引言：當工業世界的物理安全遭遇網路威脅
在過去幾十年裡，全球工業界經歷了一場革命性的轉變，從傳統的獨立運作模式走向高度自動化與互聯互通。製造業、能源、公用事業等關鍵基礎設施領域，其核心的運營技術（Operational Technology, OT）系統，如今已與資訊技術（Information Technology, IT）網路深度融合。這種融合帶來了前所未有的效率與便利，但也同時暴露了一個巨大的安全缺口：傳統上與世隔絕的 OT 系統，現在成為了網路攻擊者的新目標。
Google Cloud 與其旗下的資安情報公司 Mandiant 聯合發布了一份名為《雲端驅動的混合式運營技術網路安全指南》（Security Guidance for Cloud-Enabled Hybrid Operational Technology Networks）的重磅報告。這份報告綜合了 Mandiant 龐大的威脅情報資料庫與 Google Cloud 在雲端安全方面的專業知識，旨在警示製造業、能源及公用事業等關鍵基礎設施領域，目前正經歷的網路威脅正在不斷升級。
這份報告不僅揭示了威脅的現狀，更提供了一套基於雲端技術的混合式資安防禦策略，旨在幫助企業在 IT 與 OT 融合的大趨勢下，建立起更具彈性與適應性的防護體系。本報告將詳細剖析這份指南的核心要點，包括威脅行為者的動機、常用的攻擊手法、以及企業應如何從戰略與技術層面進行防禦。
一、OT 系統的獨特資安挑戰
要理解針對 OT 系統的網路威脅，首先必須認識到 OT 環境與傳統 IT 環境在資安方面的本質區別。
可用性優先於機密性： IT 系統的核心價值是機密性、完整性與可用性。然而，OT 系統的優先順序則完全相反。在工廠或發電廠，系統的可用性與可靠性是最高的，任何停機都可能導致巨大的經濟損失，甚至危及人身安全。這使得在 OT 系統上進行常規的安全更新或修補變得極具挑戰性。
硬體與軟體生命週期長： 許多 OT 設備，例如工業控制系統（ICS）或可程式邏輯控制器（PLC），其設計生命週期可能長達數十年。這些設備可能運行著老舊的作業系統，缺乏現代資安防護功能，且無法輕易更新或替換。
網路隔離的逐漸瓦解： 過去，OT 網路與 IT 網路是物理隔離的（所謂的「氣隙」）。但為了實現遠端監控、預測性維護和數據分析等功能，這種隔離正在被打破。IT-OT 融合創造了新的攻擊面，駭客可以從相對脆弱的 IT 網路滲透到 OT 系統，造成物理世界中的破壞。
缺乏可見性與監控能力： 許多 OT 環境的資安監控能力遠遜於 IT 環境。由於協議的特殊性，傳統的資安工具難以在 OT 網路中有效運作，導致企業對 OT 系統的內部活動缺乏足夠的能見度，難以偵測和應對潛在的威脅。
二、Mandiant 觀察到的主要威脅行為者與動機
這份報告透過 Mandiant 豐富的威脅情報，揭示了針對 OT 系統的主要攻擊行為者及其攻擊動機。這為企業理解威脅的來源與性質提供了關鍵洞察。
勒索軟體集團： 勒索軟體已成為當前 OT 系統面臨的最大威脅之一。這些攻擊者通常以獲取經濟利益為首要目的。他們的攻擊目標不僅限於竊取數據，更包括對 OT 系統的加密或癱瘓，迫使企業支付巨額贖金以恢復生產。對於製造業而言，生產線的停擺可能意味著每天數百萬甚至數千萬美元的損失，這使得他們成為勒索軟體的理想目標。
國家支持的駭客組織： 這些駭客組織通常與特定國家政府有關，其攻擊動機更為複雜，包括情報竊取、地緣政治影響力、以及對關鍵基礎設施的破壞。他們的攻擊往往具備高超的技術水準與隱蔽性，能夠長期潛伏在目標網路中。例如，針對發電廠、供水系統或交通網路的攻擊，其最終目的是製造社會混亂或削弱對手國的國力。
供應鏈攻擊： 供應鏈攻擊已成為駭客入侵企業的有效途徑。駭客可能透過攻擊企業的第三方供應商或合作夥伴，特別是那些提供 OT 軟體或設備的廠商，在產品中植入惡意程式碼。當這些被感染的產品被部署到企業網路中，駭客便能輕易地獲得遠端控制權。
三、報告揭示的常見攻擊手法
該報告詳細描述了駭客在 OT 系統攻擊中採用的多種手法，其中一些利用了 IT 與 OT 融合所產生的漏洞。
IT 網路滲透作為跳板： 駭客通常會先從相對脆弱的 IT 網路入手，利用常見的釣魚郵件、惡意軟體或未修補的漏洞進行滲透。一旦成功控制 IT 網路中的一台電腦，駭客便能以此為跳板，尋找通往 OT 網路的連接點。
利用遠端存取與管理工具： 為了方便遠端操作和維護，許多 OT 網路允許遠端存取。駭客會利用被盜的帳號憑證或漏洞，濫用這些遠端工具，進入 OT 網路。
