NO.55 | 2019.05.31
banner
title有備而來 友善列印>>
簡介「物聯網用於關鍵資訊基礎建設的資訊安全基線建議」_資通安全組 許任銘高級工程師

        歐盟網路及資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20日發佈「物聯網用於關鍵資訊基礎建設的資訊安全基線建議(Baseline Security Recommendations for IoT in the context of         Critical Information Infrastructures)」，其目的在於為歐洲的物聯網奠定安全基礎，以作為該領域相關研發與安全措施的參考依據。參考ENISA對於物聯網的定義：「A cyber-physical ecosystem of interconnected sensors and actuators, which  enable intelligent decision making」，表示物聯網是一個循環的實體生態系統，其中連結了感測（知）與行動，以產生智慧決策方案。由定義可知，「資訊」在物聯網環境中扮演核心角色，連結感測、決策及行動以形成持續的循環，並與網路界接成為智慧基礎建設運作的推動者。網路值得關注之處，除了通訊、彈性、互用性及可靠度外，其賴以運作的智慧基礎建設具有引發隱私權問題之可能性；為此，於2017年初，ENISA成立物聯網安全專家群組(IoT Security Experts Group, IoTSEC)，所使用之五步法(five-step methodology)如下圖1所示，匯集相關領域之專家訪談、研究、驗證，並將其結果整理於此份建議中，同時也確保此標準能將現行之歐盟法規納入考量，其中包含了AIoTI, GDPR, NIS Directive 及Staff Working Document on     ICT Standardization等，以確保整個物聯網生態系統的安全性和彈性。

圖1：研究方法論-五步法(five-step methodology)
（圖片來源：歐盟網路及資訊安全局）

內容概要

        此建議針對物聯網基線安全措施提供建議，以保護物聯網系統及環境。主要目標是為欲採用或已採用物聯網解決方案之組織、生產物聯網產品與提供解決方案和服務之製造商及運營商，及組織中負責IT之相關人員（包含資安長、資安專家等）做為參考依據。另一方面，相對應之監督管理單位也能從中參考並制定物聯網安全方面的相關政策。此安全建議基準之產生，主要是藉由擬定適用的範圍後，透過物聯網專家的共同建議、研究及分析後撰寫而成，最終於研討會驗證其有效性後發佈。共分為以下六個章節進行討論：
  • 第1章：介紹目標及其定義，與實現目標所須遵循之方法。
  • 第2章：描述與物聯網相關之關鍵元素及其環境之定義。
  • 第3章：定義物聯網的主要威脅、弱點、風險和主要攻擊情景之發展分析。
  • 第4章：確定適用於此基準要求範圍內之主要安全措施，並進行分類與制定各檢測要求。
  • 第5章：討論當前制定之項目範圍，及未來可能面臨之差距與挑戰。主要討論傳統物聯網與強化網路安全物聯網的主要差距，以確認彌補這些差距所需採取之措施。
  • 第6章：提出增進物聯網安全的進階安全建議，其中包含一系列針對開發人員、操作人員和安全專家的進階建議，以提高物聯網設備及其通訊之安全等級，並建議涉及利益相關者的處理方式，以解決第5章中所定義的差距。

威脅分析

        藉由分析歷年來重大的物聯網資安事件可發現，這些攻擊絕大多數都與被侵犯的設備或受破壞的系統有關。因此在確認並列出物聯網可能面臨的威脅及影響程度後(如下圖2所示)，進一步透過場景描述攻擊的複雜度，以提出相應且足以對抗的具體安全措施。

圖2：物聯網裝置之威脅分類與危害程度
（圖片來源：歐盟網路及資訊安全局）

        彙整研究報告與專家對於可能造成基礎設施連續效應的威脅與風險評估如下表1，透過不同情境與嚴重等級的評估對應，以說明當攻擊者利用這些威脅與風險時，對組織可能造成的損害程度。

ATTACK SCENARIOS IMPORTANCE LEVEL
1.  Against the network link between controller(s) and actuators High – Crucial
2.  Against sensors, modifying the values read by them or their threshold values and settings High – Crucial
3.   Against actuators, modifying or sabotaging their normal settings High – Crucial
4.   Against the administration systems of IoT High – Crucial
5.   Exploiting protocol vulnerabilities High
6.   Against devices, injecting commands into the system console High – Crucial
7.   Stepping stones attacks Medium – High
8.   DDoS using an IoT botnet Crucial
9.   Power source manipulation and exploitation of vulnerabilities in data readings Medium – High
10. Ransomware Medium – Crucial
 
表1：物聯網裝置之威脅分類與危害程度
（資料來源：歐盟網路及資訊安全局）
 
        此份報告中，透過專家訪談與蒐集相關利害關係人之評估資訊，並將上述攻擊場景依其造成的嚴重性排列如下圖3所示。


圖3：攻擊場景威脅程度排序
（圖片來源：歐盟網路及資訊安全局）
 
        最後則是根據上述資訊，研擬並建議安全措施和最佳實踐策略，再依據不同的安全領域分為三大類（分別為Policies         (PS)、Organizational, People and Process measures (OP)與Technical Measures (TM)），進一步於文件的第四章節做詳細的陳述。

        此文件特別加入差距分析，用以分析傳統物聯網與強化網路安全物聯網之主要差距。專家認為當前物聯網的安全性正處於發展初始階段，因此需對現有之物聯網安全資源進行比較以分析最大可能差距，其目的在於確定和定義差距並解決物聯網中的網路安全問題，並確認彌補這些差距所需採取的作為。

結論

        解決物聯網安全和安全漏洞之最終目標為保護所有資產、保持所需的隱私水平，及實現與維持高水平的網路攻擊彈性（指受到網路攻擊時仍能維持正常運作的高度彈性），從而確保物理安全及網路安全。相對於此標準而言，若依循共通準則        (Common criteria)無論是建立保護剖繪(protection profile)或通過驗證的方式來提供產品安全的保障，均更耗時（基本上約需至少8個月）且成本更高，對於物聯網這類低價且汰換快速的裝置緩不濟急，將造成廠商成本增高的狀況。故ENISA提出了此IoT安全基準指引，藉由三個不同的等級（表1： Crucial, High and Medium）能更快速的篩選出相對安全的設備，除廠商能以更快且相對較低的成本驗證其產品之安全性，也同時提供消費者在選購IoT相關產品時，有適合參考的指標。