IOT - 資安趨勢部落格

智慧工廠浪潮下的六種潛在資安威脅

2018 年 12 月 17 日2018 年 12 月 17 日趨勢科技 TrendMicro

智慧工廠(Smart Factories)是工業物聯網 (IIoT) 改造傳統製造業的最佳展現。製造業現在對智慧工廠的願景、能力、優勢和建置挑戰，已有相當程度的基本認識。然而最大改變之一就是，智慧工廠這類技術轉型需耗費相當龐大的經費，因此，如何發揮最大投資效益，將是一項重要的考量。針對這點，系統整合商可從重新評估現有的資安措施著手。

只要遭遇一次的網路攻擊，智慧工廠所帶來的效益，如：即時資料監控、供應鏈管理、預期性維護等等，將瞬間化為烏有。這正是為何企業在邁向「智慧化」時，千萬不能輕忽資安的重要性。不過，只要稍微研究一下過去的網路攻擊案例，並回顧一下網路攻擊常見的發生情況，就能發掘 IIoT 資安最常被忽略的問題以及最需要加強的地方。

智慧工廠是工業物聯網 (IIoT) 改造傳統製造業的最佳展現。製造業現在對智慧工廠的願景、能力、優勢和建置挑戰，已有相當程度的基本認識。然而最大改變之一就是，智慧工廠這類技術轉型需耗費相當龐大的經費，因此，如何發揮最大投資效益，將是一項重要的考量。針對這點，系統整合商可從重新評估現有的資安措施著手。 — 智慧工廠是工業物聯網 (IIoT) 改造傳統製造業的最佳展現，智慧工廠這類技術轉型需耗費相當龐大的經費，因此，如何發揮最大投資效益，將是一項重要的考量。針對這點，系統整合商可從重新評估現有的資安措施著手。

回顧針對聯網工業系統的攻擊

重新回顧那些針對 IIoT 系統的攻擊，不僅有助於重新認識該領域的真正威脅，更能當成個案研究來讓我們進一步了解 IIoT 威脅的性質。下圖顯示過去十多年來一些專門針對 IIoT 系統的攻擊。

從這些事件可以看出智慧工廠內的一些工業控制系統 (ICS)，尤其是監控與資料擷取 (SCADA) 系統，在遭遇攻擊時可能帶來的潛在損失。從過去的案例來看，針對基礎架構的攻擊很有可能造成大規模損失，視其攻擊對象而定。而且，專門攻擊這類系統的歹徒目前仍在不斷研究如何改善其工具以翻新其攻擊手法。繼續閱讀

從中攔截：能源與水資源基礎架構漏洞

2018 年 12 月 06 日2018 年 11 月 27 日趨勢科技 TrendMicro

能源與水資源是我們生活當中最重要的兩大關鍵基礎架構 (Critical Infrastructure，簡稱 CI)。近年來，這兩大產業皆經歷了一些必要的變革以因應科技的最新發展，同時也改善天然資源開採及輸送的方式。目前，這些變革正朝著連網系統的方向發展，尤其開始整合了工業物聯網 Industrial Internet of Things (IIoT) 技術。能源與水資源產業的持續發展，已讓個人和企業獲得更有效率、也更穩定的資源供應。然而，卻也因為如此，想要妥善保護這些關鍵基礎架構背後的系統，也變得更加困難。隨著 CI系統的漏洞不斷增加，尤其是監控與資料擷取 (SCADA) 系統人機介面 (HMI) 的漏洞，我們有必要好好檢視一下這些關鍵產業所面臨的風險。

我們經由公開來源的情報 (OSINT) 即可一窺能源與水資源產業所面臨的一些問題。藉由網際網路搜尋引擎 (主要為 Shodan) 與實體定位技術，趨勢科技找出了許許多多暴露在外且容易遭到攻擊 HMI 系統，這些全都屬於中小企業所有。這顯示了網路資安對整體供應鏈的每一階層以及每一基礎架構產業有多麼重要。

完整的調查結果與相關影像，請參考趨勢科技的完整報告：「暴露在外而可能遭受攻擊的基礎架構：能源與水資源產業」。本文將列舉幾個我們在全球各地一些能源與水資源相關產業發現暴露在外的 HMI 系統，以及這些案例將對基礎架構供應鏈帶來什麼影響。

