原创 | NOTPETYA勒索软件三年记---OT/ICS安全视角的回顾与反思
作者：互联网
NotPetya勒索软件***事件过去整整三年了，它被网络安全界认为是历史上最昂贵、最具破坏性的勒索***。在同样臭名昭著的WannaCry勒索软件***发生仅一个月之后，该勒索软件就导致了全球崩溃，影响了各个行业的IT和运营技术（OT）环境。
三年后的今天，很明显，NotPetya对网络威胁行为体和网络安全从业者的行为产生了深远的影响。NotPetya是利用永恒之蓝漏洞（EternalBlue)进行传播，而2017年5月12日爆发的WannaCry也是用永恒之蓝进行传播的。当与蛮力感染可访问的IP地址的方法结合使用时，永恒之蓝漏洞给声名狼藉的NotPetya创造了理想的传播条件。如果从OT安全角度出发，我们需要关注的重点在？
一、勒索软件***日益增强的针对性
在NotPetya之后，勒索软件仍在内部非托管网络中肆意***，这些网络无法打补丁或无法识别易受***的计算机。但是，与此同时，许多组织已成功地将其网络的***面最小化，从而使跨网络感染变得更加困难，因为无法利用任何服务。为了应对这种变化，在过去三年里，***者的勒索软件策略变得越来越有针对性。
一是手段趋于APT化。与其通过自我传播随意感染受害者，威胁行为体对勒索软件采用高级持续威胁(APT)方法已经变得越来越普遍。在这个APT勒索软件策略下，威胁行为体通过漏洞利用、社会工程或各种其他手段获得对目标网络的未授权访问，然后释放勒索软件。
二是针对性对抗溯源。通过将最初进入受害者网络的行为与随后的勒索软件加密行为脱钩，这种新方法可以使网络犯罪分子的勒索行为与被利用的漏洞去关联，通过追踪勒索软件更难回溯到被利用的漏洞，以此来延长可利用漏洞的保质期限。相反，自传播勒索软件（例如NotPetya）的感染介质相对容易跟踪。这种有针对性的方法还使***者能够集中精力于他们认为愿意并能够满足赎金要求的受害者。此外，这种战略转变可以看作是对许多安全从业人员在NotPetya之后，最大程度地减少其网络的***面所做的努力的一种适应，这需要采取一种更加谨慎的感染方法。
三是双重勒索。***者会首先窃取大量的敏感商业信息，然后对受害者的数据进行加密，并威胁受害者如果不支付赎金就会公开这些数据，这种勒索策略被称为“双重勒索”。双重勒索应该是勒索软件自然演进的结果。传统的勒索软件基本信守支付赎金即提供解密密钥的策略，但逐渐演变到从用户***到有针对性的商业***，现在又增加了数据勒索的双重危险。这无疑让受害者承受更大的数据泄露压力，同时使得受害者被迫支付赎金的可能性大幅提高。受害者同时承受着支付赎金后的是否仍被公开数据的不确定性，以及监管机构对其数据泄露进行处罚的双重压力。这可能会成为勒索软件***的“新常态”。
四是专门针对OT/ICS网络。EKANS是一种用Go编程语言编写的混淆勒索软件变体，于2019年12月下旬首次在商业恶意软件存储库中观察到。EKANS勒索软件家族是一种被用于定向ICS活动的病毒。EKANS的设计是有意选择受害者的，该恶意软件将通过解析受害者公司的域名，并将这些信息与IP列表进行比较，来确认目标。一旦目标被捕获，勒索软件就会扫描域控制器以进行***。***本田汽车和ENEL能源的两起典型***事件，可以看到在未部署适当的网络安全措施的情况下是相当危险的，不仅会大大增加对IT的威胁，而且还会打开对OT网络***的方便之门。与其他勒索软件一样，EKANS会加密数据并向受害者显示一个便条，要求受害者付款以解密数据；该名称来自它作为受害者计算机上的文件标记植入的字符串，以标识其文件已被加密。但是EKANS还使用另一种技巧来加剧这种痛苦：它旨在终止受害计算机上的64种不同软件进程，包括许多特定于工业控制系统的软件进程。这样一来，它就可以加密那些与控制系统程序交互的数据。与针对工业破坏而专门设计的其他恶意软件相比，这种恶意软件虽然粗糙，但针对性仍然很强，可以破坏用于监控基础设施的软件，例如石油公司的管道等。这可能会带来潜在的危险后果，例如阻止员工远程监视或控制设备的运行。目前对EKANS勒索软件的传播机制尚不清楚，但是EKANS的***目标已经覆盖了能源（巴林石油、ENEL能源）、汽车制造（本田汽车）、医疗设备经销等多个工业行业，打击工业控制系统已成为其重要目的。
尽管勒索软件的策略已经从NotPetya、WannaCry和其他自传播的勒索软件转移了，但是安全从业人员会天真地假设我们永远不会看到这种形式的另一种广泛的勒索软件***。很有可能，将来只有在适当的条件下，我们就会看到类似的情况。
如果由NSA开发的“蠕虫化”EternalBlue漏洞在2017年4月之前没有泄漏，NotPetya的深远影响是不可能的。虽然无法预测网络罪犯是否以及何时会利用类似的通用漏洞，安全团队仍然有两种可以主动解决问题的方法，从而避免NotPetya感染大量OT环境的后果。换个角度，这也是两个深刻的教训。
