SCADA 人機介面 (HMI) 漏洞的現況

2017 年 07 月 21 日2017 年 07 月 19 日趨勢科技 TrendMicro

經由 HMI 攻擊 SCADA

SCADA 是所謂的「監控與資料擷取」(Supervisory Control and Data Acquisition) 系統的縮寫。普遍用於全球的各種關鍵基礎架構，因此天生就很容易吸引各種駭客的覬覦。駭客可能駭入 SCADA 系統來蒐集一些資訊，例如：廠房設施配置圖、關鍵門檻值、裝置設定等等，來協助他們從事後續攻擊。駭客攻擊可能帶來的最壞情況包括服務中斷，或是駭客利用易燃物質或重要物資來製造威脅生命安全的危險狀況。

Stuxnet 病毒及烏克蘭發電廠遭受攻擊的案例讓趨勢科技見識到，真正有心從事破壞的駭客不僅對企業是一大威脅，更可能危及社會大眾的安全。駭客有許多可入侵 SCADA 系統的管道，其中之一就是經由其人機介面 (HMI) 軟體普遍存在的漏洞。由於 SCADA 系統大多透過所謂的 HMI 軟體來管理，而這類軟體通常安裝在具有網路連線的電腦上。因此，HMI 是 SCADA 系統遭受攻擊最主要的目標之一，最好安裝在隔離或獨立安全的網路上。但根據經驗，實際情況通常並非如此。

何謂 HMI？

所謂的人機介面 (HMI) 就是顯示資料與接受操作人員指令的介面。操作人員可透過該介面監控系統狀況並做出適當的回應。今日的 HMI 大多具備先進、可自訂的資料顯示功能，讓操作人員很方便地掌握系統的狀況。

HMI 常見的漏洞類型

趨勢科技 Zero Day Initiative (ZDI) 零時差漏洞懸賞計畫團隊特別針對今日 SCADA HMI 的安全性做了一番深入研究，仔細分析了 2015 至 2016 年間所有已揭露並修復的 SCADA 軟體漏洞，其中也包括 ZDI 計畫所接獲通報的 250 個漏洞。

趨勢科技發現，這些漏洞主要分成幾類：記憶體損毀、登入憑證管理不良、缺乏認證/授權機制與不安全的預設值，以及程式碼注入漏洞，全都是可以藉由安全的程式撰寫習慣來預防的漏洞。

記憶體損毀：這類問題在所有已揭露的漏洞當中約占 20%，這類漏洞是很典型的程式碼不夠嚴謹的安全問題，例如：堆疊和記憶體緩衝區溢位，以及超出範圍的記憶體存取動作。繼續閱讀

機器人如何變壞?

2017 年 06 月 29 日2017 年 06 月 29 日趨勢科技 TrendMicro

測試工業機器人的安全極限

今日世界在各方面都極度仰賴工業機器人，然而，目前的機器人生態體系在安全方面是否足以抵擋駭客的網路攻擊？

機器人可不可能遭到駭客入侵？

基於效率、準確與安全的理由，工業機器人在許多大型生產線上早已取代了人力。這些可程式化的機械裝置，幾乎已遍及各種工業領域：汽車、飛機零件製造、食品包裝，甚至提供重要的公共服務。

很快地，機器人將成為現代化工廠一項普遍的特色，因此，我們有必要停下來思考一下，當今的工業機器人生態體系在安全上是否足以抵擋網路攻擊？這是我們前瞻威脅研究 (FTR) 團隊以及我們的合作夥伴 Politecnico di Milano (POLIMI) 在檢視今日工業機器人攻擊面時所共同思考的一個問題。更重要的是，我們希望藉由這次的機會來證明這些機器人是否真的有可能被入侵。

以下影片當中的攻擊示範，是在實驗室環境下針對工廠實際會用的工業機器人所做的測驗。由於今日工業機器人在結構上大同小異，此外也有嚴格的標準，因此，本研究所用的機器人對於為數眾多的工業機器人來說，可算具有代表性。

所謂的工業機器人，就是一套「經由自動控制、可重複程式化、多重用途的操作手臂，具備三軸或更多軸可程式化，可固定於某地，也可四處行動，主要應用於工業自動化。」

機器人可能遭到什麼樣的攻擊？

一具工業機器人需要多個部位共同配合才能順利加以操作。程式化人員或操作人員通常透過遠端存取介面，如：教導盒 (teach pendant) 來經由網路來下達一些高階指令給控制器。控制器 (基本上就是一台電腦) 接著將指令轉換成低階的指令給機器手臂的各個部位去解讀並執行。繼續閱讀

< WannaCry 勒索病毒 > 60 天前已修正的問題,怎麼還會肆虐全球呢？-「為何不修補就好？」事情沒您想像的簡單!

2017 年 05 月 17 日2017 年 05 月 17 日趨勢科技 TrendMicro

「WannaCry(想哭)勒索病毒/勒索蠕蟲」所利用的漏洞，是美國國安局 (NSA) 遭到外流的某項工具所攻擊的漏洞，同樣情況的還有另一個叫做「EwokFrenzy」的漏洞。EwokFrenzy 在 ZDI 資料庫中登記的漏洞編號為 ZDI-07-011，這是 10 年前的事了。難道這意味著該漏洞在廠商已經修正 10 年之後還有效嗎？看起來似乎如此。而這也是我們 20 多年來一直呼籲大家定期修補系統並做好備份的重要原因。

