自動化全面連網 資安問題浮現

系統整合已成趨勢，乙太網路在消費端困擾用戶的問題，如今也發生在工業製造現場。圖片提供？Siemens

DIGITIMES企劃

智慧工廠概念下，製造端與管理端的訊息必須無縫鏈結，因此乙太網路的高相容性成為新世代工業通訊的首選，不過在消費性領域困擾用戶的資安問題，工業應用也未能避免，如何在佈建工業乙太網路同時，兼顧資安問題，已成系統業者與廠方的重要課題。

工業乙太網路的共通的介面，雖然讓溝通更為順暢，但也由於各類設備的互通性，讓資訊安全成為相當複雜的學問，而面對多元化的惡意攻擊，也不僅只於預防病毒而已，如何避免外界的惡意攻擊，也成為系統智慧化的重要課題。

智慧工廠、工業4.0概念的崛起，讓自動化設備有了與以往截然不同的改變，過去的自動化設備多為獨立運作，彼此之間的互聯較少，「智慧化」因講究整合，無論是軟硬體的虛實整合，或機台與機台之間的相互串連，都已成為新世代自動化系統的必要設計，而不軟是機台或軟硬體的整合，都必須高度倚賴通訊技術，在此趨勢下，工業乙太網路順勢崛起，成為自動化系統的骨幹支柱。

工業乙太網路已成首選

乙太網路技術在工業環境的應用優勢，主要來自於其相容性，由於訊息的快速、無縫流動，是智慧工廠的首要條件，在企業的管理端，乙太網路通常是通訊主要技術，但製造現場以往的通訊架構則多為工業通訊標準，要使前後端訊息可以無縫鏈結，製造現場的工業乙太網路導入成為必須，以使後端管理層與現場層的資料傳輸規格一致，使用者只需要掌握單一網路技術即可互連，但同樣的，標準化網路結構也因其透明度而帶來風險，也因此讓系統產生更大的挑戰。

相較於過去僅是一般終端使用者及辦公室環境，在乙太網路與網路通訊的蓬勃發展，過去像是工廠自動化這類無需考量資安問題的系統，也成為觀察的重點之一。

除此之外，過去由於工業現場系統多是以現場匯流排進行通訊，除非像是以國家戰略思維侵入如油、水、電等重要設施來進行攻擊之外，否則難度甚高；但在工業乙太網路普及導入之後，這類攻擊不但漸趨容易，而類似的攻擊也漸趨增加。

這類智慧化系統面對不斷演變的資安威脅環境，其中一項最大的挑戰就是APT進階持續性滲透攻擊(Advanced Persistent Threats；APT)，它是針對「特定組織」所作出複雜且多方位的攻擊，這樣的攻擊也逐漸進化，成為系統必須關注的主要議題。

從管理端到現場端  APT惡意攻擊無所不在

過去對現場端的APT，多像是 2009 年美國使用「震網」(Stuxnet)病毒來攻擊伊朗地下核設施，讓離心機的轉速與顯示讀數不同來干擾製程等國家戰略行為，但現在的思維的確開始走向「商業利益」。

根據統計，有超過2？3的企業系統受到過 APT的荼毒，而且更嚴重的問題是，多數企業在被攻擊時根本渾然不知，更遑論如何防範，而且由於APT攻擊已成為駭客愛用的主流手法，不達目的絕不善罷干休，而其難以偵測的特性也讓人防不勝防，而當這些攻擊者對工業控制系統的了解程度愈來愈深時，APT 範圍也會愈來愈廣。

就資安範圍來看，工業現場環境的資訊安全防護，有時挑戰更比在企業端辦公室的防護來得大，這與兩者的設置思維有關，由於工業現場系統要求以「穩定」為最優先，在沒有必要的情況下是毋須變動也幾乎不允許變動，這樣的既定思維，也持續影響一般使用者對現場端設備的態度。

相較於辦公室應用端的系統可以允許軟體升級、補缺安全漏洞，以及增加許多軟體來進行系統監控，甚至在萬不得已的情況下，對於系統重開機這類狀況也有較大的容忍彈性；工業現場端絕對無法允許如此情況發生，尤其是隨時隨地的軟體升級這類做法相當戒慎恐懼，而在傳統系統控制應用上，除了在系統整合或擴充的情況下，系統升級的確也並非必要，不過在工廠智慧化需求導入後，狀況已然改變。

習慣不同造成缺漏  資安問題影響深遠

業界人士指出，工廠智慧化的最基本要求，就是現場端的資料採擷、監控與分析，一般而言多是以整合PC端的SCADA來進行，這些系統的作業系統仍多是以嵌入式的Windows等系統做為底層架構，傳統認知的現場端在連上線後，並非想像中封閉，但使用者卻仍多以過去現場匯流排的認知來操作，自然會忘記了這類系統的缺漏，甚至連系統管理權限都仍然是預設密碼的情況下，自然就形成漏洞，如果仔細觀察，會發現世界上使用同一家軟體系統的廠商，控怕都有相同的漏洞，而且這些問題通常是積習難返，多數廠商都認為，這將是工廠智慧化後帶來的最大問題。

傳統一般企業在資訊安全面向，仍多依賴防毒軟體的保護，但在工廠現場端卻甚少考慮此一問題，工廠現場端所使用的軟體系統，與辦公室應用端系統的差異並不大，但在使用心態不同下，工廠現場端的資安挑戰更為龐大，再加上現場端系統不易更新與升級，也讓防止APT的難度更為提升；相對來說，駭客APT工控系統在如此運作模式下，因其「成本」較低，對於現場端的APT將會更為提高。

因此現階段要防範惡意攻擊，已經不僅只於透過防火牆或防毒軟體就可達到目的，由於傳統的阻隔方法仍有漏洞可鑽，因此必須阻斷惡意攻擊在「侵入」、「下載潛伏」到「擴散攻擊」的運作環節，才是解決的重點面向，只要阻斷APT的任一環節，攻擊就會失效，這與過去阻擋病毒進入的觀點，有相當大的差距，在面對系統的複雜化，攻擊的多元化的同時，思維的調整，或許才是最重要的一步。

實體隔絕還是不夠  建構標準才能治本

對於網通廠商對於工廠現場端以虛擬專用網路（Virtual Private Network；VPN）的方式，透過隔離網段的方式來隔絕外界系統化的APT，多數業界人士認為這的確是最基本的解決方案，實體隔離絕對是解決APT最實際的辦法，但此一做法卻並非像一般人想像的這麼可靠，以工廠智慧化的架構，一定會與後端辦公室應用端連結，才能針對產線進行系統化的調配，雖然這類通訊設計多是透過軟硬體配置，提供最小限度的授權讓應用端可以與現場端連結；但一般APT通常會經由辦公室應用端進行攻擊，再利用應用端與現場端的信任關係，經由雙方的授權機制來侵入現場端，除非應用端也進行實體隔離，否則只要連上網際網路，就有漏洞可鑽。

雖然「實體隔離」與「最小授權」的做法可能仍有漏洞，但在現場端的安全防護，這仍是最基礎的必要作法；至於如何確保系統的安全，標準規範仍是最必要的項目，在工控系統中所強調的標準，多是涉及系統穩定的實際安全需求，但對於資訊安全部分仍付之闕如，由於工業乙太網路的導入，以及實際應用環境的逐漸多元化，資安政策的建構及系統安全的標準，可能是後續發展的重點項目，也將會是市場後續發展的重要課題。