安全见闻|为什么网络犯罪分子关注智能建筑领域并试图发起攻击

7月 15,2019by admin

本文通过对我国智能建筑领域所涵盖的基本内容、发展状况及在发展过程中的“智能”环节进行阐述,反映出所涉及到的智能建筑具体风险点。
 
关于智能建筑
 
智能建筑,指通过将建筑物的结构、系统、服务和管理根据用户的需求进行最优化组合,从而为用户提供一个高效、舒适、便利的人性化建筑环境,是现代信息通信及自动化等先进技术在建筑空间的应用和融合。
 

 
从未来发展的大趋势上看,智慧城市会是一个总的发展方向。而智慧城市中,大部分内容或者说主要内容都是跟我们智慧建筑有关,包括工业建筑,智能的交通建筑,商业建筑,智能的公共建筑,以及智能的住宅。所以说智慧城市的主体内容,就是智能建筑这方面。
 
据《智能建筑行业发展前景与投资战略规划分析报告》最新统计数据显示,预计到2018中国年智能建筑行业市场规模将达到3168亿元,到了2019年时,中国智能建筑行业市场规模将达到3738亿元,未来五年(2018-2022)年均复合增长率约为15.24%,2022年将达到5587亿元。
 


 
数据来源:前瞻产业研究院

 
智能建筑的智能自动化
 
智能建筑的应用和市场增长,主要归功于我们生活在一个日益渗透智能技术的大环境中,过程自动化和对减少资源消耗的探索不仅有助于可持续性发展,更有助于降低成本。这也是涵盖建筑业在内所有行业所共同追求的目标。
 

 
试举两例:
 
拉斯维加斯酒店安装一个先进的自动化系统来控制空调的使用(拉斯维加斯沙漠气候炎热,下雨很少,所以只有当有人在场时才开启。这一决定导致智能系统安装后的第一年节省了200万美元,原因是通过自动化流程实现的能耗降低。万豪酒店在整个产业链中实施了类似的系统,预计将产生约990万美元的节能效果。
 
英国一家超市在其停车场安装了一个智能系统,该系统通过穿过它的汽车的运动产生动能,然后利用该能量为结账提供动力。
 
智能建筑利用技术控制各自环境中的各种变量,旨在提供更多的舒适度,并为其内部人员的健康和生产力做出贡献。为此,他们使用所谓的楼宇自动化系统(BAS)。随着物联网(IoT)的到来,智能建筑重新定义了自己。利用从智能传感器获得的信息,他们的技术设备可用于分析,预测,诊断和维护其中的各种环境,以及实施自动化流程和监控众多操作变量。环境温度、照明、安全摄像头、电梯、停车场和水管理等,只是该技术目前支持的一些自动化服务。
 
智能建筑受到攻击的可能性
 
目前,我们可能不会在这些智能建筑中看到任何安全风险。但是,很可能在某些时候整个智能网络都连接到一个数据库,这就是风险所在。特别是如果我们认为许多物联网设备是由不同的供应商制造的,他们在设计和制造过程中可能没有对安全考虑给予应有的重视。并且,目前已经暴露出一些安全问题。
 
例如,建筑物自动化和控制系统(building automation and control systems,BACS)的应用,它主要用于提供对加热和冷却、照明、电梯、灭火系统以及访问控制(包括安全摄像头等)等的细粒度控制,应用较广泛。早在2012年,安全研究人员Billy Rios和Terry McCorkle在Tridium公司所研发的Niagara AX框架平台中发现了一些关键漏洞,当时,该框架正广泛应用于建筑物自动化和控制系统(BACS)中。研究人员只利用了一些相当简单的技术就成功下载了用户名和密码等数据。好在之后,该公司发布了安全补丁解决了这些安全问题。
 
再例如已经有一些工具,如Shodan,允许任何人发现公开连接到互联网的易受攻击和/或不安全的物联网设备。通过快速在Shodan引擎上搜索查询术语,如“deltaweb”、“niagara”以及“port=47808”,便可以在公共Web登录页面上显示各种智能建筑控件,有些甚至启用了telnet服务。如果你使用此工具运行搜索,则可以在其列表中找到数千个楼宇自动化系统,其中包含攻击者可能用来破坏设备的信息。 2019年2月,全球约35,000个楼宇自动化系统通过互联网在公共范围内出现在Shodan。
 
这意味着有人可以通过搜索找到它后控制BAS。例如,如果犯罪分子使用Shodan搜索楼宇自动化系统进行攻击,他们就会找到IP地址。如果他们将这些IP地址复制到Web浏览器的地址栏中,在许多情况下,这将提供一个访问界面,他们需要输入用户名和密码。如果密码是默认密码,或者如果密码可以通过强力攻击轻松破解,则攻击者将可以访问系统监视面板,该面板包含类似于智能建筑中公司可见的详细信息。
 
一旦攻击者可以访问这些公共信息并且可以监控。例如,空调如何工作,他们可以打电话假装来自维修公司,并说他们将派技术人员维修,因为他们注意到风扇是以最大容量运行。同时,攻击者可以请求远程访问,这将使他们能够访问服务器并允许他们控制建筑物。一旦他们掌握了控制权,他们就可以改变建筑物的供暖系统或空调系统,或调整任何其他自动化系统的运行方式,然后要求支付赎金,使用允许他们保持匿名的系统,如加密货币,以换取不关闭建筑物。
 
智能建筑的安全建设思路
 
建筑物物联网设备的低成本以及楼宇自动化系统技术的进步正在导致变化,从而影响安全性,需要各部门明确职责,确立责任主体,进行周密防护。但是通常,信息安全、物理安全以及设备管理通常隶属三个不同的部门,其中没有一个部门能够完全掌握现代建筑的安全性问题。更糟糕的是,在多租户的高层建筑中,通常还有第三方服务商(如物业)来帮助设备所有者管理建筑物。
 
面对现代“智能”建筑的巨大复杂性,网络犯罪分子在智能建筑上发动勒索软件攻击的可能性已经成为现实。从企业组织来看,明确安全责任,对设备的安全性进行实时监控、定期检测、建立安全威胁模型并确立安全规范有效识别成为关键。
 
目前的智能建筑的产业链,大致有三个层次:第一个就是通信运营商,它有强大的互联网和基础建设能力以及相关的资源;第二个层面就是IT服务提供商和设备的提供商;第三是智慧城市细分领域的耕耘者,包括提供综合性的解决方案,安全厂商无疑是智能建筑发展中的重要一环。