Zero Day Initiative (ZDI) 漏洞懸賞計畫機構對於修補漏洞的看法或許和大多數人不同。通常，我們會收到研究人員的第一手通報，然後我們會在內部驗證漏洞是否為真。接著，我們會通報給廠商。最後，當廠商釋出修補更新之後，我們會發布漏洞的一些詳細資訊。這些修補更新就是防範網路攻擊最好的方法。但最近，一個 Microsoft 在 2017 年 3 月即已修正的漏洞被一個叫做「Wanna」、「WannaCry(想哭)勒索病毒/勒索蠕蟲」或「Wcry」的勒索病毒所攻擊，使得全球都傳出災情。

怎麼會有 60 天前就已修正的問題會在全球造成這麼大的災情呢？人們為什麼不安裝修補更新呢？有時候，修補工作並不如您想像的容易，尤其對大型企業。

第一步：前置工作

要建立一套完整的修補作業，企業首先必須掌握自己所有的資產。而這項工作聽起來容易，做起來卻相當困難。企業可選擇採用開放原始碼軟體或商用軟體工具來搜尋並登記其網路上的所有系統和裝置。就算他們用的是免費軟體，安裝建置仍需耗費成本。一旦企業找出所有需要保護的資產，接下來他們必須建立一套明確的流程來更新這些裝置，並且留下清楚的記錄。此時不光只有工作站和伺服器必須更新，一些網路裝置 (如路由器和交換器) 也要保持更新。所以，企業必須決定：是否該採用一套自動化系統？或是由系統管理員逐一到每台裝置上進行更新？由於早期的安全更新通常需要重新開機，或者可能打斷業務流程，因此，何時套用更新就很重要。此外，留下修補的記錄可以確保企業整體修補版本的一致性。

第二步：掌握最新修補訊息 繼續閱讀

「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很”想哭”嗎? 談WannaCry 勒索病毒和更新修補的現實問題

2017 年 05 月 17 日2017 年 05 月 17 日趨勢科技 TrendMicro

2017年至今被標記為重大的漏洞有637個而且還在增加中，這比2016年（共回報1057個）的速度更快，而且這些數字僅僅是用於遠端攻擊的漏洞！這些並不一定都會影響你的企業，但現實是你每個月都要面臨嚴重漏洞。

旁觀者的直覺反應是「為什麼他們沒有修補自己的系統？」就跟數位世界內的大多數問題一樣，這並沒有看上去那麼簡單。雖然責怪受害者很容易，但這波勒索活動真正凸顯出了防禦方所面臨的根本難處。

WannaCry攻擊活動使用的是已公開近 60天的已知漏洞。不幸的是，我們將會在未來,持續看到該漏洞被攻擊。

[編者按：關於趨勢科技產品與 WannaCry 相關的最新資訊，請參閱。]

作者：Mark Nunnikhoven（趨勢科技雲端研究副總）

2017年5月12日出現的 WannaCry勒索病毒被精心設計來充分利用今日大型企業所最常見的安全難題。從基本的網路釣魚開始，此變種利用最近的漏洞（CVE-2017-0144/MS17-010）在脆弱的內部網路散播，肆虐於大型組織。

來看看這則紐約時報的貼文，他們用我的資料作出一張很酷的動態地圖

– MalwareTech（@MalwareTechBlog）2017年5月13日

這並非最新的零時差漏洞，修補程式MS17-010在攻擊（或持續性攻擊）前59天就已經發布。今日安全社群所面臨的難題之一是如何在大量業務活動內有效的溝通網路安全。

馬上更新修補程式,不要再拖了 !

安全社群的共識是，更新修補是你的第一道防線。儘管如此，組織需要花上100天或更久來部署修補程式的狀況並不少見。為什麼？原因很複雜。但大致可歸結到一個事實，就是IT對業務運作很重要。任何中斷都令人沮喪和代價高昂。

從使用者的角度來看，「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很想哭嗎?持續進行更新很累人也妨礙到了工作。更糟的是更新後無法預期應用程式會發生什麼事。

繼續閱讀

《2016年漏洞回顧》漏洞攻擊套件為何仍使用較舊的漏洞?

2017 年 04 月 10 日2017 年 04 月 10 日趨勢科技 TrendMicro

我們經常會看到漏洞攻擊套件使用較舊的漏洞，因為這些漏洞仍然存在於被攻擊的系統上。另外,勒索病毒會去利用漏洞攻擊套件來作為主要的感染媒介。

在趨勢科技2016年的資安綜合報告 – 「企業威脅創紀錄的一年」中，我們討論了這一年的漏洞發展形勢和所看到的趨勢。

讓我們來看看在2016年間發生的一些重點。

趨勢科技的零時差計畫（ZDI）在3,000多名獨立漏洞研究人員的支持下，披露了 678個漏洞。可以從下圖看出一些有意思的趨勢：

首先是微軟產品的漏洞在持續減少中。這是個好消息，但對微軟來說不大好的消息是 Edge 漏洞增加了2,100%。這在 2017年的 Pwn2Own 大會中得到進一步的證明，因為 Edge 是競賽中被漏洞攻擊最多的瀏覽器。
其次是整體 Adobe 的漏洞數量下降，不過 Acrobat Reader 在 2016 年被披露的漏洞最多。
零時差攻擊（在修補程式發布前就有針對漏洞的攻擊出現）數量在 2016 年比 2015 年下降。這是個好消息，但我們最近也看到了美國中情局被駭事件，可能有許多零時差漏洞攻擊尚未被披露。
Android漏洞數量大幅地增加（206%）。趨勢科技研究人員在 2016 年向 Google 提交了 54 個安全漏洞。
在2016年被披露的 SCADA（資料採集與監控系統）漏洞增加了421%，鑒於對這些設備進行更新的困難度，這對廠商來說會是件頭痛的事。

繼續閱讀