利用运营技术与物联网攻击智能建筑
密码学与安全
2019-12-06 v1
摘要
近年来，我们生活中大部分时间所处的建筑正在迅速演进。它们正成为完全自动化的环境，其中能耗、门禁、供暖以及许多其他子系统都集成在一个通常被称为智能建筑（SB）的单一系统中。为支持建筑运营日益增长的复杂性，驱动智能建筑的建筑自动化系统（BAS）正在集成消费级物联网（IoT）设备（如IP摄像头）以及运营技术（OT）控制器与执行器。然而，这些变化带来了重要的网络安全隐患，因为攻击面更大、攻击向量增多，且攻击可能危害建筑内人员。在本文中，我们通过关注受物联网设备出现强烈影响的子系统（如视频监控系统和智能照明）来分析BAS的威胁态势。我们展示了BAS运行如何被针对广泛使用网络协议的简单攻击所破坏。此外，利用本文报告及先前披露的已知和0-day漏洞，我们提出了（据我们所知）首个BAS专用恶意软件，其能够通过利用连接到BAS的OT与IoT设备在BAS网络中持久化存在。我们的研究强调，BAS网络可被视为与工业控制系统同样关键，且BAS中的安全问题值得工业界和科学界更多关注。即使在模拟环境中，我们的概念验证攻击也以相对容易的方式以及有限的预算和资源得以实施。因此，我们认为资金充足的攻击组织将日益将焦点转向BAS，并有可能影响数千人的生活。
引用
@article{arxiv.1912.02480,
title = {Leveraging Operational Technology and the Internet of Things to Attack Smart Buildings},
author = {Daniel Ricardo dos Santos and Mario Dagrada and Elisa Costante},
journal= {arXiv preprint arXiv:1912.02480},
year = {2019}
}