九游老哥云
新型ICS攻击框架“TRITON” 导致工业系统运营中止手艺剖析与
2017-11-29
综述
最近一起针对要害基础设施的攻击事务中，攻击者通过安排恶意软件来操作工业清静系统 。目的系统为工业流程提供了紧迫关闭功效 。相关证据批注，攻击者在研发破损物理装置功效的历程中，无意间关闭了操作流程 。这款被称为“TRITON”的恶意软件是一种攻击框架，用来与Triconex清静仪表系统（Safety Instrumented System）(SIS)控制器交互 。现在还无法确定该攻击是由什么人提倡的，可是这种行动与国家准备的攻击一致 。Dragos Inc.的研究职员体现这起攻击的目的至少有一个是在中东地区 。
事务配景
2017年11月中旬，Dragos Inc.团队发明了针对ICS量身定做的恶意软件，目的至少一个在中东地区 。 该团队将此恶意软件命名为TRISIS（本文中的TRITON），由于它将目的锁定施耐德电气的Triconex清静仪表系统（SIS），从而能够替换最终控制元素中的逻辑 。
TRITON具有高度针对性，可能不会对其他施耐德电气客户组成直接威胁，其他SIS产品也不会受到威胁 。 主要的是，恶意软件不会在施耐德电气产品中使用固有的误差 。 然而，这个特定事务中的这种能力，要领和流通现在可能被其他攻击者所复制，给工业资产所有者和运营商带来一类新的威胁 。
攻击者获得了对SIS工程师站的远程会见权限，并安排了TRITON攻击框架来重新下装SIS控制器 。事务中，一些SIS控制器进入失效的清静状态，自动关闭工业控制流程，并促使资产拥有者最先视察 。视察发明，当冗余控制器之间的应用程序代码未通过验证检查时，SIS控制器启动了清静关闭 - 导致MP诊断失败并在视察的历程中发明了TRITON的保存 。
攻击者的恒久目的是引起物理破损效果的能力 �；谡庋桓鍪率�，即攻击者最初在DCS上获得了可靠的驻足点，并且已经具备了使用流程或关闭工厂的能力，进一步危害了SIS系统 。入侵后的DCS和SIS系统将使攻击者最大限度的对物理装置造成破损 。
一旦接触到SIS网络，攻击者使用预先构建的TRITON攻击框架与使用TriStation协议的SIS控制器举行交互 。攻击者可能通过发出暂停下令或向SIS控制器上传有缺陷的代码而导致历程关闭 。相反，攻击者在一段时间内举行了多次实验，为此目的情形中的SIS控制器提供功效控制逻辑 。虽然由于SIS系统对攻击剧本的限制而导致攻击实验失败，但攻击者仍然在一直的测试 。这批注攻击者意图在造成关闭历程之外的特定效果 。
九游老哥科技检测与防护计划
?九游老哥科技检测服务
九游老哥科技工程师前往客户现场检测 。
?九游老哥科技木马专杀解决计划
· 短期服务：九游老哥科技工程师现场木马后门整理服务（人工服务+IPS+TAC） 。确保第一时间消除网络内相关危害点，控制事务影响规模，提供事务剖析报告 。
· 中期服务：提供3-6个月的危害监控与巡检服务（IPS+TAC+人工服务） 。根除危害，确保事务不复发 。
· 恒久服务：基金行业营业危害解决计划（威胁情报+攻击溯源+专业清静服务） 。
总结
TRITON以多种方法批注晰关于ICS网络防御的“决议性”影响 。虽然以前在理论中的攻击情形下，针对SIS装备只是代表了ICS盘算机网络攻击内的一个演变，然而潜在影响包括装备损坏，系统�；奔浜颓痹诘纳鹗� 。鉴于这些影响，主要的是要确保行业怎样响应和相同这种攻击 。应该合理适当的使用TRITON来作为推进清静的一种契机 。
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
完整内容请下载报告
《新型ICS攻击框架“TRITON” 导致工业系统运营中止 手艺剖析与防护计划》
