保護電網免於供應鏈攻擊 – 硬體和軟體防護
CSG ESA Hafid Elabdellaoui
近年來，人工智慧（AI）和互聯設備加速公用產業的數位轉型。這些新的技術進步有望降低成本並且提升能源產能、傳輸和分配的效率，然而這也造成新的漏洞。網路罪犯、國家級惡意行為者和駭客已證明，能透過入侵網際網路的設備攻擊國家的電網。因此，在公用事業及其供應商持續打造現代化基礎建設的情況下，必須優先考量網路安全措施。
「防護電網遭受網路攻擊」系列的第一篇部落格文章中，介紹了加速採用物聯網（IoT）的趨勢的同時，也增加了公營事業和公民遭受國家。這篇文章則會指導公用事業製造商，如何更完善地保護他們部署在能源產業中的連接設備。
身份保護
為能源產業提供服務的組織，極可能會被攻擊者以阻斷能源供應為目標。這些攻擊者入侵公司資源的其一途徑是，使用密碼噴濺或網路釣魚等策略來竊取或猜測用戶憑證。根據 Verizon 2019 年 Data Breach Investigations Report ，其中 80％ 的資料洩露是因防護力薄弱或遭入侵的密碼引起。通常，攻擊者會一次鎖定多人作為目標，他們只需成功找到一個漏洞，就可以獲得存取權限。
因此保護公司安全必須先從身份保護開始。這個防護的最低門檻應包含對管理帳戶使用多因素身份驗證（MFA）。更好的選擇則要求所有員工使用MFA進行身份驗證。MFA不只要求使用者透過密碼登入，還包含第二層的身份驗證，例如 : 行動設備的一次性代碼、生物特徵辨識或者安全的FIDO2密鑰以及其他選項。MFA能大幅降低公司面臨的風險，透過雙重或多重身份驗證因素提升攻擊者入侵的難度。
防護特殊存取權限
在供應鏈攻擊中，惡意人士攻擊組織以獲得資料和應用程式的存取權，使他們能夠蓄意破壞產品或服務以到達最終目的。這些惡意人士通常以管理員帳戶為目標，滲透組織環境或用於更新軟體的伺服器當中，因此保護管理員帳戶對於保護公司的資源至關重要。以下列出幾項組織可以採取的方法，來保護這些帳戶：
- 將管理員帳戶與IT專業人員用於進行日常業務的帳戶分開：管理員在回覆電子郵件或執行其他任務時，可能會受到網絡釣魚活動的攻擊，您不會希望組織成員在此時登入授權帳戶。
- 在您的管理員帳戶使用即時特殊權限，這讓管理員只能在需要執行特定管理任務時，才能登入權限。這些登入活動需經過批准並有時間限制，幫助減少不必要授權管理帳戶的登入。
圖2：「藍色」路徑描述標準用戶帳號是如何應用於存取非授權資源，例如電子郵件、網頁瀏覽以及日常工作。「紅色」路徑則顯示如何在強化設備上進行授權存取，以減少網路釣魚和其他電子郵件的攻擊。
設置特權存取工作站以進行管理型工作。特權存取工作站打造專用的作業系統，提供敏感型任務最強大的安全控管，保護這些活動和帳戶免受網路的攻擊。為了鼓勵管理員遵循安全性準則，請確保他們可以輕鬆造訪標準工作站來執行其他慣例任務。
保護您構建和更新的環境
惡意人士不僅針對使用者帳戶，同時會利用軟體中的漏洞。因此組織應將軟體和作業系統保持在最新狀態並時常進行修補，以降低風險。淘汰發行商不再支持的技術，並實施強制性的完整性控管以確保，組織只使用受信任的工具。
組織也需要保護團隊編寫的軟體。成熟可靠的Secure Development Lifecycle（SDL）能指導組織內的開發人員建立漏洞較少的軟體。Microsoft的SDL包含12種方式，例如Microsoft SDL建議在每個專案開始時，確認安全性和隱私權要求。除此之外，該指南還提供其他意見：用於管理第三方軟體的安全風險、執行潛在威脅的模型、滲透測試以及其他建議。綜合該指南的技巧，組織在建立軟體的過程中，應當融入安全性元素，讓發布的軟體更加安全，並且不易受到攻擊。
假設缺口
文章內的建議能減少組織面臨的風險，但並不能完全消除，公司還需要採用假設缺口的思維方式，來保護其內部環境和客戶。這個心態的核心並非組織是否會遭入侵，而是考量「什麼時間點」會被入侵。一旦組織能接受無法阻止所有攻擊的事實，應當開始使用適當的流程和工具，以快速偵測和回應入侵事件。
Microsoft擁有多樣的端點偵測和回應解決方案，如Microsoft Threat Protection。這項服務使用AI來自動執行偵測和回應，並分析跨網域威脅的惡意關聯。當偵測到事件時，組織需要適當的回應，可參考National Institue of Standard and Technology（NIST）提供的事件回應指南。此外，組織也可以從Microsoft安全回應中心（Microsoft, Response Center, MSRC）獲得資源，該學習中心分享了如何制定事件回應計劃。
若要制定回應計畫，必須先有良好的溝通準則。組織需要讓客戶知道發生了什麼樣的事件，以及相對應的解決方案。如MSRC指出：「清楚、準確的溝通可以建立回應事件的信心、維持和客戶的信賴關係、保護公司品牌並且對能否快速且有效地回應至關重要。」
集中物聯網設備管理
除了營運許多發電廠外，公用事業還營運著由數千個分站、數十萬里的傳輸和分配線組成的網路。因此製造商需要部署大量的物聯網設備，以安全且有效地為客戶提供電力。為了有效地管理IoT設備網路，供應商應提供客戶集中的IoT設備管理，以更新固件、安裝安全性更新以及管理帳戶和密碼。
建立信任
保護關鍵基礎建設免於不穩定性的攻擊，需要公用事業和供應商之間的合作，而設備製造商和軟體發行商在保護關鍵基礎建設上扮演關鍵的角色。透過實踐文章內所提供的安全性建議，組織可以大幅降低內部和電網的風險。
若希望了解更多，請持續關注本系列的最後一篇文章「公用事業產業的風險管理策略」，這篇文章將為公用事業提供特別建議。
記得將Security Blog 加入書籤，以獲得最新的資安報導。此外，請關注@MSFTSecurity，以瞭解網路安全的最新新聞。
若欲瞭解原文，請至微軟官方部落格參考。
延伸資料：
