以微知著：对美国油气管道公司因勒索攻击被迫停止运营事件的思考

5月8日，美国最大的天然气和柴油运输管道公司Colonial宣布，因遭受勒索软件攻击而暂时停止运营，攻击者通过非法软件控制了其电脑系统或数据，导致其美国东部沿海各州供油的关键燃油网络全部被迫关闭。随后5月9日，美国宣布进入国家紧急状态，解除对公路运输燃油的各种限制，最大程度减轻Colonial 公司输油管道持续关闭带来的影响。

 

 

在过去，大规模的勒索软件攻击，或是单一针对各国水厂、炼油厂、化工厂或电网等关键基础设施发起网络攻击的事件已不在少数，单当这二者结合起来后，却爆发出来全所未有的威力，不亚于一次最高规模的网络安全“核攻击”。

 

当下，Colonial管道公司仍然在委托第三方安全公司调查此次攻击事件的目的和规模，整个攻击事件的细节和具体影响还并不明朗，但无疑，攻击事件已经给美国，以及全球的能源行业和网络安全行业敲响了警钟。

 

正值热议的风口，安全419请到了身处工业网络安全一线厂商木链科技和安帝科技聊了聊，对这起安全事件有何看法和思考。

 

 

此前的一些勒索攻击事件带来的后果可能是被勒索巨额的赎金，或是导致数据泄露，为什么这次发生在能源行业中的勒索攻击事件会直接演变成为一次社会安全事件？甚至严峻到让美国当局直接宣布进入国家紧急状态？

 

安帝科技董事长兼总经理周磊表示，从勒索事件本身来看，调查的证据目前指向了俄罗斯背景的Darkside组织，这是一个新型的勒索组织。关键是该勒索组织目前没有透露具体的勒索金额，不知道背后还有什么不可告人的目的。如果证实是国家背景的组织行为，那也好理解，国家级攻击组织具备雄厚的资源和高超的能力。如果是一般的网络犯罪组织，能达到如此攻击后果，这对美国的网络防御是多么大的讽刺。

 

目前没有证据表明攻击组织是只影响了IT系统，还是已渗透到了OT系统。传统安全产品对OT系统的恶意软件检测能力较弱，也就是说对传感器、执行器级别、控制器级别的设备不具备威胁检测能力，一旦攻击者有能力在OT系统上驻留、潜伏，这个潜在的威胁和影响将是长久和巨大的。目前对这个问题的疑虑非常突出，这也是受SolarWinds事件的影响，至今这个事件的影响尚未有明确结论，特别是对电力、能源等关键信息基础设施行业的影响。

 

周磊谈到，油气与电网的关系十分密切，勒索事件除了对Colonial管道公司或其所运输燃料的许多供应商和客户造成财务影响外，管道遭受网络攻击的威胁对民用电网构成了重大威胁，这种蝴蝶效应将迅速蔓延至各个行业，这也是美国公众产生恐慌的部分原因。

 

 

木链科技解决方案部总监陈超进一步解释到，与传统IT系统不同，以石化、电力等工业系统为代表的能源行业作为国家关键基础设施，在人们日常生活中扮演着及其重要的角色，其是否正常运转直接关系到国计民生。

 

Colonial 管道公司是美国东部地区油气输送的主要动脉，输油管线绵延8851公里，每天可从墨西哥湾地区向纽约港及纽约各主要机场输送多达250万桶的精炼汽油、柴油及飞机燃料，更承担着美国东海岸45%的燃油供应。而2020年美国约40的电力是通过燃烧天然气产生，远远超过了其他来源。这意味着，油气管道遭受到的网络攻击将对民用电网产生威胁，进而影响电力系统，乃至网络供应。

 

此外，当前正值夏季，且美国也正在减轻出行限制，各能源公司正需要加大燃油供应力度。此次事件已引发全社会担忧，直接演变成为了一次巨大的社会安全事件。如果停运不会很快结束，美国汽油和柴油价格很可能在即将到来的夏季驾驶高峰前飙升，影响到人们的正常生活和该国东南部的公共秩序。

 

 

木链科技能源行业销售总监王蕾表示，石油化工行业网络安全问题十分突出，恶意代码、病毒、供应链威胁、恶意攻击、勒索软件等等都是行业中常见的安全威胁。就我国而言，随着两化融合和数字化转型在石油化工行业中加速发展，石油化工企业普遍采用了高度自动化的生产技术装备和高度信息化的运营管理手段，极大地提升了生产效率。与此同时，涉及很多新技术、新业务模式的建设和引用，数据共享越来越深入，使得工控系统越来越开放，而针对工控系统的安全防护措施滞后，导致石油化工行业的工控系统信息安全问题突出，王蕾强调道。

