[[183611]]

寫在前面的話

勒索軟件已經成為了商務企業、教育機構以及醫療衛生部門的心頭大患。而近期又有網絡安全研究人員發現，通過惡意軟件來攻擊城市的基礎設施其實也并沒有多大的難度。這些基礎設施是一個城市能夠正常運轉的基礎，這無疑是在我們目前生活環境的安全狀況雪上加霜。

公共基礎設施處于安全風險之中

就在情人節的這一天，來自佐治亞理工學院的網絡安全研究專家披露了一款由他們自行設計和開發的新型勒索軟件，而需要注意的是，這是一款專門針對工業控制系統的惡意軟件。研究人員也通過實驗證明了，這款勒索軟件可以輕而易舉地“拿下”城市的污水處理系統。

雖然此次攻擊實驗的對象并非真正的城市污水處理系統，而是模擬出來的，但這也足以證明網絡攻擊者可以通過惡意軟件破壞我們日常生活所必須的一些關鍵基礎設施。除了污水處理系統之外，還有能源供應系統、水資源供應系統、供暖系統、通風系統、空調控制系統和自動扶梯控制器都將處于安全風險之中。

研究成果發布

目前，研究人員已經在美國舊金山的RSA大會(中國時間2017年2月14日-2月18日，關于大會的詳細內容請隨時關注安全客的跟進報道http://bobao.360.cn/interref/detail/5.html )上公布了他們的研究成果。

在此次RSA大會上，該研究團隊也向我們描述了他們是如何去識別工業設備中各種常見可編程邏輯控制器(PLC)的。在獲取到了三種不同的工業設備之后，研究人員立刻對這些設備的安全等級和安全狀態進行了測試，例如密碼保護狀態以及它們抵御惡意攻擊的能力。

研究人員利用可編程邏輯控制器(PLC)和一些水管以及水箱等工具模擬出了一個小型的污水處理系統，但是這個小型系統的功能并不是對水進行過濾和凈化的。研究人員將原本用于凈化水的氯替換成了碘和淀粉，當攻擊者通過惡意遠程控制來向水中添加碘時，水箱中的水就會變成藍色。

首先，研究人員通過類似釣魚郵件和惡意鏈接等常見的攻擊方法讓目標系統成功感染勒索軟件，然后再利用勒索軟件來對目標系統實施模擬攻擊。實驗結果表明，這款新型的勒索軟件能夠關閉并鎖定關鍵的工業控制系統。

當某個工業控制系統被攻擊者惡意關閉之后，也就意味著這個系統成為了攻擊者手中的“人質”。此時，如果有關部門拒絕支付贖金的話，攻擊者就可以威脅在城市供水系統中添加過量的氯，而這將會給整個城市居民的人身安全帶來危險。

除此之外該研究團隊還表示，攻擊者還可以通過攻擊系統的可編程邏輯控制器(PLC)來關閉水閥或篡改設備讀數。

來自佐治亞理工學院電氣與計算機工程系的博士生David Formby表示：“適量的氯可以對水進行消毒，而且飲用起來也不會對人的身體造成傷害。但是水中添加過量的氯將會使人體產生多種不良反應，所以這種情況下的水是非常危險的。”

在研究如何攻擊這些可編程邏輯控制器(PLC)的過程中，研究人員發現了1400多種不同類型的可編程邏輯控制器(PLC)，而我們可以通過互聯網輕而易舉地訪問這些可編程邏輯控制器(PLC)。大多數情況下，這些設備都會有企業網絡防火墻的保護，但是當整個網絡環境不再安全的情況下，這些防火墻也就相當于是形同虛設了。

在此之前已經發生過很多次針對嵌入式工業控制系統的勒索軟件攻擊事件了，而且我們也可以看到了勒索軟件將會給醫院帶來多么大的惡劣影響。在某些情況下，相對于贖金這種經濟負擔而言，惡意網絡攻擊所帶來的負面影響會更加可怕。對于醫院來說，這種負面影響將會直接影響到病人的安危，病人的生命將會受到嚴重的威脅，城市的凈水系統也是一樣，如果這些系統遭到攻擊，那么受此影響的人可就不是一個兩個了。

[[183612]]

佐治亞理工學院電氣與計算機工程系的教授Raheem Beyah認為，工業控制系統中的漏洞已經存在了有至少十年了，這是眾所周知的事情。隨著這兩年來勒索軟件的興起，其他行業對于勒索軟件來說也越來越難以攻下了，所以工業控制系統很可能會成為網絡攻擊者的下一個大目標。

Beyah說到：“某些國家的政府黑客可能早就已經對這種攻擊了如指掌了，所以他們很可能會通過這種攻擊手段來達到某些政治目的，但是普通的黑客應該對這些系統不感興趣。我們希望通過此次的攻擊演示來引起人們對工控系統安全性的重視，如果我們可以成功地攻擊這些工業控制系統，那么其他那些不懷好意的人同樣也可以做到。”