針對OT協議的攻擊： 駭客可能針對 OT 系統中使用的特殊工業控制協議（如 Modbus、DNP3）進行攻擊。這些協議最初設計時並未考慮到安全性，因此容易被嗅探、篡改或重放攻擊，導致OT設備的錯誤指令執行。
惡意軟體與後門植入： 駭客會在OT系統中植入特製的惡意軟體或後門程式，以便能夠長期控制設備、竊取數據，甚至在未來需要時對系統進行破壞。
四、雲端驅動的混合式資安防禦策略
面對這些不斷升級的威脅，Google Cloud 與 Mandiant 在報告中提出的核心思想是：企業不能再將 IT 與 OT 視為兩個獨立的實體。相反，必須將它們視為一個統一的、混合式的網路，並利用現代雲端技術來彌補 OT 系統的資安短板。
強化網路可見性與監控：
- OT 網路流量分析： 企業應部署專門的 OT 網路監控工具，用於解析 OT 專有協議的流量，識別異常行為。
- 集中式日誌管理與威脅情報： 將 IT 與 OT 網路中的所有日誌數據，匯總到一個雲端驅動的日誌管理平台（如 Google Cloud 的 Chronicle）。透過 Mandiant 的威脅情報，這些平台能夠自動分析日誌，偵測潛在的攻擊指標（IOCs），並在攻擊初期發出警報。
建立零信任（Zero Trust）架構：
- 身分與存取管理（IAM）： 拋棄傳統基於網路邊界的防禦思維，轉而對所有試圖存取 OT 系統的使用者和設備進行嚴格的身分驗證和授權。每個存取請求都應被視為潛在的威脅，並根據最小權限原則進行嚴格控制。
- 網路微切分（Microsegmentation）： 將 OT 網路切分為更小、更獨立的區塊。即使駭客成功入侵了一個區塊，他們也無法輕易地「橫向移動」到其他關鍵區塊，從而限制了攻擊的範圍。
利用雲端技術進行主動防禦：
- 威脅情報與自動化防禦： 雲端平台能夠整合來自全球的威脅情報，並利用機器學習模型自動偵測惡意流量。這種能力遠超過單一企業的內部資安團隊，能夠幫助企業預測和阻止新型攻擊。
- 安全沙箱與虛擬化： 利用雲端提供的安全沙箱環境，對可疑的 OT 軟體、固件進行分析，以確保其不包含惡意程式碼。
五、實施 OT 資安防護的戰略性建議
這份報告不僅提供了技術層面的解決方案，也從組織與戰略層面提出了實施建議，以確保 OT 資安防護能夠順利落地。
建立跨職能團隊： OT 資安防護需要 IT 和 OT 團隊的緊密協作。企業應建立一個由 IT 資安專家、OT 工程師和業務部門代表組成的跨職能團隊，共同制定資安策略，確保防護措施既安全又不會影響生產。
制定 OT 資產清單與風險評估： 企業應首先全面盤點其 OT 資產，包括 ICS、PLC、HMI 等設備，並根據其在生產中的關鍵性進行風險評估。這有助於確定資安防護的優先級，將有限的資源投入到最關鍵的資產上。
定期進行資安演練： 企業應定期進行 OT 資安演練，模擬勒索軟體攻擊或系統癱瘓等場景。這有助於測試應急響應計畫的有效性，並提升團隊在真實攻擊發生時的應對能力。
建立供應商信任機制： 在 OT 供應鏈攻擊日益增長的背景下，企業應與其供應商建立信任機制，要求供應商提供其產品的資安證明，並對供應商的軟體進行定期審核。
結論：將 OT 資安視為企業核心競爭力
Google Cloud 與 Mandiant 的這份報告清晰地描繪了一個嚴峻的現實：針對 OT 系統的網路威脅已經不再是偶發事件，而是企業在數位化轉型中必須面對的常態。勒索軟體集團、國家級駭客和供應鏈攻擊者正在積極尋找 OT 環境中的漏洞，對製造業、能源等關鍵基礎設施造成巨大的威脅。
然而，這份報告也同時傳達了一個重要的訊息：企業並非束手無策。透過利用雲端技術的強大能力，企業可以打破 IT 與 OT 之間的隔閡，建立一個統一且具有彈性的混合式資安防禦體系。這包括強化網路可見性、實施零信任架構、並將威脅情報與自動化防禦機制相結合。
將 OT 資安視為企業的核心競爭力，而不僅僅是一個成本中心，將是企業能否在未來的工業數位化浪潮中持續生存與發展的關鍵。透過建立跨職能協作、實施全面的資產管理與風險評估，並進行定期的資安演練，企業能夠從被動防禦轉向主動預防，從而在保障物理世界安全的同時，充分釋放工業互聯互通所帶來的巨大潛力。
資料來源：https://industrialcyber.co/reports/new-google-cloud-mandiant-report-warns-of-escalating-cyber-threats-to-manufacturing-energy-ot-systems/