当前位置: CompoTech China > 专题 > 专题报道 >
 

AIoT 引动应用商机,也点燃信息安全烽火

本文作者:任苙萍       点击: 2020-07-15 15:49
前言:
资策会产业情报研究所 (MIC) 资深产业分析师兼产品经理童启晟预言,随着云计算、万物联网、5G 的快速发展,未来 IT (信息科技)、OT (运营科技)、CT (通信科技) 结合人工智能 (AI) 分析机制应用在各种场域,包括制造、金融、医疗、零售、交通、能源等关键基础设施的信息安全产品及服务,乃商机所在;但网络的无所不在,也让信息安全风险急速扩大。
 
童启晟乐见,新技术与新场景分别带动信息安全产业的下一波成长。1970~1990 年代,从信息化到后来的企业电子化、再到今天的万物联网和 5G,技术基本上没有太大变化,但仍有技术随之兴起。这些新技术搭载在原有技术框架上,会产生一些应用场域 (新场景);这对黑客来说,这就是一个绝佳的试验设备。攻防之间,这些新技术和新场景就是带动信息安全产业成长的力量,在 AIOT 促使云台 (Cloud) 和网络 (Cyber) 深度融合的同时,智慧科技与应用亦将加速信息安全技术的深度融合;继网络、计算、存储之后,网络安全已成第四大 IT 基础设施。
 
图1:新技术与新场景将带动信息安全产业下一波成长
资料来源:台湾资策会MIC (2020/05)
 
云信息安全威胁增,"托管安全服务"需求大
从产业宏观角度来说,并购是企业跨域、跨业结合与转型升级的一个速效手段;通信大厂博通 (Broadcom) 吃下赛门铁克 (Symantec) 企业安全部门、法国航空航天公司Thales SA 买下全球最大 SIM 卡厂商金雅拓 (Gemalto) 皆是指标案例。就 2019 年被并购方的信息安全次产业观察:信息安全服务供货商占 30%、身份与存取管理占 22%、网络与端点安全占 15%、反恶意软件占 11%,可反应出产业趋势。有趣的是,这些并购案并非由传统信息安全军火商主导、而是由私募股权公司进行,且信息安全已成新兴投资目标,国内投信业者亦针对信息安全发行股票型基金 (ETF)。
 
表1:2019 十大信息安全并购案
 
资料来源:台湾资策会MIC (2020/05)
 
童启晟总结信息安全有七大发展方向:云信息安全、数据外泄、深伪技术 (Deepfake)、5G 信息安全、工控信息安全、勒索软件 (Ransomware) 和宅办公信息安全 (WFH Security)。首先,将工作负载移转到云台,正在转变企业组织对于"托管安全服务"(MSS) 的消费模式,AWS、Google、Microsoft、Oracle 和 Rackspace 等云服务大厂相继开始增强其 MSS 产品。以软件即服务 (SaaS) 形式提供的 MSS 产品将有越来越多的市场需求,包括:身份与存取管理 (IAM)、安全邮件管理、分布式阻断服务 (DDoS)、事件检测和响应,以及信息安全信息与事件管理 (SIEM)。
 
童启晟分析,云台信息安全主要问题是:数据的遗失与泄漏,包括不适当的权限控管所造成的未授权存取、不安全的应用程序编程接口 (API) 及云台错误配置等,连带使需求端的云威胁持续增加,促使云台信息安全产品在五年内可能成长三倍!身为供给端的军火商当然不会错过这个大好形势,伺机寻求外援、截长补短:2019 年 10 月,趋势科技 (Trend Micro) 以 7,000 万美元收购云台安全新创 Cloud Confomity;今年 2月,惠普 (HPE) 买下云安全新创公司 Scytale。其次,资料外泄也成为归纳重点,且由单点外扩至整个打击面。
 
表2:历年十大资料外泄事件
 
资料来源:台湾资策会MIC (2020/05)
 
