IBM資訊安全部門全球威脅情報防禦產品協理謝明君》100%客製方案 資安缺了OT就Out!

瀏覽數:1438
關鍵字:


【文/葉小慧 攝影/李謙和 圖片提供/IBM】

  IBM作為資訊產業的長期領導者、跨國科技與服務諮詢公司,生產並銷售硬體、軟體與解決方案,並且為系統架構建置和網路代管提供產品、諮詢與技術服務。IBM旗下的IBM資訊安全事業部(IBM Security)提供整合式企業資安產品與服務,每天在全球130多個國家與地區監測700億次資安事件,且已獲得超過1萬項資安專利,近年則將科技製造業的OT (Operational Technology)資安防護列為推廣服務首要目標之一。

  很多企業總認為做資安防護,是不是砸錢就可以買到心安?「資安沒有萬靈丹,而是一步一腳印的東西。」IBM資訊安全部門全球威脅情報防禦產品協理謝明君十分肯定地回答。由於各產業的特性、組織結構、預算,以及可承受的營運風險等條件大不同,謝明君坦言,「安全防護不像做餅乾一樣規格化,因為每個企業的需求跟情境不盡相同,很難有一體適用的資安解決方案。」

  以製造業為例,從研發、製造到上下游供應鏈廠商,需要從相關的資料、識別、威脅情報、甚至是裝置本身的落差問題進行評估,來決定哪些是優先強化項目。時效也很重要,「資安基本上不能有時差。」串聯所有資訊,即時更新,對資訊長或資安人員才有足夠的參考價值。

沒出事≠沒被駭

  謝明君也指出企業端常有的迷思,「沒發生資安事件≠沒有被感染,事實上駭客的潛伏期很長,從1年到4∼5年的都有,甚至企業從頭到尾都不知道。」其次,「不要相信自己都沒事,也不要認為自己(的防護)已經做到百分百。資安防護只有更好,沒有最好。」既然連網問題多,乾脆斷網吧!這樣總不會被駭了吧?謝明君直言「沒這回事!」雖然為了保護重要資料,企業會運用「氣隙」(Air Gap)技術將其與網路斷開連結,但仍然有專家研究出破解方式,並沒有絕對保險的做法。

  對許多企業來說,資安事件是不能說的祕密,一旦消息走漏將對公司形象造成重大打擊,因此謝明君認為,「資安風險就是商業風險。」企業領導者必須盡快覺知到這一點,有些老闆的心態是交給IT或資安長就搞定,但資安認知與防護不能只靠少部分人努力,而是全組織的共同任務。像資安政策往往會包含員工與各級單位要遵守的許多規範,如果組織成員有便宜行事的態度就容易讓企業的防線破功;要做資安也會有添購軟硬體等需求,唯有不同單位,例如:營運、財務等不同單位都認同資安的重要與必要,願意全力給予資安單位或專案支持,企業對外的抵禦力才有機會變得健全。

拉起OT防護線

  IBM資訊安全部門至今在台灣已服務超過200家以上客戶,包括各大製造業多種產品線,隨著萬物聯網的趨勢到來,製造業積極朝工業4.0轉型,在OT領域開始引入IT方案,以提高生產效率、改善工廠營運。然而,落實製造自動化、智慧化後,IT與OT彼此的串聯介接成為常態,無論軟硬體的虛實整合,或產線機台與機台間的高度串聯,資安威脅跟著不再限於IT領域,工廠生產製造系統的安全防護正亮起紅燈。但OT的安全防護如何拉到與IT一致的水準?特別是對製造業而言,OT設備一旦被駭,損失將難以估計。

  謝明君舉例說明,「像是製藥業通常是連續製程,一站接一站沒有回頭路,當一批貨走錯路,可能讓藥品遭到污染。幸運的話在品管階段就報廢掉,但也有可能最後流到市面上,演變成藥物安全問題。再看電池製造業,一旦生產線上有問題沒被偵測到,生產的電池可能反應不靈敏、壽命短,甚至會有爆炸問題。」

  但以台灣半導體業為例,設備機台通常是整廠輸入,從生產機台、系統、協定到介面整套購買,資本支出也相對較高,這是由於機台的任何數據變動都將影響良率的判讀,基於生產線穩定運作的考量,非必要的情況下也不允許變動。

  正因如此,許多設備機台常維持出廠時安裝的舊版作業系統,業者既不敢輕易將作業系統升級,也未能落實更新漏洞修補程式,形同毫無設防。一旦機台不幸被駭,就會迅速造成生產停擺,良率、出貨量乃至機台稼動率等表現都會受到衝擊,繼而反映在財報上,重重衝擊整個企業組織。

  從工廠機台到整個生產線管理,以製造業而言,這部分所產生的資料量不僅最多,也最為關鍵。該資料不但是研發製程與工廠營運重要的依據,也是企業董事會或業務管理者進行後續佈局與規劃的決策基礎。無論資安事件的起因是透過網路專線感染,或機台定期維修時的軟體更新失控,即使只是一個尚未造成嚴重損失的威脅,仍可能因為資料在生產網絡中、甚至是供應鏈上下游廠商間不斷交換,傳遞錯誤的情報,最後導致整體失敗的決策。因此,「針對OT,最重要的就是安全,還有系統和數據的可靠性。」謝明君十分明快的做出結論。

