作者：謝嘉洵
隨著科技的發展、AI技術的興起，以及聯網的環境的普及，為了提高生產效率與產業競爭力，工廠積極的導入相關技術，從自動化邁向智慧化，工業控制系統因此從封閉走向開放。OT逐漸向IT靠攏，兩者的界線也逐漸模糊，但是在利於控管的背後，是OT也開始面臨與IT相同的資安風險，受到駭客與惡意程式的威脅。
OT是什麼？
運營技術（Operational Technology），也稱為OT，泛指與工廠營運有所相關的技術，監控實體設備、流程以及事件，並進行軟硬體的檢測與更改，在製造業、能源、醫療等等產業都有應用實例。而在基礎設施中，OT也可用於控制發電、石油運輸等等，在日常生活中也有著舉足輕重的地位。但隨著科技發展，OT與網路技術融合，對於安全性的需求也不斷的增長。
OT架構（圖片來源）
而OT跟IT（Information Technology）常會被做對比，IT面向數據資料的建立、傳送、儲存以及保護。過去OT體系因為設備體系問題，向來獨立於標準化網路之外，但因為數位化、智慧化的浪潮，物聯網、工業物聯網的出現使OT與IT體系逐步融合，也因此，OT資安的隱憂也日漸浮出水面。
BlackEnergy攻擊烏克蘭電網，造成大規模停電
2015年的聖誕節前夕，烏克蘭伊萬諾—弗蘭科夫斯克州的電網遭受到遭受惡意軟體BlackEnergy的攻擊，僅僅幾秒鐘就造成當地大斷電，包括交通號誌等公共設施也盡數熄滅。在長達六小時的停電中，約數十萬戶的居民陷入沒有燈光、暖氣的局面。所幸後續電力公司的工作人員將系統修復，重新進行供電，此次事件也無人傷亡。
（圖片來源）
在過去，因為軟硬體的規格不同，系統環境較為破碎，駭客就算駭入了電網，也很難發揮影響，造成傷害。也因此大多數的攻擊都會被無視，員工可能連上報都不認為有必要。在此事件過後，無線通訊公司全頻譜（Full Spectrum）共同創辦人暨執行長史都華‧坎托（Stewart Kantor）認為：「烏克蘭電廠內部的通信電話網路架設在公用 Wi-Fi上，是整場事件最嚴重的安全漏洞。」
儘管如此，隨著數位化轉型，越來越多電力公司選擇進行自動化控制，並採取雲端管理，以提升效率並減省成本，同樣的，也提高了受到駭客攻擊的可能性。此次烏克蘭電網事件即首開其例，展示了駭客攻擊電力系統的可能性與可能造成的危害。在自動化、智慧化逐漸成為主流的現在，如何做好資安防護顯然已成為了首要之事。
勒索軟件癱瘓美國油管運輸，美方宣布進入緊急狀態
烏克蘭電網事件，似乎是除了當地居民外，沒有其餘損失。但是，駭客集團也可以透過惡意程式癱瘓重要系統，進而勒索！在前年（2021），美國負責供應東岸燃油運輸的殖民油管公司（Colonial Pipeline）遭到了駭客攻擊。這場攻擊導致超過8000公里的油管被緊急關閉，嚴重影響了汽油、柴油以及航空燃油的運輸，對美國東岸的能源供應造成重大打擊。
Colonial Pipeline油管的癱瘓導致了美國能源市場的緊繃，一度出現了恐慌性大漲，對燃油有高度需求者，如航空公司等，也傳出搶購囤油的風聲；美國政府更是頒布緊急命令，開放一系列授權，其中便包括了對卡車司機的工時解禁 — 為了讓油罐車能夠盡快往返，提供足夠的能源。
而駭客集團「Darkside」也公開承認了此次攻擊與他們有關，發布聲明表明：「只想獲得金錢，無意造成社會恐慌。」並且強調在日後會避開類似的勒索對象，以免造成嚴重的社會傷害。美國政府的一位不具名官員後來證實，Colonial Pipeline在支付五百萬美金的贖金之後，Darkside提供了解鎖工具，讓業者得以重啟遭受攻擊而癱瘓的網路。
美國油管事件中油管的路線與涵蓋範圍（圖片來源）
小結
除了以上兩個例子之外，惡意程式都有造成不同地區局部或是全球性的資安危機，諸如伊朗核設施、德國鋼鐵廠、澳洲水廠等等，曾經遭受駭客攻擊的例子族繁不及備載。這也是為何我們需要關注OT資安，當OT遭受資安危機，其所造成的影響與附加效應，一定比我們想像中還要大。
OT產業逐漸走向低成本、標準化的運營模式，走向開放的系統也讓駭客們發現了可趁之機，如何做好安全防護，對業者與政府而言顯然是當務之急。而OT資安是什麼？與IT資安之間的差異為何？MakerLEARN跟各位推廣一堂線上課程：「營運技術（OT）資安基礎認識」，讓大家輕鬆理解OT資安的概念！
延伸閱讀
- 改變你的社群網路體驗：Meta AI助理機器人 - 2024/02/19
- 近期熱度正高的AI PC，是在夯什麼？ - 2024/01/03
- AI Act草案出爐！人工智慧要有法律規範了嗎？ - 2023/12/20