"信息安全合规"成为未来 5G 市场决战关键
网络犯罪集团窃取数据的目的不外乎:制作伪卡、进行诈骗、冒用身份、恐吓取财等。前不久视频软件 Zoom 爆出 53 万笔帐密流入暗网 (黑市),受害者遍及摩根大通、花旗银行及学校等机构;万豪酒店 (Marriott) 员工帐密遭骇,有 520 万笔客户信息可能因此外泄……,皆曾引发信息安全恐慌。另一个几可乱真、防不胜防的是深伪技术,收集目标人物的公开影片或音频,利用 AI 学习、模仿声音,或假冒信件格式欺骗企业进行转账皆属此类。童启晟揭密,Deepfake 影片可经由脸部模糊度、不规则眨眼频率来辨识 (Deepfake 影中人几乎不眨眼)。
 
童启晟指出,AI 对于信息安全就像一把双面刃,虽有人以之作恶,但也有信息安全公司用 AI 进行诈骗分析、优化防御策略。另一方面,为支撑多元化业务,5G 网络大量使用软件定义网络 (SDN)、网络功能虚拟化 (NFV)、网络切片 (Networking Slicing)、多接取边缘计算 (MEC) 等新技术,使网通设备漏洞成为 5G 服务的不稳定变量;业者尤其关心"数据在地化"议题,因为各区域法规不尽相同且罚则相当重,"信息安全合规"已然成为未来 5G 市场决战关键。面对 5G 多元技术发展,厂商应针对不同市场需求调整策略、进行布局。
 
例如,欧盟《一般数据保护法规》(GDPR)、《网络与信息系统安全指令》(NIS Directive)、《欧盟网络安全法案》(EU Cybersecurity Act) 等信息安全监管措施;美国加州的《万物联网设备的信息隐私法案》、《加州消费者隐私法案》以及今年 3 月白宫新颁布的《美国保护 5G 安全国家战略》和《保护 5G 安全国家战略》。与此同时,工业 4.0 让封闭式工控环境逐渐开放,与网络的连接频率也提高,顿成黑客觊觎目标。近年全球工控信息安全事件频传,手法也更为刁钻,德国炼钢厂、伊朗核能设施、乌克兰电网、越南航空站、美国水厂和捷运系统都曾惨遭毒手。
 
图2:5G 网络技术特性——分布式无线存取网络 (RAN)、灵活功能部署、随需切片
资料来源:https://www.itu.int/en/ITU-D/Regional-Presence/AsiaPacific/SiteAssets/Pages/Events/2019/ITUPITA2018/ITU-ASP-CoE-Training-on-/5G%20networks%20and%203GPP%20Release%2015_vf.pdf (2019/10)
 
信息安全转型=防御复原力,开发系统之初就得拟定架构
童启晟建议,OT 信息安全有三大策略:隔离管制 (Segmentation)、可视监控 (Visibility) 和关键保护 (Secure Mission-Critical Assets);勒索软件的威胁亦不可轻忽,它们不再只是将电脑数据加密以获取赎金,也开始向家庭物联网下手。在肺炎疫情爆发后,因为生活方式的改变,信息安全防护商机更加涌现,防疫与防骇将并驾齐驱、同等重要,应从维运管理、应用服务、设备设备和基础架构多管齐下。最后谈到企业信息安全转型策略的布局思维,童启晟主张聪明的企业信息安全准则是"零信任"(Zero Trust)——预期被黑客攻击并制订因应计划、而非事后才被动亡羊补牢。
 
信息安全转型的地位等同"防御的复原力",必须量身订做、风险校准程序与投资,让技术面和管理面相辅相成,制定企业持续运营计划 (BCP),即所谓的"信息安全左移"(Security Shift)——开发系统之初,就要把整个架构拟好。未来整个信息安全产业会强调"无边界安全性"。从这次疫情就能体会:数字边境越来越模糊,建立对信息安全的基本认识和意识,将是日后企业数字边境防御的关键;因为人往往是信息安全最脆弱的一环,而对未来的不确定性,将是信息安全最大威胁。台湾资策会信息安全所创新通信安全中心主任林志信补充,5G 深入垂直领域后,信息安全的重要性更有增无减。
 
