防范物联网装置衍生的威胁，思科呼吁应重视OT的资讯安全

万物都联网运作的态势，导致这类设备本身隐含安全性不足的现象，变得更加严重，于1月22日的Cisco Connect TPE大会上，思科资安团队解决方案架构师Timothy Snow特别呼吁企业，应针对物联网装置（IoT）采取相关的威胁防御措施，首先，就要先从找出这些装置下手，并部署相关的网络隔离措施，然后进一步透视其运作状态并加以分析，最终得以纳入防护的范围。

Timothy Snow表示，物联网装置的资安问题，主要来自于装置本身就不够安全，而且数量极为庞大，难以管理。再加上这类设备往往在连上互联网之后，便能够与其他任意的装置通讯，因此，拥有这些物联网装置的企业，要如何有效保护相关设施，便成为现在极为重要的课题。

在企业环境中，这些物联网装置广泛存在于办公环境（OA）、工业控制系统（ICS），或是监控与资料撷取系统（SCADA）等，并且往往是在操作型技术（Operational Technology，OT）网络里执行，企业的管理策略上，便与IT网络里的设备有所不同。例如，OT网络里的设备强调要能持续运作不中断，重视设备的运作综效（Overall Equipment Effectiveness，OEE），以及人员操作的安全性与简单易用等。因此，企业对于物联网装置的要求，可用性便是最为优先的要求，然而，在IT网络的网络设备与电脑，机密性才是首要考量。

由于上述的差异，也导致在威胁防护策略上的不同，像是安装修补软件上，IT网络的设备企业可能会尽快予以修补，但OT网络上的物联网装置，则往往在停机维护时，才排程安装更新。纵使提供物联网装置的业者已经推出了修补软件，这些装置却可能仍然曝露于有关风险里相当长的一段时间。

然而，这些物联网装置一旦遭受攻击，带来的后续效应可能极为严重。Timothy Snow以美国国家健康照顾系统（NHS）与乌克兰电厂遭受攻击等2起事件为例，前者导致急救系统失效，以及许多病患被迫转院，后者则使得25万人无电可用。因此，Timothy Snow认为，我们再也不能轻忽物联网装置安全。

透过知名的物联网搜索引擎Shodan，骇客想要找到攻击目标也更加容易，光是能从上述搜索引擎找到位于台湾的设备，就超过621万台。Timothy Snow说，利用这样的搜寻网站，攻击者不需要高深的技能，就能得知目标装置所启用的连接埠、执行的服务等资讯，物联网装置可能遭受攻击的门槛并不高。

我们实际透过Shodan物联网搜索引擎找寻在台湾的装置，也有超过600万台，而且，首先出现的结果，还是国内的政府与学术单位，包含了教育部电脑中心与台湾学术网络（TANet）资讯中心等。

Shodan上提供的物联网设备资讯，对于骇客而言，能减少攻击先收集相关资料所需的心力，像是图中找到的SCADA控制器内容，就能得知能开放的连接埠（21至23、53、80、443埠），以及执行的服务，包含FTP、SSH协定等。

回归管理面，从列管环境内所有物联网装置着手

想要防范锁定物联网装置的攻击，Timothy Snow表示，企业执行需透过3种层次的步骤－－列管、监控，以及防御。首先是从管理面着手，找出企业环境里所有的物联网装置，并且予以网络隔离，避免一旦受到攻击时，灾情便迅速扩散，波及到其他的设备，造成难以收拾的局面。

在保护物联网装置之前，Timothy Snow表示要先予以列管，其中包含3项工作，包含了找到设备，然后建档并检查是否有弱点，再者，则是依据企业的资安政策，进行网络隔离。

采取网络隔离的做法上，最重要的原则之一，就是将必须相互连线的物联网装置，配置在相同的网段中，再者，则是OT的操作员必须知道相关的隔离系统如何操作，进而随时依据OT网络环境的变化，调整网络隔离设定。

使装置状态透通，进而发现可疑行为与阻挡攻击

对于所有列管的物联网装置，企业也要随时监控运作的情况，并透过事件记录和流量的分析，找出攻击的迹象，识别遭骇的设备，进而拦阻威胁。在此同时，监控装置行为也能协助企业，预防使用者操作错误带来的问题。

物联网装置的状态透明化，才能使得企业更有效率提供保护，包含必须能够得知所有装置的状态，并检视所有通讯内容，然后，才能分析得出正常行为为何，一旦出现变化，就发出警示讯息，最终企业能够快速因应相关攻击。

监控物联网装置状态的最重要目的，就是得知是否有人存取机敏资讯，这里Timothy Snow以思科自家的Stealthwatch和ISE说明，Stealthwatch针对流量进行物联网装置的网络行为检测，而ISE则能识别装置的状态，并且检查是否含有漏洞。