标签：OT

随着物联网（IoT）设备数量的快速增长和SD-WAN（软件定义广域网）技术的逐渐成熟，它们的结合应用正在成为企业网络领域的热门话题。SD-WAN与物联网融合的潜力巨大，将为企业带来诸多优势和创新。以下是对这一趋势的分析和展望：,,1. 提升网络连接效率：,SD-WAN技术可以优化网络连接，通过智能路由、负载均衡和链路聚合等功能，实现对不同传输链路的灵活管理和动态切换。结合物联网设备的需求，可以为其提供稳定、高效的网络连接，实现设备之间的实时通信和数据交换。,2. 智能设备管理：,通过将SD-WAN与物联网平台集成，可以实现对物联网设备的远程管理和监控。管理员可以通过SD-WAN控制面板实时查看设备状态、配置网络策略，并对设备进行远程更新和维护，从而降低管理成本和提升设备运行效率。,3. 灵活的业务部署：,SD-WAN的灵活性和可编程性使得企业可以根据业务需求快速部署新的网络服务和应用。结合物联网技术，可以实现更智能、自动化的业务流程，例如智能制造中的生产线调度优化、智慧城市中的交通管理和能源监控等。,4. 数据安全和隐私保护：,随着物联网设备数量的增加，数据安全和隐私保护成为重要关注点。SD-WAN提供的安全功能，如流量加密、安全隧道和访问控制，可以保护物联网设备之间的通信安全，防止数据泄露和恶意攻击。,5. 行业应用前景：,SD-WAN与物联网融合的应用前景在各个行业都十分广阔。在制造业中，可以实现设备智能监控和预测性维护；在零售业中，可以提升物流和库存管理的效率；在医疗健康领域，可以实现远程医疗和医疗设备监测等。,,综上所述，SD-WAN与物联网融合将为企业带来更高效的网络连接、更智能的设备管理，以及更灵活的业务部署。通过充分利用这一趋势，企业可以提升生产力和创新能力，实现数字化转型的新突破。, ,随着物联网（IoT）设备数量的快速增长和SD-WAN（软件定义广域网）技术的逐渐成熟，它们的结合应用正在成为企业网络领域的热门话题。SD-WAN与物联网融合的潜力巨大，将为企业带来诸多优势和创新。以下是对这一趋势的分析和展望：,,

在 2021 年 RSA 网络安全会议上，美国国土安全部部长亚历杭德罗·马约卡斯 (Alejandro Mayorkas) 就网络安全形势发表了一个划时代的声明：“让我明确一点：勒索软件现在对国家安全构成威胁。”,上周末，Mayorkas 的话听起来很真实。对殖民地管道的勒索软件攻击——负责美国东海岸近一半的柴油、汽油和喷气燃料——导致供应一些东部州的关键燃料网络关闭。,,这次攻击的后果表明勒索软件的后果是多么广泛和具有破坏性。针对关键基础设施和公用事业，网络攻击有可能破坏供应、损害环境，甚至威胁人类生命。,尽管完整的细节仍有待确认，但据报道，这次攻击是由名为 DarkSide 的网络犯罪组织的附属机构进行的，并且可能利用了常见的远程桌面工具。由于去年许多组织转向远程工作，包括工业控制系统 (ICS) 和运营技术 (OT) 的组织，远程访问已成为关键基础设施中可利用的漏洞。, 工业勒索软件的兴起,针对工业环境的勒索软件呈上升趋势，据报道自 2018 年以来增长了 500%。这些威胁通常利用 IT 和 OT 系统的融合，首先针对 IT，然后再转向 OT。这在EKANS 勒索软件中可以看到，该勒索软件将 ICS 进程包含在其“杀死列表”中，以及在首次利用虚拟专用网络 (VPN) 中的漏洞后破坏 ICS 的 Cring 勒索软件。,Colonial Pipeline 入侵中的初始攻击向量是否利用了技术漏洞、被破坏的凭据或有针对性的鱼叉式网络钓鱼活动还有待观察。据报道，这次攻击首先影响了 IT 系统，Colonial 随后关闭了 OT 运营以作为安全预防措施。Colonial 证实，勒索软件“暂时停止了所有管道操作并影响了我们的一些 IT 系统”，这表明最终，OT 和 IT 都受到了影响。