首当其冲的是,若外销产品有安全漏洞会被开罚,网通设备在外销前必须经过安全检测、甚至要出具报告才能避免受罚;其次,智慧工厂、自驾车等关键场域,更是容不得停机风险;再者,5G 不再是纯硬件解决方案,开源软件的广泛应用,也可能成为信息安全弱点。在 5G 实践万物相连后,信息安全威胁恐从谋财进阶为"骇命"。林志信表示,就行动网络架构演进来看,4G 为降低成本,已开始尝试将部署在外的基地台轻量化、将重装计算资源集中在云中心的分离作法;5G 进一步导入虚拟化网络,尽量用软件解决、便于更新,开放式服务器继之而起。
 
图3:5G信息安全挑战
资料来源:台湾资策会MIC (2020/05)
 
5G 信息安全三面向:设备端、网络端、API 介接专网
林志信摘要,5G 信息安全涵盖三个面向:设备端、网络端和 API 介接专网。设备端须符合 3GPP 及个别产业的信息安全规范;网络端可能有系统面的安全疑虑,包括核心网设置及 API 规范;开放式无线接取网络 (RAN) 的质量保证。5G 导入 SDN/NFV,与异质接取网络之新型网络技术架构,IoT 设备间亦有多种接入方式,若遭到恶意软件感染更加难以追踪、且易产生信息安全破口。早在 4G 时代,就曾出现在合法的手机与基地台之间伪设一个假基地台,诱使手机连到假基地台后,利用上传真实信息、以假手机去跟真的基地台联机,形成"中间人攻击"(MITM)。
 
此类攻击多半是冲着特定对象而来,以明文传送的 SIM 卡 id 信息将被一览无遗;所幸,最重要的国际移动用户辨识码 (IMSI) 因加密而不至于让人全盘掌握,惟仍存在以下风险:发送网址的译文遭到窜改,误导用户至其他恶意网站、植入木马。有鉴于此,5G 补强措施包括:
1.在 SIM 卡多加入一把运营商的公钥,即使有假基地台存在,也无法获知 IMSI 信息;
2.密钥架构强化,5G 核心网与终端之间多一个边缘设备 (Edge),会有许多开放接口,故 5G 多设一个AKA (认证和密钥协议) 作为保护层;
3.数据传输加密签章,4G 只有做加密、没有签章,而 5G 两者兼具。
 
林志信说明,行业法规对网络系统有多方规范,例如,工控传输信令的封包必须能分析到网络第七层 (应用层),统整 5G 信息安全解决方案有两大主轴:1.事前组件安全检测,包括 3GPP 组件安全需求验证、NFV 虚拟环境检测、5G 网络功能函式库弱点检测;2.专网维运中的信息安全侦防平台,必须了解网络状态、实时监控、查核是否照原定蓝图在运作,有两大议题:一是怎么确保组件是安全的?二是如何持续监控网络系统?不只核心网、还包括终端设备。因为终端联网设备多采用同系统,一旦出现漏洞、被植入恶意软件,扩散速度更为惊人。
 
图4:5G信息安全议题
資料来源:台湾资策会MIC (2020/05)
 
金融机构:每天都在应战信息安全威胁
林志信特别提到,核心网因为有 MEC 能力,可上架一些 APP,数据有被不法管理者收集的风险,管理不可不慎。不同应用有不同要求,常见的威胁类型有:伪冒身份、数据窜改、抵赖、信息泄漏、服务阻断、权限提升、横向扩散。在评估风险等级后,据以制定管理方法、预测剩余风险并判断是否需要额外管理机制。金融体系向来是黑客的头号目标之一,台新金控信息长暨信息安全长孙一仕透露,其间甚至不乏"国家级黑客"踪迹,他们的攻击手法非常多样、且可用资源非常多,为金融业带来莫大压力;今年,忽悠人的"诈骗型"的勒索病毒又有增加之势。
 