 

在王蕾看来，石油化工行业网络信息安全防护有其特殊性。一方面，其防护的攻击主体特殊，与以谋财、牟利为目的的网络诈骗、网络入侵等传统网络攻击所不同，产业入侵者不会是一般意义上的“黑客”，而很可能是恐怖组织甚至是敌对国家力量支撑的组织。此外，石油化工企业遭受攻击破坏后果也会十分严重，大型炼油或化工装置的关键设施一旦遭受攻击，会直接威胁到国民经济的发展和社会安定。

 

另一方面，在国内石化领域中应用最多的工业控制系统有霍尼韦尔 EXPERION PKS R300、横河 CENTUM CS3000、艾默生 Deltav、中控 WebField ECS-700等。在西方发达国家对国内工业控制核心技术垄断环境下，国际政治环境复杂，我国以石油化工为代表的能源行业面临的安全形势愈发严峻。

 

王蕾表示，石油化工行业工控系统网络面临的诸多威胁具体体现在以下方面：

 

•行业特殊：石化行业是典型的流程工业，对控制系统的信息安全要求相对比较高，需要符合行业属性的技术、管理等体系。
 

•入侵多样：石化工控系统的一大特点是结构固定，有固定的拓扑形式和相对单一的网络动态，但网络组成元素、工控节点众多。因此，工控系统的入侵途径更多，可能来自异构网络、工业以太网、现场总线、无线网、移动介质、维修接入，甚至误操作等。
 

•后果严重：与物理世界的互动性是工控系统与信息系统的区别之一，因此，石化工控系统受到威胁可能直接导致现实社会中的重大灾难和群体性事件。
 

•管理复杂：多数石化工业企业的控制网络中，新旧系统并存，而且旧系统在设计时基本没考虑信息安全的问题；同时多种工控品牌系统并存也给安全管理带来一定挑战。

 

 

这样影响规模巨大的工业领域勒索软件攻击事件，也给国内的能源行业等关键信息基础设施敲响了警钟。

 

陈超补充到，近年来，利用勒索软件进行网络攻击的事件在美国屡见不鲜。网络自动化攻击工具的兴起，用加密货币支付赎金的做法，都加大了追踪犯罪者的难度，加剧了此类攻击。

 

美国是全球网络安全的领跑者，在网络各个方面拥有着绝对的优势以及丰富的经验，但是此次攻击事件也凸显了美国关键基础设施的脆弱性，也暴漏出其疏于防范的惰性心理。网络安全管理是一个长期的动态的过程，工业控制系统及工业互联网安全建设是一个需要足够耐心和仔细的长期工作，不得松懈。

 

我国信息安全技术发展较为滞后，工业控制系统同样存在着信息安全管理制度不健全，标准规范缺失，安全防护能力和应急处置能力弱等问题，这些都对我国工控系统安全造成了严重威胁。针对工业控制系统信息安全风险日益加剧的情况，近年来国家层面政策标准不断完善，国家及相关部门先后发布《中华人民共和国网络安全法》、《关于加强工业控制系统信息安全管理的通知》、《工业控制系统信息安全防护指南》、《工业数据分类分级指南（试行）》和等保2.0等相关法规与政策文件，以加强对工业安全领域的监管。

 

安帝科技董事长兼总经理周磊最后谈到，从此次重大的勒索软件攻击事件可以看到，美国的油气管道安全建设，从法规、标准、机构、规划、流程、监督等方面远远落后于其他关键信息基础设施行业。

 

对于我国油气管道网络安全能力建设，应当坚持总体国家安全观指引，将其纳入国家能源战略的总体布局中综合考量，坚持能力导向、规划指引、预算保障、问责落实，建立健全网络安全态势的监测、预警、响应、处置等综合能力。

 

周磊建议工业企业遵循优先规划、未雨绸缪、框架指引、密切协作、短板效应、动态综合、协同响应的原则来推进工业企业的工控系统安全建设。他表示，安全性是一个连续的过程，而不是一个简单的、孤立的工作。每个设计阶段都应包括一系列必须遵循的安全步骤，并将安全直接集成到解决方案的整个生命周期中。为了达到最有效的安全，必须从一开始就将其贯穿于整个生命周期设计中。通过构建以健壮的安全体系结构为核心的系统，并与更广泛的组织合规要求和治理工作进行集成融合，以实现更有效、成本更低的安全方法。