新能源行業(yè)面臨安全危機(jī)
對可再生新能源企業(yè)的網(wǎng)絡(luò)攻擊正變得越來越普遍。由國家資助的黑客組織，例如Hexane或DragonFly，經(jīng)常將新能源企業(yè)作為目標(biāo)，展開破壞行動(dòng)并竊取知識(shí)產(chǎn)權(quán)，而犯罪組織則試圖通過勒索軟件攻擊勒索金錢，例如最近襲擊葡萄牙Energias de Portugal(EDP)的勒索軟件。
太陽能等可再生能源僅占能源行業(yè)的一小部分，但面臨和遺留的網(wǎng)絡(luò)安全問題卻非常“龐大”。“過去，我不認(rèn)為建造太陽能發(fā)電廠的開發(fā)商確實(shí)沒有意識(shí)到安全問題，”可再生資產(chǎn)管理公司W(wǎng)iseEnergy的CIO/CISO Rafael Narezzi說，該公司管理的太陽能資產(chǎn)總計(jì)約為1.2計(jì)劃在兩年內(nèi)達(dá)到4吉瓦。“但他們的重點(diǎn)是開發(fā)和建設(shè)資產(chǎn)，而不是經(jīng)營資產(chǎn)需要管理的風(fēng)險(xiǎn)。他們對(將資產(chǎn)連接到互聯(lián)網(wǎng))方面的安全網(wǎng)絡(luò)衛(wèi)生問題缺乏足夠的關(guān)注。”
Narezzi說，他看到的新能源企業(yè)網(wǎng)絡(luò)安全滲透測試結(jié)果暴露了一系列廣泛的問題，其中包括“被加密惡意軟件劫持的閉路監(jiān)控系統(tǒng)，通信室中遺留的密碼，路由器的弱密碼以及被利用作為代理的路由器，甚至正在分發(fā)惡意軟件的資產(chǎn)。”
Fortinet東部地區(qū)運(yùn)營技術(shù)總監(jiān)Christopher Blauvelt表示，資產(chǎn)的分布性質(zhì)以及缺乏垂直整合的制造商，是可再生能源領(lǐng)域面臨的網(wǎng)絡(luò)安全挑戰(zhàn)背后的原因。他說：“新能源企業(yè)需要整合大量第三方供應(yīng)商的產(chǎn)品，例如面板供應(yīng)商、支撐結(jié)構(gòu)供應(yīng)商、太陽能跟蹤系統(tǒng)供應(yīng)商以及逆變器供應(yīng)商等。所有這些第三方供應(yīng)商并不總是對網(wǎng)絡(luò)安全最佳實(shí)踐有著相同的知識(shí)或了解。”
Blauvelt補(bǔ)充說：“為緩解新能源行業(yè)缺乏垂直集成制造商產(chǎn)生的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，新能源企業(yè)需要重點(diǎn)關(guān)注控制協(xié)議。”“產(chǎn)品的選型通常是基于實(shí)現(xiàn)和集成成本最低的原則，這導(dǎo)致企業(yè)往往會(huì)采購幾乎沒有安全性可言的較舊的控制協(xié)議。”
Rapid7的物聯(lián)網(wǎng)研究負(fù)責(zé)人Deral Heiland指出，不正確的部署也是一個(gè)常見問題。他說：“像大多數(shù)物聯(lián)網(wǎng)(IoT)技術(shù)一樣，太陽能解決方案必須能夠與互聯(lián)網(wǎng)通信，但不能直接連接到互聯(lián)網(wǎng)，因?yàn)檫@樣做可能會(huì)使它們遭受潛在的攻擊。”“不幸的是，情況并非總是如此。”
Heiland說，使這個(gè)問題更加復(fù)雜的是，用于遠(yuǎn)程管理的默認(rèn)密碼，弱密碼或重用密碼沒有改變。補(bǔ)丁管理不佳是另一個(gè)問題所在。他建議新能源行業(yè)使用NISTIR 8259和8259A中記錄的NIST最近發(fā)布的安全基準(zhǔn)。
比日食更難預(yù)測的網(wǎng)絡(luò)攻擊
新能源企業(yè)對網(wǎng)絡(luò)安全問題放任自流的態(tài)度，原因之一是：它們認(rèn)為即使攻擊導(dǎo)致與太陽能發(fā)電廠的網(wǎng)絡(luò)通信中斷，也不會(huì)中斷運(yùn)營。但是最近的概念驗(yàn)證和現(xiàn)實(shí)世界攻擊表明，網(wǎng)絡(luò)攻擊對可再生能源構(gòu)成了真正的威脅。
2017年，塔爾薩大學(xué)(University of Tulsa)的研究人員發(fā)現(xiàn)，風(fēng)力渦輪機(jī)之間缺乏分隔可能會(huì)導(dǎo)致整個(gè)風(fēng)電農(nóng)場被劫持。研究人員指出，太陽能發(fā)電廠網(wǎng)絡(luò)中也存在同樣的漏洞。“分布式網(wǎng)絡(luò)的安全問題可以通過更好地進(jìn)行網(wǎng)絡(luò)分段隔離并防止逆變器相互通信來解決。”
