Ing. Calogero Bono
意大利国家网络安全局（ACN）发布了一份公告，针对大型零售业和冷链行业提出紧急措施。此前多家法国连锁超市遭到网络攻击，11月2日，相关事件也波及意大利，至少四家Coop门店在西西里岛受影响。攻击者篡改了设备的温度设定。这一事件值得关注，因为薄弱环节是可通过互联网访问的控制面板，这种错误任何企业都可能犯。
进入事实之前，先了解几个术语。 IT指处理信息的系统，如服务器和工作站。OT指控制物理过程的硬件和软件，如压缩机和传感器。SCADA是监控多个设备的平台，可显示报警并发送指令。VPN是用于远程访问的加密连接。跳板机（Jump host）是一台专用的中间系统，通过它才能访问需要管理的机器。
欧洲的超市发生了什么？
据Agenda Digitale报道，继10月11日和12日针对法国约七百家门店的攻击（数据来自巴黎检察院）之后，11月1日至2日之间，至少八个欧洲国家报告了类似事件。除意大利外，还涉及比利时、爱尔兰、荷兰和爱沙尼亚。
各方来源对涉事国家的名单说法不一。Punto Informatico还提到瑞典和卢森堡。部分媒体称冷冻柜温度曾升至50摄氏度。
意大利发生了什么？
Radenza集团总经理朱塞佩·斯帕达罗（Giuseppe Spadaro）向Ansa确认，西西里岛至少四家Coop门店遭遇网络事件，温度被篡改，食品变质，据Agenda Digitale报道。HDblog称这些门店位于巴勒莫和卡塔尼亚之间，并报道邮政警察正在展开调查。
岛上还流传着更多门店遭袭的消息，但尚待核实。据Agenda Digitale引述的Open消息来源称，ACN还收到了托斯卡纳一家餐饮企业和艾米利亚-罗马涅一家速冻食品生产商的报告。
攻击者是如何篡改冰柜的？
据ACN公告，此次攻击利用了陈旧的设备安装、暴露在互联网上的管理界面以及薄弱的身份验证。攻击者借此得以远程启动除霜循环，并修改设备参数。
Agenda Digitale报道，丹佛斯（Danfoss）早在10月13日就已建议荷兰客户断开存在漏洞的设备连接，或加强访问保护。据报道，一些用户仍让控制器保持可访问状态，甚至使用了出厂默认密码。这一描述基于荷兰媒体引述的一位发言人，属于推测性叙述。
ACN提出了哪些措施？
该机构建议立即行动，优先清除暴露的入口并核查运行参数。相关工作需要网络安全团队、设备负责人和维护人员协同推进，以避免制冷系统被无序停机。
- 盘点控制器、SCADA、网关以及远程协助服务。
- 将管理界面从互联网上移除。
- 将OT网络与IT网络分隔，并用防火墙阻断一切未经授权的通信。仅靠VLAN是不够的。
- 采用多因素身份验证的VPN，并限制供应商的访问权限。
ACN还指出，HTTPS可以保护通信，但无法阻止漏洞被利用或凭据被泄露后的滥用。
需要了解的局限
攻击者身份不明，事件的具体经过也尚未确定。据Agenda Digitale报道，目前没有证据表明各国事件存在统一的幕后指使。西西里其他门店的相关报道尚未核实，各来源给出的数字也不一致。我们阅读的ACN公告只是所提供的文本，在最后的建议部分之前就中断了。
这对数字行业从业者意味着什么
这一问题关系到每一家有联网设备或系统的企业。如果你经营一家店铺、仓库或设有远程控制的办公场所，请向维护人员询问哪些访问入口可以从互联网访问。核查谁持有登录凭据，以及这些凭据是否仍是出厂默认设置。这一问题让人想起此前Linux服务器更新的情况。对于你管理的服务器，一个提供安全更新的托管服务可以降低遗忘面板带来的风险。
我们的看法
这一案例表明，安全问题不仅是技术问题。正如Agenda Digitale所指出的，设备选型、安装、维护和软件分别由不同主体负责，没有任何一方掌控整个链条。人们往往急于找出某个粗心的技术人员作为责任人，却忽视了远程控制的便利是在缺乏访问规则的情况下被推向市场的。ACN的公告很有价值，但它是在损害已经发生之后才出现的。这种脆弱且联网的基础设施所带来的风险，其实早已为人所知。
常见问题
意大利的超市发生了什么？
西西里岛至少四家Coop门店的冷冻柜远程控制系统遭到攻击。夜间温度被篡改，部分食品因此变质。该事件已由Radenza集团确认。
谁是冰柜攻击的幕后者？
目前尚不清楚。攻击者身份不明，邮政警察正在调查，也在核实是否存在国际关联。各起事件之间目前没有证据表明存在统一指挥。
为什么冰柜要连接互联网？
便于远程监控温度、接收故障提醒，无需到店即可进行处理。风险来自于控制面板可以被公共网络直接访问的情况。
HTTPS小锁图标就足够安全了吗？
不是。据ACN称，HTTPS可以保护通信，但无法阻止漏洞被利用或已泄露的凭据被滥用。还需要VPN、强身份验证和及时更新。
冷链行业的企业应该怎么做？
应盘点所有联网设备，并将管理界面从互联网上移除。随后将OT网络与IT网络分隔开，并通过VPN和多因素身份验证保护远程访问。
关注ACN公告之后的动向
未来几周，我们将能看清这次攻击是否有幕后指使，以及有多少意大利企业受到牵连。整条供应链上的责任归属同样值得关注。
- 关注ACN以及Danfoss等设备制造商的动态，留意是否发布新的指导意见。
- 书面询问供应商，在维护合同中明确其对软件更新和远程访问承担哪些责任。
- 在对设备进行任何主动扫描之前，先通过资产清单和配置记录，定期检查你的网络边界中有哪些设备暴露在互联网上。
