智能建筑：網(wǎng)絡(luò)安全考慮因素

　　在當(dāng)今社會，人員、工作場所和資產(chǎn)的互聯(lián)變得越來越普遍。 智能建筑和智能建筑由傳感器和執(zhí)行器等物聯(lián)網(wǎng)(IoT)設(shè)備支持的“計算機控制系統(tǒng)網(wǎng)絡(luò)”組成。 這些設(shè)備連接、管理或監(jiān)控獨立的電梯樓宇自動化系統(tǒng); 供暖、通風(fēng)和空調(diào) (HVAC); 訪問控制; 安全; 消防; 和照明。 在某些情況下，他們直接控制這些不同的建筑系統(tǒng)。

　　來自這些傳感器的數(shù)據(jù)可以在一天、一個月和一個季節(jié)的不同時間提供不同地區(qū)建筑使用情況的整體概覽，最終優(yōu)化能源使用和運營效率。

　　除了能源效率，還有幾個因素在推動建筑環(huán)境的自動化。其中包括提供關(guān)于使用情況的見解和分析(按誰、何時和多少)，提高建筑資源利用率和預(yù)防性維護，最大限度地降低運營成本，提高租戶的幸福感和滿意度，使物業(yè)更受歡迎。

　　此外，隨著對可持續(xù)性的日益重視，智能建筑直接支持組織的氣候、環(huán)境、社會和治理(ESG)舉措和目標(biāo)。

　　世界上超過一半的城市都有智慧城市路線圖。 根據(jù)麥肯錫的數(shù)據(jù)，建筑物產(chǎn)生的排放量占全球排放量的 6%。 智能建筑可以幫助城市實現(xiàn)減少碳足跡、提高能源效率、改善公民生活方式以及支持 ESG 舉措和目標(biāo)的目標(biāo)。

　　虛擬與物理相遇

　　與任何新興技術(shù)一樣，需要確定和評估額外的風(fēng)險考慮因素。 思科表示，到2025年，超過75%的新建建筑將是智能或智能化建筑; 這不包括目前已安裝這些技術(shù)的建筑庫存組合。 因此，互聯(lián)控制系統(tǒng)基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全漏洞風(fēng)險是一個真正令人擔(dān)憂的問題。

　　以2016年11月的一個例子為例，當(dāng)時芬蘭的兩棟建筑失去供暖至少兩天。這是由于分布式拒絕服務(wù)(DDoS)攻擊，該攻擊使控制加熱的計算機失效。2021年10月，德國一家建筑自動化工程公司也遭遇了網(wǎng)絡(luò)攻擊。這次襲擊將該公司鎖定在系統(tǒng)之外，并導(dǎo)致大樓內(nèi)的數(shù)百臺設(shè)備無法運行，影響了照明、運動檢測器和百葉窗控制器。經(jīng)過數(shù)周的人工控制，辦公樓的設(shè)備得以恢復(fù)。黑客通過公共互聯(lián)網(wǎng)上一個不安全的用戶數(shù)據(jù)報協(xié)議(UDP)端口潛入了樓宇自動化系統(tǒng)(BAS)。

　　根據(jù)卡巴斯基2019年的報告，2019年上半年，用于控制智能建筑的計算機系統(tǒng)中，近40%受到了某種形式的惡意攻擊。在大多數(shù)情況下，控制BAS的計算機都受到了損害。

　　大約26%的威脅來自互聯(lián)網(wǎng)，10%來自便攜式存儲，10%來自網(wǎng)絡(luò)釣魚鏈接，1.5%來自公司網(wǎng)絡(luò)上的共享文件夾。

　　使用了常見的惡意軟件，如勒索軟件、蠕蟲和間諜軟件，而不是具有特定目的的惡意軟件。

　　許多攻擊利用了保護不力的物聯(lián)網(wǎng)設(shè)備(如IP安全攝像頭)中的漏洞，這些設(shè)備往往與沒有BAS的遺留系統(tǒng)集成不良。

　　間諜軟件(通常用于竊取敏感的客戶賬戶信息)和蠕蟲是最常見的攻擊形式，而網(wǎng)絡(luò)釣魚和勒索軟件也有報道。

　　樓宇自動化標(biāo)準(zhǔn)

　　現(xiàn)有樓宇自動化標(biāo)準(zhǔn)，例如 KNX、LonWorks 和 BACnet。 BACnet 于 1995 年首次推出，并于 2003 年確立為國際標(biāo)準(zhǔn)化組織 (ISO) 標(biāo)準(zhǔn)，是智能建筑系統(tǒng)設(shè)計中廣泛使用的標(biāo)準(zhǔn)，在樓宇自動化系統(tǒng)領(lǐng)域擁有超過 60% 的市場份額。 KNX 和 LonWorks 是智能建筑協(xié)議的開放標(biāo)準(zhǔn)，允許控制各種建筑元素。

　　然而，這些樓宇自動化標(biāo)準(zhǔn)和協(xié)議的開發(fā)并沒有考慮到安全性。 KNX 認(rèn)識到了這個問題，并于 2021 年發(fā)布了 KNX Secure。 該計劃包括安全檢查表、制造商和安裝商指南以及包含 AES-128 加密的產(chǎn)品安全認(rèn)證流程。 BACnet 標(biāo)準(zhǔn)還于 2020 年修訂為 BACnet Secure Connect (BACnet/SC)，包括設(shè)備身份驗證(廣泛接受的國際安全標(biāo)準(zhǔn) X.509 證書和公鑰基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全以及保護數(shù)據(jù)傳輸?shù)募用芸蚣?、加密通信(基于 TLS 1.3)，以及使用安全 TCP 進行互聯(lián)網(wǎng)交互的 WebSockets 協(xié)議。