  那麼,製造業面臨的資安威脅究竟有哪些?歐盟於2017年針對製造業提出OT資安白皮書(Communication Network Dependencies for ICS/SCADA Systems),該報告觸及能源油水電業、電子製造業、汽車航太業、醫療設備業到製藥業,並分析對工業界的工業控制系統(Industrial Control Systems, ICS)、可程式邏輯控制器(Programmable Logic Controller, PLC)、資料蒐集與監控系統(Supervisory Control and Data Acquisition, SCADA)常見的攻擊手法,謝明君舉出其中3種最容易受到攻擊的情境。

一部機台都不能少

  第1種是在整個生產流程上,直接把機台所處區段封鎖,讓機台無法與控制工作站連線,導致機台無法正常運作;第2種是改變機台的感測器初始值,假設某部分機器的轉速,舉例而言,原本允許的是每分鐘1,400轉,經駭客篡改調高到超過轉速臨界值,就有可能造成故障、爆炸等問題;第3種是修改或破壞生產流程的標準管控機制。

  以製藥業為例,通常是完成一個製程後就會搭配量測檢測關卡,假設駭客針對感測器動手腳,比如將偵測藥品上的灰塵容許數從原先設定的10個改成20個,再加上最末端的品質控管參數也被修改的情況下,廠商在不知不覺間就連續生產了大量有問題的藥品,甚至直到流出市面還完全沒有察覺。

  想針對這些資安威脅一一排除,首先要回歸到台灣製造業的現實面來思考,謝明君在與各家廠商交流時發現,原本製造機台設備在出廠時可能僅設定15∼20年的使用年限,但機台用了十幾年後,在設備還能使用的情況下,如果要購置全新的機台,價位十分昂貴,是否要報廢就是個艱難的決定,在這期間就得面臨原廠不再提供修補程式(Patch)的問題。企業常面臨的狀況是運用活絡的二手交易、租賃市場取得機台器材等,在缺乏原廠維護的情況下,僅能抱著僥倖心態維持產線的運作。

  另外,因為製造生產線上機台類型眾多,有些業者認為只要把防護重心放在特定的重要機台,例如:半導體製程的黃光區、蝕刻區即可,謝明君強調,整個廠區其實是一個整體,資安防備「一個都不能少,任何一個機台都不能輕忽!」

  除此之外,事件應變(Incident Response)的工作非常重要,要做好最周全的準備及最壞的打算,當「萬一有一天被駭」的突發狀況來時,也才能及時因應,將損失與影響降到最低。

找到對的夥伴

  除了利用軟硬體搭建起資安防護系統,如何防範人為疏失也越來越重要。根據2019年IBM X-Force資安威脅報告指出,在2018年外洩的27億筆資料中,有9億9,000萬筆是源自於雲端伺服器配置不當。謝明君分析,人的因素可以分為有意和無心。比方機台設備商進行軟體更新時感染病毒通常是無心造成,因此須關注線上作業員或製程工程師的操作有沒有遵循SOP?如何把防呆機制做得淋漓盡致?

  惡意部分也得防範,內部人員惡意行為可能造成中斷生產、智慧財產權遭竊、損害商譽、將敏感資料洩漏給第三方等,造成嚴重危害。IBM的解決方案是透過使用者行為分析(User Behavior Analytics, UBA)與QRadar安全情報管理平台整合,運用安全情報管理平台的日誌與流量資料,快速偵測出異常行為並評定使用者風險分數,列出須進行調查的人員或新增到觀察名單當中,「確保每一個動作都是對的人,在對的時間、對的地方、做對的事情。」

  不過,作為第三方的資安防護解決方案提供者,謝明君直言因為資安的敏感性,有時聽到廠商轉述夥伴的狀況「生產線出問題了3天沒解決,能否找到過去紀錄良好、技術底子深厚且還具備產業領域知識的夥伴或團隊來救援?」卻無法提供更多細節,謝明君也只能提出概略的建議,其實都已經慢了好幾步。

  謝明君認為,不論是企業打算在內部成立專責單位,或尋求外部資安夥伴,領導團隊的決心和意識都扮演重要的驅動角色,資安長必須將想法與財務長、營運長進行溝通,「要站在管理階層的立場講出他們在乎的話。」從對方角度思考可能的產能利用率、資本支出、對財報可能的衝擊,才能達成一致的意識與決心。

  當企業處於資安專業人才暫時不足的轉換期,也可以藉由IBM的服務或顧問團隊,從分析公司營運特性著手,先一步建構客製化資安防護解決方案。

  例如:IBM推出的IBM X-Force Exchange威脅情報共同平台,以及X-Force C-TOC行動作業中心,能夠加以分析各項指標得到高階威脅情資,並立刻建議最佳化的因應措施,包括將情資送到IBM的安全免疫系統中樞QRadar,或透過標準介面與客戶既有的資安環境整合介接,形成協同運作的資安防護網。

產業新商機的崛起

  面對萬物聯網時代的到來,謝明君認為除了人人都要更關注資安威脅以外,它同時也帶來產業的新機會。 

  像是電子產業及半導體業過去以ODM/OEM模式為主,原本已提供一條龍式的製造生產服務,如果能趁著這波資安升級,同時融合安全防護、個資法、資料保護法等重要元素,率先加入設計服務或生產服務當中,就能將威脅與風險轉為製造業勝出的助力。

【完整內容請見《能力雜誌》2019年10月號,非經同意不得轉載、刊登】

更多資訊請參考...
{{item.title}}
生產力中心提供的活動資訊
{{item.title}}
相關出版品...