將物件或系統透過數位分身(digital twin)來虛擬顯像,能讓組織更深入地洞察旗下資產,但也可能產生招致惡意攻擊者入侵的漏洞。
文/Maria Korolov、Alex Korolov‧譯/酷魯
數位分身是物件、結構或系統的數位表示,可以讓組織更好地洞察這些物件的生命週期,但同樣等級的瞭解和控制也可能為惡意攻擊者開啟入侵的大門。
任何實體基礎設施,包括引擎、渦輪和其他裝置的個別零組件,抑或整個工廠和資料中心,都可以創造數位分身。
「數位分身與一般模型的不同之處在於,它是你已在現場部署的特定序號模型,」通用奇異公司全球研發(GE Global Research)執行技術總監 Justin John 表示。「它要麼有物理學的支持,要麼你已經透過歷史資料瞭解資產是如何運作的,而現在你要用它來進行預測。」
數位分身可以擴充以模擬複雜的系統,他表示。「你可能有五六個不同的模型,然後你只需將它們組合在一起,就可以得到你感興趣的任何商業成果。」
在某些情況下,數位分身可用來直接控制它們鏡像複製的資產。
資安長面臨的數位分身挑戰
透過使用來自數位分身的資料,真實世界中的裝置或系統可以經過調整盡可能地高效運作,以節省成本並延長其生命週期,但這也帶來了自身的安全風險。
不幸的是,雖然 CISO 資安長應該是數位分身專案的主要利益相關者,但他們幾乎絕非最終的決策者,市場研究機構 Gartner 物聯網研究副總裁 Alfonso Velosa 指出。
「由於數位分身是驅動業務流程轉型的利器,業務或營運部門通常會主導這一類專案計畫。大多數數位分身都是為滿足特定業務需求而量身訂製的。」
當企業購買新的智慧資產時,無論是卡車、挖土機、電梯、壓縮機還是冰櫃,它通常都會附帶一個數位分身,根據 Velosa 指出。「大多數營運團隊將需要一套簡化的跨 IT(不僅僅是資安長)支援,以將它們整合到更廣泛的業務流程中並管理安全。」
如果沒有適當到位的網路安全控制機制,數位分身反而有可能擴大公司的攻擊面,使威脅發動者能夠存取之前無法存取的控制系統,並暴露出預先存在的安全漏洞。
擴大攻擊面
當一個系統的數位分身被創造時,潛在的攻擊面會翻倍,這是因為駭客可以追擊系統本身,也可以攻擊該系統的數位分身。
有時,當底層系統不容易從外部存取時,數位分身可能會讓企業以前隱藏的部分完全暴露。舉例而言,在過去,資料中心裡的電源可能只有實際上位於附近控制終端的技術人員才能觸控得到。隨著這類基礎設施有了數位分身之後,便可以讓技術人員遠端監控裝置 ─ 如果駭客設法獲得存取權限的話,那麼遠端駭客也可以這樣做。
而且,現在不僅僅是以前無法獲取的感測器資料可能暴露。「在某些情況下,數位分身體可以發送控制信號,改變(被建模的)實際物件的狀態,」Gartner 的 Velosa 表示。
當數位分身是由即時資料提供的業務營運模型時,它們可以收集關鍵的企業資訊,有時還可以收集員工和客戶的個人身份資訊,Velosa 表示。這使得他們成為誘人的目標。
[ 推薦閱讀:AI 賦能的資安攻防戰 ]
根據主權地理位置的不同,這可能導致監管和合規處罰。「這也凸顯了資料的重要性,因為數位分身是為了實現商業目標而構建的,」他補充說。
因此,數位分身的輸出不僅能讓攻擊方或競爭對手知道企業在做什麼,還可以對公司的戰略和未來方向提供有價值的情報,Velosa 警告說。
此外,數位分身與實體是相連結的,這種連結本身就等於為跨越分身之間的攻擊提供了額外的媒介與管道,如果其中一個遭到劫持的話,另一個也會受到波及,諮詢顧問公司 NCC group 資安長 Lawrence Munro 表示。