暴露在外而可能遭受攻擊的 HMI 系統

在水資源產業，我們在全球各地都發現一些暴露在外的 HMI系統。這些系統包括各種水資源系統的監控介面，例如：水加熱、地熱、抽水、水過濾、海水逆滲透及消毒等等。繼續閱讀

Outlaw駭客集團散播殭屍網路來進行虛擬貨幣挖礦、網路掃描和暴力破解

2018 年 11 月 30 日2020 年 02 月 18 日趨勢科技 TrendMicro

趨勢科技在之前發表過使用IRC殭屍網路的Outlaw駭客集團。而本篇文章將會繼續介紹該集團殭屍網路的主機部分，我們發現它試圖在我們的IoT蜜罐系統上執行腳本。殭屍網路利用工具 – haiduc在網路上找尋目標並用常見的命令注入漏洞來進行攻擊。一旦成功就會在目標系統上執行腳本min.sh（趨勢科技偵測為Coinminer.SH.MALXMR.ATNJ）。

我們這次發現兩個版本的Outlaw變種。第一個版本所用的腳本有兩個功能：挖礦程式和Haiduc工具。挖礦程式也有兩種格式。一種是純文字的bash/Perl腳本，另一種是混淆過的Perl腳本來避免被內容檢測入侵防禦系統（IPS）/防火牆所偵測。

而第二個版本主要是用於暴力破解，並且會進一步攻擊Microsoft遠端桌面協定和雲端管理cPanel來提升權限。而伺服器列表也顯示出漏洞攻擊的意圖，這份列表內的伺服器執行著有已知漏洞的程式庫libc.so.6。

第一個版本變種概述

下載的挖礦程式會用同時可在Linux和Android上執行的程式來挖掘門羅幣。這支挖礦程式會先檢查系統上是否有其他執行中的挖礦程式。如果發現，此腳本就會終止之前挖礦程式並執行自己的程式。這表示這隻殭屍程式可以劫持其他殭屍網路的挖礦活動。要注意的是，有些Mirai變種也具有相同的功能，但跟某些Mirai變種不同的是，這隻殭屍程式不會修補受害者來保護他們避免被再次感染。

開始挖礦後，殭屍網路會檢查程序列表來確認挖礦程式確實在執行中。如果沒有，就會再次下載惡意檔案並重新啟動挖礦程序（包括檢查是否存在其他挖礦程式）。

此過程讓駭客可以從其他攻擊者手上偷走入侵的挖礦主機，並用更新版本的挖礦程式來重新感染主機，能夠在這些攻擊者的XMR錢包被劫持後繼續運作。

一旦開始進行挖礦，挖礦程式就會回報給放有隨機名稱PHP腳本的被入侵網站。

腳本的另一功能負責散播殭屍網路。它所使用的是haiduc，我們之前就注意到它是Outlaw駭客集團主要使用的工具。這支haiduc工具會先暴力攻擊運行SSH服務的有漏洞主機。它所用的列表以PHP腳本形式放在被入侵網站上。一旦暴力破解成功，就會執行擴散殭屍網路的命令。它會安裝被入侵網站所提供的min.sh腳本。接著根據PHP腳本設定來掃描目標，並用電子郵件將結果寄給殭屍網路管理員（寫在其中一個PHP腳本內）。我們在之前的文章中提到此集團會利用IRC bot來形成殭屍網路，但這次是利用PHP來控制殭屍網路。不過挖礦程式和haiduc工具仍來自同一組織。

殭屍網路會從hxxp://www[.]karaibe.us/.foo/min.sh下載惡意shell腳本。奇怪的是，該網域會在原始碼中嵌入Google Analytics腳本，可能是為了讓殭屍網路管理員監控攻擊活動。目前此網域會被導到籃球聯賽積分榜網站。Outlaw駭客集團一直都使用著此項技術，並且很明顯地，透過PHP漏洞攻擊更多網站來取得新的C&C或內容派送伺服器是他們的核心活動之一。繼續閱讀

從日本新創 ONE FINANCIAL談起:萬物聯網時代，區塊鏈如何讓資料的掌控權回歸使用者?