黑客入侵手法相当多,邮件、网页、虚拟专用网 (VPN) 皆是途径,尤其是企业控制员工帐密的网络服务器一旦被骇,很容易被取得高权限、在企业内部散播病毒或发动假交易且通常潜伏很久。云计算也是金融业所关注的技术焦点,以达到两个目的:减降及运营灵活度,在短时间内扩大运营效能,但信息安全是不容妥协的先决条件。企业物联网也成为金融机构挑战:预估今年 IoT 设备将达 200 亿个,却无特定安全框架或法规来规范信息安全事项及数据的安全性;而这些设备多是简单设计且广布各地,供货商本身又缺乏定期补丁、解决漏洞的资源和能力。
 
孙一仕描述,业界目前的作法是:定期检视相关的设备信息安全漏洞,同时以隔离网段的方式将物联网设备跟正规运营网络切分——先前就发生过金融机构的录音设备,因为网段关系形成信息安全破口。为因应潜藏的信息安全风险,金融机构会采取以下几项措施以防范:首先是进行"红蓝军演练"——红军是指金融业安排的外部专业信息安全机构,蓝军乃银行本身,由红军对蓝军发起生产环境上的"有限度攻击"(在不影响正常运营下),以便及早找出潜在的信息安全漏洞并加以填补;其次是针对国内外曾发生的 ATM 威胁,进行实地演练,确认是否已有防护措施。
 
图5:金融信息安全风险
资料来源:台新金控信息长暨信息安全长孙一仕;笔者整理
 
完整信息安全防护体系&完备处理流程作业
紧接是"渗透测试"(Penetration Test, PT),以黑客思维模拟可能的攻击环境,尝试找出潜藏的信息安全漏洞,有别于"红蓝军演练"由外而内攻坚,渗透测试着重模拟已成功进入内部的黑客,意欲何为?下一个攻防要点是"高级可持续威胁"(APT)。现在的 ATM 攻击已非用单一手法、在特定时间点进行,有些攻击会长达 3~6 个月、耐心寻找破口。曾有成功取得最高权限的黑客一面制造勒索病毒的"假象",让银行徒耗心力在排除勒索病毒的工作,一面又声东击西、大肆进行假交易将存款转出;金融机构服务通路广、客户群庞大,对抗 APT 是重要一环。
 
最后一项是 DDoS 攻击——最简单的即是以"殭尸电脑"对特定对象的网站发出异常大量存取要求而瘫痪服务。过去几年有不少国内机构曾身受其害,需借助流量清洗 (Clean Pipe) 解决,但有时间和带宽限制;所以,金融机构本身也要进行 DDoS 演练,以便攻击发生时能及时因应。孙一仕呼吁,面对这么多可能风险,要有完整信息安全防护体系。以辨识、防护、侦测、响应、复原等不同阶段为横轴,"防范信息安全风险的环节"为纵轴——包括:用户、数据、网络、应用程序及设备,信息安全技术 vs. 人员投入和处理能力的权重占比,会有阶段性的差异。
 
然而,不管在哪个阶段,都要有完备的处理流程。信息安全威胁对金融机构而言,每天都在发生,事到临头能否快速响应就非常重要。孙一仕建议:1.成立信息安全应变小组,成员应涵盖不同部门的专业,甚至连对外关系都需进来;2.成员从一开始就要了解自己的任务、各司其职,方可有条不紊地迎战;3.订定信息安全应变的标准作业流程 (SOP),成员才不会无所适从,且要安排信息安全灾害的定期演练,检视原有 SOP 是否需修正;4.建立信息安全监控中心,从多面向监控信息安全威胁,及早示警、降低损失。一言以蔽之,了解、面对、因应,是与身处风险环境的生存之道。