一是漏洞管理。由于EternalBlue补丁于2017年4月14日发布，比NotPetya早两个多月，如果所有组织都应用了该补丁，则本可以避免整个灾难。在***者有机会大规模利用漏洞之前修补漏洞对于防止将来类似于NotPetya的***至关重要，但是管理安全修补程序具有破坏性且代价高昂，尤其是在OT环境中。因此，为了管理和修补最重要的漏洞，安全团队必须具有识别OT资产中存在哪些安全漏洞，以及准确评估每个漏洞带来的风险级别的能力。
二是网络隔离。NotPetya能够像野火一样在组织的IT和OT环境中传播的主要原因是缺乏有效隔离。确保组织的OT资产按照Purdue模型进行适当隔离的举措和其他最佳实践，是限制勒索软件和其他恶意程序横向扩散的最有效方法之一。目前勒索软件已经可以通过局域网传播，为了防止勒索软件的扩散，应该采取有效的网络隔离措施，将关键的业务服务程序、数据和设备隔离到独立的网络中，防止来自网络的感染。企业需要从被动变为主动，实现如多因素身份验证等一系列策略，以减少物理访问控制风险。安全需要深入到OT基础设施中，分割系统和设备，积极监控流量，并隔离被破坏的设备都是可行的措施。
重新审视IT与OT安全威胁的重叠。NotPetya并未专门针对工业环境。但是由于其自我扩展功能以及对许多OT环境中存在的SMB漏洞的使用，它在工业现场造成了广泛的破坏。NotPetya是许多CISO的一剂良药，也是一种新范式的预兆，在该范式中，IT和OT安全威胁之间的重叠得到了更广泛的认识和优先考虑。
IT安全威胁***到OT环境。在见证或经历了受感染的OT环境中NotPetya的破坏之后，网络安全管理者对IT安全威胁溢出到OT环境中的能力有了新发现，并且随着工业环境的发展，IT与OT隔离的重要性也得到了认可。
IT与OT的整合一体化进程，使IT领域也在不断向OT领域***，利用其自身掌握的先进技术及广阔的市场阵地，紧盯OT领域的“互联、互通、互享”需求，推出带有明显牲的产品和技术，进一步将网络***引发的社会危害性放大开来。因为以前的OT系统专有、封闭、安全***有较高的门槛，而现在的OT系统逐渐演变为开放的硬件体系和开放的协议体系，显然降低了***的成本和门槛。由于缺乏主动阻止外部恶意***和发现与阻挡高级可持续性***的能力，易造成OT网络瞬间瘫痪。不仅是出于传统原因，如工业破坏、关键基础设施***等，而且因为IT或OT的***可能会导致威胁隐患横向转移到其他的企业资产。对工控系统的***，可能导致企业数据泄露，并且企业IT网络可能因为一次ICS***全盘崩溃，这是相当可怕的。
OT安全威胁亦可***到IT环境。由于OT很难单独于IT存在，OT的环境往往伴随着IT系统与设备。如今的环境中，***者的目标已经逐渐从IT环境转移到OT环境，安全也转向IT和OT协同防护。OT环境不仅影响到企业自身的生产与安全，很多关键基础设施更是与国家和社会安全息息相关。由于OT设备传统上是封闭的，因此无法通过回撤和简单地添加安全软件来降低风险，他们甚至根本没有运行安全软件的能力。这使得对复杂网络的实时可见性和控制变得更加重要。OT安全管理不到位，OT领域无效，缺乏OT资产和漏洞的可见性，工业主机几乎全暴露，IT和OT网络混杂缺防护等安全威胁，都具有被远程利用***的可能。由于IT看重业务流程合理，OT看重业务执行稳定。OT与IT的区别主要是体现在设备的边缘端，恰恰是在IT和OT交界的地方，也是安全威胁最大的地方。因此，OT环境的保护不应该成为孤立的保护，需要各个环节联动协同。
参考资源1.https://blog.trendmicro.com/how-the-industry-4-0-era-will-change-the-cybersecurity-landscape/2.https://internetofthingsagenda.techtarget.com/blog/IoT-Agenda/When-worlds-collide-Understanding-emerging-IT-OT-convergence3.https://www.darktrace.com/en/blog/what-the-ekans-ransomware-attack-reveals-about-the-future-of-ot-cyber-attacks/4.天地和兴，IT与OT融合背景下网络安全的思考，2020.055.https://www.aqniu.com/news-views/41415.html转载请注明来自：网络安全应急技术国家工程实验室
标签：漏洞,NOTPETYA,网络,---,NotPetya,勒索,ICS,软件,OT 来源： https://blog.51cto.com/15127558/2662510