Blauvelt認(rèn)為，這些問題的影響可能是嚴(yán)重的。可再生能源企業(yè)通常選擇在配電網(wǎng)薄弱的農(nóng)村地區(qū)建造太陽能發(fā)電廠，這可能會(huì)使逆變器更容易受到攻擊。他說：“逆變器中的參數(shù)變化會(huì)導(dǎo)致電壓波動(dòng)，從而損壞企業(yè)和家庭中的設(shè)備。”“攻擊者還可以設(shè)法使電網(wǎng)進(jìn)入保護(hù)狀態(tài)，從而導(dǎo)致電力損失和意外的電力孤島。因此，確保對配電網(wǎng)絡(luò)進(jìn)行更好的分段，并在站點(diǎn)和面板之間進(jìn)行可靠的監(jiān)視，可以幫助太陽能發(fā)電廠更好地應(yīng)對網(wǎng)絡(luò)攻擊。”
SHA2017大會(huì)的一個(gè)主題演講(https://www.youtube.com/watch?v=bvfnYWeMUts)演示了如何通過攻擊太陽能電池板對更大范圍的供電網(wǎng)絡(luò)造成影響。荷蘭研究員Willem Westerhof在逆變器中發(fā)現(xiàn)了17個(gè)漏洞，并證明了對脆弱的太陽能發(fā)電站點(diǎn)的廣泛攻擊將產(chǎn)生日食的影響。日食是可以預(yù)測的，而網(wǎng)絡(luò)攻擊卻防不勝防，對于大量依賴太陽能的電網(wǎng)來說，攻擊導(dǎo)致的發(fā)電量銳減可能會(huì)導(dǎo)致大規(guī)模的停電事故。
Narezzi指出：“安全研究人員已經(jīng)給出了一個(gè)概念驗(yàn)證攻擊，可以劫持逆變器并使其自爆。”“這是一個(gè)危險(xiǎn)信號(hào)，我認(rèn)為是時(shí)候開始重視太陽能發(fā)電農(nóng)場的網(wǎng)絡(luò)安全問題了。”
業(yè)界普遍認(rèn)為，首次針對太陽能企業(yè)的網(wǎng)絡(luò)攻擊發(fā)生在2019年。總部位于猶他州的可再生能源提供商sPower成了DDoS攻擊的受害者，該攻擊利用了sPower使用的思科防火墻的一個(gè)已知漏洞。盡管這次攻擊并沒有導(dǎo)致停電，但確實(shí)導(dǎo)致了信號(hào)中斷，與發(fā)電機(jī)的連接也被中斷。
過去，對于可再生能源領(lǐng)域的眾多公司而言，網(wǎng)絡(luò)安全問題尚未引起重視的另一個(gè)原因是缺乏法規(guī)來迫使他們采取行動(dòng)，尤其是在歐洲。“例如，在美國，對網(wǎng)絡(luò)安全有非常嚴(yán)格的規(guī)定，您可能會(huì)因此失去許可證，”Narezzi說道。
雖然WiseEnery規(guī)模太小，無法納入歐盟NIS指令的安全范圍內(nèi)，但Narezzi表示，美國對必須遵守的公用事業(yè)有更嚴(yán)格的監(jiān)管環(huán)境.NIS指令允許監(jiān)管機(jī)構(gòu)處以最高1700萬英鎊的罰款。在英國，但尚未發(fā)布此類處罰。
可再生能源業(yè)務(wù)在安全方面已經(jīng)取得了進(jìn)步。今年，大型太陽能公司SolarEdge宣布將嵌入安全技術(shù)，進(jìn)行連續(xù)的運(yùn)行時(shí)完整性檢查，以保護(hù)其逆變器。而勞倫斯伯克利國家實(shí)驗(yàn)室和阿肯色大學(xué)的安全專家們也正在研究提高太陽能逆變器安全性的方案。
提高太陽能站點(diǎn)安全性
Narezzi表示，WiseEnergy正在采取措施保護(hù)其資產(chǎn)遠(yuǎn)離安全風(fēng)險(xiǎn)，該計(jì)劃的一部分是定期的滲透測試。他說：“我喜歡經(jīng)常更換或替換安全服務(wù)供應(yīng)商，例如滲透測試，更多的供應(yīng)商能給你更好的安全可視性。”
根據(jù)Fortinet的Blauvel的說法，使用不安全的無線網(wǎng)絡(luò)是另一個(gè)潛在的風(fēng)險(xiǎn)，并且只有新能源企業(yè)、運(yùn)營商使用可以監(jiān)控和保護(hù)的通信介質(zhì)，才能從根本上解決此問題。WiseEnergy也意識(shí)到了這個(gè)風(fēng)險(xiǎn)，正在用站點(diǎn)4G通信代替衛(wèi)星通信，從開放的互聯(lián)網(wǎng)中刪除站點(diǎn)，并降低管理開銷和復(fù)雜性。
Narezzi說：“衛(wèi)星通信曾經(jīng)很不錯(cuò)，但是今天，例如在英國，我們的4G覆蓋范圍非常好。我們以前的傳統(tǒng)方法是在衛(wèi)星線路的另一端使用公共IP和路由器。而在4G網(wǎng)絡(luò)，攻擊暴露面更小，而且我們擁有可控制一切并具有操作可見性的VPN。”
Narezzi說，他正在使用M2M(一種專用于物聯(lián)網(wǎng)設(shè)備的托管4G服務(wù))來搭建物聯(lián)網(wǎng)設(shè)備專用網(wǎng)絡(luò)。該網(wǎng)絡(luò)的承包商為數(shù)百個(gè)VPN連接的SIM卡提供了基礎(chǔ)架構(gòu)，從而減少了配置和管理方面的工作量，同時(shí)也減少了攻擊面。
雖然4G足以滿足公司當(dāng)前需求，但Narezzi認(rèn)為5G網(wǎng)絡(luò)能消除帶寬限制并支持部署更多物聯(lián)網(wǎng)設(shè)備，會(huì)對未來產(chǎn)生巨大影響。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
