我们正处于网络冷战之中

随着美国、俄罗斯、朝鲜、伊朗和中国之间的紧张局势加剧，网络战的格局正在发生变化。我们日常依赖的关键基础设施脆弱且严重过时。工业控制和SCADA系统几乎触及您日常生活的方方面面，从清洁水源、能源到交通运输。种种迹象表明，一个非常可怕的结局正在酝酿之中。

如果新闻头条、全球趋势和技术报告告诉我们过去几年工业控制和SCADA系统网络安全的任何信息，那就是我们目前正处于网络冷战之中，全面的网络战争可能很快随之而来。请继续阅读，了解我如何得出这一结论，以及当前保护我们的控制措施为何无法在短期内持久有效。

网络战争的配方

工业控制系统（ICS）和监控与数据采集（SCADA）系统是运行全球大部分基础设施的软件系统。它们控制发电厂和电网、水处理厂、石油管道、制造业、暖通空调、空中交通管制以及几乎所有其他全球关键基础设施。这些系统最初设计并推出于20世纪70年代，也就是16位、磁带驱动、PDP-11时代。系统根据需要发生了变化，层层叠加了新算法、输入和设计，以跟上不断发展的需求。这些系统的一个关键假设是，它们被设计为空气隔离的，与甚至尚未发明的公共互联网分离。这是一个关键的安全设计假设，但近年来已被削弱。

曾经是这些系统最大保护的措施已成为它们最大的弱点。当这些系统空气隔离时，它们不会定期更新。部分原因是这样做很困难，部分原因是人们认为，没有互联网连接，系统就安全无虞，因此不需要其他系统所接受的安全配置和补丁 diligence。

第一代SCADA系统是单体独立系统。它们包含了操作所需的一切。在这个时代，从架构到协议，一切都是专有的。第二代SCADA系统是分布式的。分布式SCADA系统通过局域网连接多个站点。信息实时共享，但协议和连接仍然是专有的。这是接下来网络化系统的早期版本。第三代SCADA系统使用标准化协议将多个系统网络化在一起。

我们不再断开连接

我们现在正在进入第四代SCADA架构。这一现代SCADA系统 generation 应该让您脊背发凉。“Web SCADA”使用互联网浏览器作为SCADA系统的界面。这些完全互联网连接的系统带来了一个新时代，其中SCADA系统必须防御来自任何地点的任何攻击者。这是这些系统以前从未必须做的事情，而且简单来说，它们没有配备这样做。

不仅仅是SCADA系统，所有ICS和其他控制器系统也是如此。连接大规模工业系统的驱动力正在增长。其中有巨大的价值：远程监控、更新和其他功能都是巨大的增值。不幸的是，正如我们在金融科技领域所看到的那样，将这些老旧脆弱的系统迁移到互联网连接的网络中充满了问题——但现在具有更灾难性的潜力。这些系统从未设计用于承受非标准使用，更不用说持续攻击了。别忘了SCADA控制物理基础设施，并可能影响物理安全。

即使系统保持完全空气隔离，其他攻击向量也可能成功。我们在Stuxnet蠕虫的后果中看到了这一点。这种网络武器旨在攻击伊朗的核系统。它针对可编程逻辑控制器（PLC）。一旦部署，这种高级攻击利用了Windows和西门子系统中的多个0-Day漏洞。蠕虫通过USB闪存驱动器引入空气隔离网络。这意味着 presumably 有人编写了一个精美的高级蠕虫，将其复制到闪存驱动器，将该闪存驱动器丢在停车场，然后等待某人捡起并将其插入伊朗最关键的基础设施之一。如果您有员工愿意通过USB为您传输文件，您不需要连接到互联网。

几乎每一个关键基础设施的关键部分都有几十年的历史，充满安全问题，开发时依赖空气隔离。这些系统现在要么连接到互联网，要么内部网络化并由一群不可信的个体使用。这些系统易受的大多数漏洞在系统最初构建时甚至尚未发明！

修复竞赛？

您可能认为，当面对这些系统正在被 targeting 和攻击，以及人们生命受到威胁的知识时，会有一股巨大的推动力，尽可能快地加固这些系统。不幸的是，我们并没有看到这种情况。