2018 年 11 月 16 日2018 年 11 月 19 日趨勢科技 TrendMicro

一款由日本 17 歲天才高中生山內奏人所開發的 App 「ONE」，吸引消費者主動出售購物收據及清單，引起日本民眾爭相下載並且由於反應太過熱烈而暫停服務，以重新確定商業模式後再出發。該平台的核心概念，成功地將消費者的隱藏資訊和價值的非對稱性，轉化為消費者自主性的販售行為，並且在行銷包裝上擺脫了個資侵犯的疑慮，這對於以區塊鏈技術所搭建的數位資產及資料交易中心服務，不啻為一個值得研究的個案探討與市場趨勢。如今個資保護的意識抬頭，使用者常常不自覺地默認社交媒體廣告提供商連結自身的瀏覽內容記錄，然而在號稱史上最嚴格的個資保護法規 GDPR 於2018五月正式上路後，任何軟體平台服務都必須更謹小慎微的檢驗自身取用的消費者資訊以及重新思考其商業應用模式。

基於區塊的使用者資料交易及處理平台與對應的生態圈。 — 圖片來源：One Financial 官網

你所認知的個資真的是 GDPR 所定義的個資 – 區塊鏈的因應之道

GDPR規範服務提供商必須確保用戶對資料的存取權（Right to Access）、被遺忘權（Right to Be Forgotten）及遷移權（Right to Data Portability），因此，當一個服務要使用消費者資料時，必須清楚說明資料將用於何處、如何被使用，且有義務進行資料保護，並允許用戶完全刪除資料或停止使用該資料，甚至決定是否授權資料共享。這三大賦予使用者的權利在表面上看來都與區塊鏈的技術有某程度的隔閡與抵觸，但表面不足以為論，仔細深究GDPR對個人資料的定義：只要資料具備個人可識別資訊（Personally Identifiable Information, PII）或可被辨識為自然人的條件，就符合GDPR保護傘下規範的個資。

因此個人相關資料如姓名、地址、電子郵件等固不待言，個人所屬電子設備的Cookie ID、MAC位址等甚或與個人身份有關聯的假名資料（Pseudonymous Data）亦屬於保護個資。以前述的App 「One」為例，使用者的消費發票只要連結上使用者傳送設備的IP及地理資訊，也有可能關聯成為PII資料，但該服務卻成功而透明的讓使用者自己選擇是否交易其資料引為其他商業用途。如此說來，在基於區塊鏈技術發展的平台上，我們實不必糾結於技術天性的適切與否，而是每個平台服務商都對本身的商業模式如何引用消費者資料的模式行為做好極細緻的分析與分類：屬於GDPR保護的個資則劃分出來回歸消費者掌控；而非GDPR規範的個人資料，則在商業模式的引導下成為區塊鏈分散帳本上的紀錄資料。繼續閱讀

保護 IT 與 OT 的整合

2018 年 10 月 16 日2018 年 10 月 02 日趨勢科技 TrendMicro

工業物聯網（IIoT）是營運技術（OT）與資訊技術（IT）整合的開始。這些技術的整合始於網路連結，但也需要操作程序、技術及訓練方面的增強。

IT 和 OT 從網路方面就使用著不同的協定。在 O T世界中，廠商在過去50幾年來制定了許多專有協定：MODBUS 的歷史可以追溯到1969年。光是ABB就有超過20種的協定。IIoT廠商提供閘道，好在資料轉移到IT雲進行整合和處理前先加以簡化及轉換。這樣的資料量可能很大，因此IIoT閘道透過壓縮、整合和例外處理報告來最小化網路流量。閘道是前端的處理器。

IT和OT環境的作業流程不同。OT網路的指導原則有兩個：安全性和服務可靠性。但IT資訊安全的原則是資料可用性、資料完整性和資料機密性。這些原則彼此之間並無交集。從IT的角度來看，工業流程並不是“資訊”，因此不屬於資訊安全範圍。

IT和OT流程隨著各自發展而可以整合。DevOps打破了開發和營運間的藩籬，能夠更快速地部署新功能而不會影響到軟體的質量控制。圖1顯示了整合的DevOps流程：