这是一个很好的例子，说明有多少 OT 系统依赖于 IT，因此 IT 网络攻击有能力破坏 OT 和 ICS 流程。,除了锁定系统外，威胁参与者还从 Colonial 窃取了 100GB 的敏感数据。不幸的是，这种双重勒索攻击——在文件加密之前泄露数据——已成为常态而非例外，超过 70% 的勒索软件攻击涉及泄露。一些勒索软件团伙甚至宣布他们将完全放弃加密，转而采用数据盗窃和勒索方法。,今年早些时候，Darktrace 防御了针对关键基础设施组织的双重勒索勒索软件攻击，该组织还利用了常见的远程访问工具。本博客将深入概述发现的威胁，展示 Darktrace 的自学习 AI 如何自主响应与 Colonial Pipeline 事件极为相似的攻击。,, Darktrace 威胁发现, 针对电力设备供应商的勒索软件,在今年早些时候针对一家北美电力设备供应商的攻击中，Darktrace 的工业免疫系统展示了其保护关键基础设施免受针对具有 ICS 和 OT 的组织的双重勒索勒索软件的能力。,勒索软件攻击最初针对的是 IT 系统，并且由于网络人工智能的自我学习，在它可能蔓延到 OT 并破坏运营之前就被阻止了。,攻击者首先入侵了内部服务器，以便在 12 小时内窃取数据并部署勒索软件。最初的入侵和部署之间的时间很短是不寻常的，因为勒索软件威胁参与者通常要等待几天才能在攻击之前尽可能地在网络生态系统中悄悄传播。, 攻击是如何绕过安全堆栈的其余部分的？,攻击者利用“以陆地为生”的技术融入企业的正常“生活模式”，使用受损的管理员凭据和组织批准的远程管理工具，试图保持不被发现。,Darktrace 通常会在攻击者的技术、策略和程序 (TTP) 库中看到对合法远程管理软件的滥用。特别是在 ICS 攻击中，远程访问也正成为越来越常见的攻击媒介。例如，在去年 2 月佛罗里达州水处理设施的网络事件中，攻击者利用远程管理工具试图操纵处理过程。,该攻击者部署的特定勒索软件还通过在加密文件时使用独特的文件扩展名成功地避开了防病毒软件的检测。这些形式的“无签名”勒索软件很容易绕过依赖规则、签名、威胁源和记录的常见漏洞和暴露 (CVE) 列表的传统安全方法，因为这些方法只能检测以前记录的威胁。,,检测前所未见的威胁（如无签名勒索软件）的唯一方法是寻找异常行为的技术，而不是依赖“已知不良”列表。这可以通过自学技术来实现，该技术甚至可以发现所有设备、用户以及它们之间的所有连接与正常“生活模式”的最细微偏差。, 暗迹洞察, 初步妥协并建立立足点,尽管滥用了合法工具并且没有已知签名，但 Darktrace 的工业免疫系统能够使用对正常活动的整体理解来检测攻击生命周期中多个点的恶意活动。,Darktrace 警告的新兴威胁的第一个明显迹象是特权凭证的不寻常使用。该设备还在事件发生前不久从 Veeam 服务器提供了一个不寻常的远程桌面协议 (RDP) 连接，这表明攻击者可能已经从网络的其他地方横向移动。,三分钟后，设备启动了持续 21 小时的远程管理会话。这使得攻击者可以在更广泛的网络生态系统中移动，同时又不会被传统防御发现。然而，Darktrace 能够检测到异常的远程管理使用情况，作为指示攻击的另一个预警。, 双重威胁第一部分：数据泄露,在最初的妥协后一小时，Darktrace 检测到异常数量的数据被发送到 100% 罕见的云存储解决方案 pCloud。出站数据使用 SSL 加密，但 Darktrace 创建了多个与大型内部下载和外部上传有关的警报，这些警报与设备的正常“生活模式”有很大偏差。,该设备继续泄露数据九小时。对设备下载的文件（使用未加密的 SMB 协议传输）的分析表明它们本质上是敏感的。幸运的是，Darktrace 能够查明被泄露的特定文件，以便客户可以立即评估入侵的潜在影响。,, 双重威胁第二部分：文件加密,不久之后，当地时间 01:49，受感染的设备开始加密...