最後,我們可以部署數位分身,以便讓「內部」使用者或第三方廠商進行遠端監控,Munro 表示。「但這也會導致『遠端』使用者能夠透過網路連接存取實體的威脅。」
資安長對於具備數位分身的資產毫無所知
數位分身最主要的使用案例之一是使營運科技(Operation Technology,OT)更易於存取和管理。不幸的是,在 OT 領域,網路安全通常是事後才考慮的,許多系統運行在既有的老舊技術上,這些技術可能不容易獲得妥善的安全保護。
但若攻擊者將 OT 存取到手的話,那麼他們大有可能會對企業造成極大的傷害,而數位分身會加速這種風險,諮詢和 SaaS 管理軟體公司 Zluri 資安長 Todd Dekkinga 剖析道。
數位分身比實體更容易存取到手,Dekkinga 強調指出,OT 環境一直都被認為是個別的和孤立的,但現在不再是這樣了。現在它們是完全相連的、可存取的,而且很容易被入侵。
資安長甚至可能不知道哪些 OT 資產擁有數位分身的完整列表。「如果你不知道你擁有什麼 OT 資產及數位分身的話,那麼根本就無從保護起,」Dekkinga 無奈道。
揭露底層的漏洞
數位分身依賴物聯網感測器的輸入,這些感測器可能充滿安全漏洞,同時運行充滿安全弱點的老舊作業系統。
根據 OT 及 IoT 安全解決方案商 Nozomi Networks 8月份的一份安全報告指出,2022 年上半年,有 560 個 ICS-CERT 發佈的 OT 和物聯網相關常見漏洞與揭露,其中 109 個直接影響關鍵製造產業。
「由於這些裝置的安全性普遍較差,因此在分身設置中使用物聯網裝置作為感測器會一個令人擔憂的問題,」NCC Group 的 Munro 表示。在數位分身方面,網路安全專業知識往往會有落後的狀況。
「研究人員或工程師通常很難接觸到新技術,也很難獲得執行實例的經驗。這對獲得正確的專業知識來支援保護這些平臺構成了挑戰,」Munro 說。
如何確保數位分身的安全
保護數位分身的最佳實踐首先是在部署團隊中加進網路安全專家,遵循基本的網路安全衛生(Cybersecurity Hygiene),並採用零信任(Zero-trust)原則。
部署數位分身的組織應該與安全專家合作,建立詳細的威脅模型,Munro 說。「與任何新技術一樣,資安長應該設法瞭解它引入的威脅模型及其對攻擊面的影響。」
有時有需要的專業知識並非都由企業內部提供,至於解決方案則必須能與網路安全產業的合作夥伴協同運作,Munro 建議道。
部署數位分身的企業應該從一開始就遵循良好的網路安全原則,Gartner 的 Velosa 表示。「從策略到技術再到標準,在他們的設計中運用安全最佳實踐。這包牯從加密到 NIST 或 TLS 政策,再到基於角色的存取控制。」
數位分身的設計和開發應該得到適當的資助,並在道德上專注於如何在降低風險和符合法規的同時發揮作用,Velosa 表示。「盡可能避免使用個人資料,並公開你在哪裡收集資料,為什麼收集資料,以及如何保護資料。與採購部門合作,以確保自己的企業不僅擁有數位分身中的資料,還擁有模型。」
數位分身應該像網路上的其他關鍵裝置一樣受到保護,Zluri 的 Dekkinga 指出。「不僅在週邊植入零信任架構,還可以透過網路微分段(Micro-Segmentation)、多因素身分認證和其他技術保護內部網路的安全。員工存取這些系統可能需要額外的步驟,但這些麻煩與不便是值得的。」