　　潛在風(fēng)險領(lǐng)域

　　樓宇控制系統(tǒng)的風(fēng)險領(lǐng)域包括：

　　不安全的密碼。

　　軟件缺陷、錯誤和缺陷。

　　非加密通信。

　　無設(shè)備身份驗證(例如，您可以在未經(jīng)授權(quán)/身份驗證的情況下將 IoT 設(shè)備連接到網(wǎng)絡(luò))。

　　不定期的軟件更新和補丁管理。

　　安全缺陷，包括沒有防火墻或配置不當(dāng)、缺乏網(wǎng)絡(luò)安全監(jiān)控、缺乏或配置不當(dāng)?shù)脑L問控制(內(nèi)部和遠(yuǎn)程，包括端口安全性差)。

　　外部連接時安全控制較差; 例如，容易受到域欺騙和拒絕服務(wù)(DOS)攻擊的用戶數(shù)據(jù)報協(xié)議(UDP)。

　　復(fù)雜、開發(fā)成本高且難以管理的安全解決方案，例如要集成到 BAS 系統(tǒng)中的虛擬專用網(wǎng)絡(luò) (VPN) 或虛擬局域網(wǎng) (VLAN)(請注意，如果 VLAN 遭到破壞，用戶將獲得對 BAS 系統(tǒng))。 將舊系統(tǒng)或遺留系統(tǒng)或獨立的樓宇自動化系統(tǒng)集成到更廣泛的網(wǎng)絡(luò)中，并引入其固有的安全協(xié)議缺失。

　　BAS 的開發(fā)重點關(guān)注功能和效率，但很少考慮控制系統(tǒng)的安全方面。

　　對供應(yīng)商訪問、第三方維護以及訪問部分或全部 BAS 的其他第三方進行管理控制。

　　連接到更廣泛的組織系統(tǒng)，例如財務(wù)、采購、維護、資產(chǎn)管理和其他公司系統(tǒng)。

　　連接到更廣泛的互聯(lián)網(wǎng)(包括安全網(wǎng)站和網(wǎng)絡(luò)/電子郵件消息傳遞)。

　　技術(shù)的快速變化。 例如，智能建筑市場中越來越多地使用 5G 技術(shù)，帶來了與更大、更快的數(shù)據(jù)流以及建筑自動化網(wǎng)絡(luò)的安全結(jié)構(gòu)相關(guān)的新風(fēng)險。

　　此外，業(yè)主需要考慮的另一個領(lǐng)域是監(jiān)管變化，以保護公眾免受與此類技術(shù)相關(guān)的風(fēng)險。 對監(jiān)管合規(guī)失敗的處罰包括英國政府的 2021 年產(chǎn)品安全和電信基礎(chǔ)設(shè)施 (PSTI) 法案，以更好地保護消費者物聯(lián)網(wǎng)設(shè)備免受黑客攻擊; 2020 年加州物聯(lián)網(wǎng)法案; 歐盟《通用數(shù)據(jù)保護條例》(GDPR); 以及英國通用數(shù)據(jù)保護條例 (UK GDPR)，僅舉幾例。

　　風(fēng)險考慮、控制和緩解

　　那么，財產(chǎn)或建筑業(yè)主應(yīng)該考慮他們的建筑控制系統(tǒng)什么?

　　對于現(xiàn)有的 BAS 系統(tǒng)，檢查安全架構(gòu)并找出差距。 如果可能，將系統(tǒng)升級到更安全的版本或更安全的標(biāo)準(zhǔn)。

　　對于當(dāng)前和未來的建設(shè)，請考慮僅使用安全 BAS 標(biāo)準(zhǔn)作為整體構(gòu)建的一部分。

　　確保 BAS 系統(tǒng)由有能力、經(jīng)過認(rèn)證的供應(yīng)商設(shè)計和安裝。

　　更新密碼。 考慮更改工廠設(shè)置的用戶名和密碼，并使用強大的密碼安全實踐(強制使用復(fù)雜的長密碼和密碼庫)。

　　限制特權(quán)帳戶的數(shù)量(包括第三方和供應(yīng)商管理和訪問)并強制使用多重身份驗證 (MFA) 進行網(wǎng)絡(luò)訪問。

　　將樓宇網(wǎng)絡(luò)連接分類為非樓宇自動化網(wǎng)絡(luò)和域(例如公司系統(tǒng)、外部網(wǎng)絡(luò)或互聯(lián)網(wǎng))以及樓宇業(yè)主產(chǎn)品組合內(nèi)更廣泛的樓宇自動化系統(tǒng)。 檢查是否需要連接，如果需要，請確保安全措施到位，例如防火墻、傳輸加密和訪問管理。

　　實施網(wǎng)絡(luò)監(jiān)控、事件記錄、警報和自動響應(yīng)解決方案。

　　在實施之前審查新興技術(shù)的潛在網(wǎng)絡(luò)安全漏洞或缺陷。 確保安全控制經(jīng)過獨立審查和測試。

　　每年制定事件響應(yīng)計劃、培訓(xùn)人員并審查、測試或模擬這些計劃。

　　由于技術(shù)環(huán)境快速變化，加上 BAS 技術(shù)的使用不斷增加，組織應(yīng)在使用 BAS 系統(tǒng)設(shè)計建設(shè)項目時咨詢其顧問，以確保識別和實施網(wǎng)絡(luò)安全風(fēng)險控制。 對于那些已經(jīng)安裝了 BAS 控制系統(tǒng)的業(yè)主，請審查當(dāng)前的架構(gòu)、需要減輕的潛在風(fēng)險，并制定實現(xiàn)目標(biāo)的路線圖。

來源：千家網(wǎng)