到病毒感染，造成資訊系統與網站斷訊。以上兩個事件都是發生在6月，雖然看起來並不嚴重，且廠商也都在短時間內就恢復正常運作。但可不是每一次事件都能這麼簡單解決。

比較重大的網路攻擊事件，發生在2020年7月，台灣Garmin驚傳遭駭，不但導致Garmin客服中心、軟體更新服務以及Garmin Connect等服務暫停。更令人擔憂的是，此次網路攻擊還導致Garmin產線必須停工兩天。

雖然Garmin在官網表示，「沒有跡象顯示這次服務中斷對用戶資料有任何影響，包括活動資料、行動支付或其他個資。」但可以確定的是，這次的攻擊已經對Garmin的生產線造成實質的影響，從公布的訊息是停工兩天，但實際上的影響可能更廣。

除了台灣之外，工業生產大國日本，也沒有倖免於攻擊之外。今年6月，根據國外媒體NBC的報導以及本田的公告指出，本田(Honda)部分產線因公司發現「電腦網路毀損造成無法連線」，不但取消部分的工廠作業，也直接影響了本田日常的業務運作。

以上的案例，均只是2020年大約兩個月左右的部分案例。而且令人憂心的不止是數量的問題，更需要注意的是，由於智慧製造的導入，現在駭客只需要造成伺服器或網路服務中止，就可以直接影響到企業最重要的商業活動 – 生產。

這個在過去的生產環境是不會發生的，過去產線的機台大多沒有連接上網路(或僅是內部獨立的網路)，駭客的網路攻擊，很難直接影響到工廠的生產行為。現在則完全不一樣了，駭客只要能找到系統的漏洞，他就可以在遠端直接影響到工廠運作，對一些大型製造業來說，工廠光是停擺一天，直接或間接的損失可能都是幾百萬美元在計算的，更不用說產線無預警停工，會直接影響到客戶對製造業者的信任。

工業控制環境複雜  資安解決方案部署難度高

工業生產環境與一般資訊服務設備的環境最大的不同在於，大多數的生產環境所使用的設備，可能都還存在10年前甚至15年前的設備。而上面在運行的作業系統，可能還是WindowsXP或其他專屬作業系統。

而更麻煩的事情是，太久的設備往往已經找不到原始的設備製造商，所以如果要進行任何系統的修補或調整，可能都還找不到適合的窗口可以詢問與溝通。而在這樣的情況下，製造業者可能就會選擇不進行系統修補，畢竟現在設備還能使用，誰也不敢保證，這個系統修補執行下去，設備如果不能動了，該怎麼復原？！

老舊工業電腦的系統修補問題，已經有點麻煩。但工控領域最麻煩的是，很多設備的主要控制器，都是使用可程式邏輯控制器(Programmable Logic Controller；PLC)。PLC擔任工業生產設備的主控角色已經有長達三四十年的歷史，它的價格不貴且擴充性與系統穩定性均非常符合工業生產的需求。但最大的問題在於，PLC在設計之初，主要考量系統通訊效率與可用性，但並沒有將資訊安全機制直接內建於系統上。

「多數人認為工控環境只有工業電腦是有資安風險的，而PLC則沒有，但事實上完全不是這樣！」竣盟科技總經理鄭加海表示，其實PLC在各種功能與系統作用上，是可以直接視為一台電腦的(或是稱為有特殊用途的電腦)，因此各種電腦的攻擊，大多也都有可能發生在PLC上。過往PLC沒有被攻擊，最可能的原因只是因為，過往的生產環境並沒有連接網路，再加上過去PLC的通訊介多又雜，駭客要攻擊PLC成本過高且效益太低。

舉例來說，PLC運作的模式主要是透過在PLC內的記憶體，存放與修改各種生產參數或指令，然後進行生產設備的控制動作。如果PLC在撰寫程式或系統建構時，沒有建構適當的權限控管的話。駭客只需要透過遠端電腦，取得PLC所在網路的控制權時，駭客就有可能可以直接修改PLC記憶體的生產參數，進而使生產設備產生錯誤動作或是使得良率大幅下降。造成生產線不得不停工找出良率下降的原因，最糟糕的情況下還可能造成工安意外。

誘捕系統與智慧型關連式分析系統  加強現有產線安全防護

那面對這麼複雜的工控環境，我們能做的安全防護有哪些呢？首先，若是在新建的生產環境，在設計之初，最好就將安全防護的實作在環境內，而IEC 62443就是一個非常好的生產環境規劃實作的參考標準。透過這個標準的指引，新設的生產線能全面地架構出一個具備良好安全基礎的環境。

但如果我的環境已經是生產多年的生產線怎麼辦呢？這時候除了最基本需要架構的防火強、入侵偵測系統等基本IT邊界防禦設備之外，更可以透過「誘捕系統」以及「智慧型關連式分析系統」來建立起安全的防護網。

簡單的說，誘捕系統就是一個獨立於真實生產線的一個「虛擬生產環境」，這個「虛擬生產環境」在正常作業下，是不會被任何設備或系統存取的，但外部的駭客在對生產環境進行攻擊時，就有可能會攻擊到「虛擬生產環境」。這時我們就可以知道這個存取的行為，非常有可能是駭客攻擊。

除誘捕系統之外，「智慧型關連式分析系統」能持續針對產線的網路行為進行分析。尤其是當誘捕系統發現不正常存取時，更能針對性地進行駭客行為的記錄與分析，然後通知人員進行必要的資安防護作為。讓駭客在進行攻擊前部署時，我們就直接切斷攻擊來源或是進行生產線的隔離動作等等。

透過這樣的機制，我們不需要冒著高風險去更動產線現有設備的程式或架構，而是採用外部或週邊防護的方式，針對現有的設備進行安全防護。降低工廠因為駭客攻擊而產生的損失。

資安通報與產業聯防機制　持續更新防禦機制

各式各樣的資安防護技術與設備非常多，但如何面對日新月異的網路攻擊模式呢？「落實資安通報與產業聯防機制，是面對未來新型攻擊不確定性的最佳策略之一」鄭加海強調。透過自動化的通報系統以及全面即時的產業資安戰情聯防機制，才能在一個新的攻擊模式出現後，即時地進行防護環境的調整與對應，確保自家生產環境受到攻擊的風險降到最低。