不是要听起来失败主义，但这些系统非常复杂，有数十个组件连接，处理多种协议、操作系统和认证/授权模型。为了保护这些系统，我们需要100%的成功率，而为了攻击它们，只需要一个漏洞链。考虑到最近对 previously 认为几乎牢不可破的系统的0-Day漏洞的猛攻，保护我们的SCADA软件基础设施可能是一项过于艰巨的任务。

保护计划：说请

那么，如果公司无法足够快地修复其ICS和SCADA系统，并且这些系统的部署依赖于连接到互联网，而操作安全实践无法保护我们，那么我们如何防御即将到来的网络战斗？

一个答案可能是：只是请求？上周，美国和26个国家共同发布了一份《关于推进网络空间负责任国家行为的联合声明》，定义了一套“网络规范”，其中每个国家和非国家行为者承诺在和平时期不攻击彼此的基础设施。这还包括不干涉政治和进行知识产权盗窃。

这基本上是我们到目前为止一直在玩的方式。美国不公开攻击我们的盟友，他们也不攻击我们。我们不攻击盟友的民用基础设施，他们也不攻击我们的。攻击电网和核电站的风险对平民生命来说太高了。到目前为止，大多数有能力执行此类攻击的团体将注意力集中在非常特定的系统上，以发送非常特定的信息。

我认为联合声明是一件伟大的事情，但您能想象您的网络安全态势悬在网络犯罪分子玩得好的平衡上吗？当然，中国、伊朗、俄罗斯、朝鲜和其他传统上有问题的国家不在名单上。

威胁 landscape

最著名的攻击团体，如APT10、Lazarus Group、Reaper和Fancy Bear，通常已知是国家赞助的，位于中国、伊朗、俄罗斯和朝鲜。但这些黑客团体如何获得资金？根据联合国和美国财政部的说法，许多这些团体自筹资金，并 targeting 银行和加密货币交易所的更广泛军事计划。如果您可以访问任何您想要的计算机，为什么还要合法赚钱？从配置错误和不安全的金融交易所拿取您需要的东西。

我们通过IP块或他们使用的恶意软件和工具来识别这些黑客团体。如果——为了进一步掩盖他们的踪迹——他们从联合声明中的另一个国家攻击联合声明中26个国家之一，会发生什么？许多这些国家不太可能以足够的准确性识别此类攻击的源和目的地，以正确地将攻击归因于特定团体。国际网络关系将 then fall back on these earlier talks and agreements，这些可能在压力下无法 hold。

我们的网络冷战

这让我想到了我认为我们当前的网络冷战。美国及其盟友目前与许多国际对手进行 quiet 网络战争。其中一些对手是国家赞助的，专注于特定目标或结果。其他团体更像网络恐怖分子细胞，不受任何其他协议或目标的约束。这些团体可能有意或无意地引发网络战争，或者他们可能攻击针对平民的关键基础设施。

几十年前，由于缺乏黑客和利用培训，或足够强大的计算机硬件，可能很容易 dismiss 这种威胁。现在网络恐怖分子团体可以通过攻击软金融目标自筹资金，然后 targeting 关键民用基础设施而不被检测。我们最近看到使用针对性恶意软件对ICS的网络攻击有所增加。过去几年，对纽约大坝、欧洲能源公司和乌克兰发电厂的攻击已被公开。如果在美国或其他发达国家发生更广泛的攻击，可能会 tipping the scales 到一场全面的全球网络战争，难以恢复。

解决方案

这是一个非常难以解决的问题。当我们谈论网络安全风险时，我们经常在影响和可能性的尺度上衡量它。在这种情况下，影响不能再高了。我会将这种风险评为 critical，它应该 capture 强烈的关注和焦点。

答案以及通往和平与稳定的道路，需要全球政府、ICS和SCADA提供商以及 individual 基础设施和公用事业公司的多层面方法。

本文汲取了许多最近的新闻故事，其中一些我能够在这里 capture，所有这些都是值得阅读以了解威胁 landscape 的。

The Urgent Search for a Cyber Silver Bullet Against Iran - The New York Times
Iran denies successful cyber attack on oil sector | The Times of Israel
World powers are pushing to build their own brand of cyber norms - CyberScoop
Russian APT Ecosystem Map
US Treasury sanctions three North Korean hacking groups | ZDNet
Attacks Targeting Industrial Control Systems (ICS) Up 110 Percent