數位分身如何協助網路安全
但數位分身不僅僅是公司的安全責任。一些企業正在利用它們來加強網路安全,亦即作為惡意攻擊、蜜罐陷阱(Honey Trap)及反制測試沙箱(Sandbox)的早期預警系統。
數位分身可以透過創造用於安全測試的虛擬複製(virtual clone)來協助企業組織清除系統中的漏洞。它們可以協助網路安全,因為它們可以以模擬實際系統的方式對網路漏洞做出反應。
「你可以透過多種方式得到回應,包括在你的數位分身上運行你的實際系統軟體或韌體,」諮詢顧問公司 Booz Allen 副總裁 Kevin Coggins 表示。
在正式量產之前,數位分身可以用來測試昂貴的實體系統(比如航空電子系統)有無安全漏洞。「你不能就這樣走到一架飛機前,對它進行某種威脅攻擊,因為這樣會使整個飛機認證程序失效。你只需攻擊這個數位分身,就會發現任何潛在的漏洞,」Coggins 指出。
Coggins 的公司與軟體開發商 UnITy Technologies 合作,為一個客戶製作了一個大型設施的三維物聯網數位分身,據他說,這使他們能夠查看系統中的漏洞,以確定某人一旦存取所可能造成的影響。
即使它們本身不是生產系統,這些數位分身也應該得到相同等級的安全保護。「有人可以用它來訓練,以追逐真正的物件,」Coggins 表示。「如果你要製作一個數位分身,請確保你能保護它將生存環境的安全無虞。」
數位分身還可以充當一種有如蜘蛛網般的威脅偵測系統,攻擊者一旦入侵,就會產生網路安全團隊能立即感受到的波動。
[ 加入 CIO Taiwan 官方 LINE 與 Facebook ,與全球 CIO 同步獲取精華見解 ]
奇異公司是一家使用數位分身作為高敏感度感測器層的公司,該公司正在建造一種他們稱之為「數位幽靈」(Digital Ghost)的東西。例如,如果駭客攻擊關鍵基礎設施重要部分的控制機制,即使他們能夠偽造特定感測器的輸出,作為一個整體的數位分身也會察覺到有問題,因為整個系統將不再像預測的那樣運作,或者無法與來自其他感測器的資訊相匹配。
事實上,系統越複雜越好,因為它將有更多的感測器,因此更好觀察,奇異公司的 John 表示。
關鍵基礎設施會是如何部署數位分身來協助網路安全的完美例子。「事實上,我可以完美地預測事情應該如何運行,特別是如果我把控制機制與我的數位分身模型整合在一起時,我可以用它來判斷是否正在發生網路攻擊,」John 表示。「我將查看程序變數(氣流、壓力、溫度)中所有使資產正常運行的東西,我將檢查這些是否都正常或異常,以找出問題在哪裡,並告訴營運人員。」
「我們正在使用數位分身,但我們不希望攻擊者知道它的存在,所以它會是個數位幽靈,」他解釋道。
數位幽靈不僅可以用來保護關鍵基礎設施的安全,還可以用來保護組織資料中心 OT 的安全,他指出。傳統 OT 網路安全不外乎查看網路流量、防火牆和搜尋病毒。「但數位幽靈並非如此,上述任何一件事它都不會做。」
相反的,他強調指出,奇異公司對數位幽靈的看法更多地是關於底層實體資產的運行方式。「我們需要瞭解的是,正常情況下的實體情況是什麼,控制機制如何正常運行這些資產。如果我有這些知識和大量的模擬資料或歷史資料,我就可以很好地描述資產應該如何正常運行。」
數位幽靈將能夠偵測到是否有問題,並準確地告訴你哪個感測器遭到惡意劫持了,John 指出。「僅僅這一項通常就需要營運人員耗費好幾天或好幾周的時間來確定問題所在。但數位幽靈卻只需幾秒鐘就能做到這一點。」
(本文授權非營利轉載,請註明出處:CIO Taiwan)