计算机数字控制(CNC)广泛应用于生产工厂，是全球组织的关键资产。数控机床，如自动钻头，车床和铣床的主要好处是，它们被编程来执行重复的任务，目的是提高产量，同时降低成本。在过去的十年中，工业4.0范式所指示的强大推动，推动了工业设备广泛连接的技术的引入，包括在CNC领域。因此，现代数控机床比机械机床更像成熟的系统，因为它们为智能连接和网络集成提供了大量的网络服务。鉴于向更复杂、更依赖软件的生态系统的转变，这些机器更有可能受到潜在威胁。近日，趋势科技发布了对数控机床网络安全风险的研究报告。趋势科技的该项研究工作重点探讨与数控机床领域观察到的强大技术发展相关的风险。趋势科技选择了四家代表性供应商生产的CNC控制器进行了安全评估，通过分析引入的技术来满足工业4.0范式，并对现实世界的CNC装置进行了一系列的实际攻击。据信，趋势科技是第一家在这方面进行深入实证分析的团队。不幸的是，趋势的工作揭示了现代数控机床的安全缺陷。研究人员发现，在所测试的数控机床上，几乎没有常用的安全机制，如资源访问控制和管理，这些机制如今在传统计算机和服务器中无处不在。因此，现代CNC装置可能成为诸如入侵控制（远程代码执行）、损坏（篡改工具测量值）、拒绝服务(DoS，包括勒索)、劫持（参数劫持）和知识产权盗窃等五类攻击的受害者。趋势科技演示了所有这些攻击。例如，模拟了恶意用户以生产线为目标窃取知识产权(以生产代码的形式)或破坏生产的攻击。在另一种情况下，网络犯罪分子控制了制造过程，引入通过QA过程的微缺陷，最终导致制造商的经济或声誉损失。鉴于这些发现的重要性，趋势科技在公开其研究成果之前采取了适当的预防措施。即他们与供应商密切合作沟通，提出了相应缓解措施。

趋势科技对来自四家供应商（美国HASS、日本Okuma和Fanuc、德国HEIDENHAIN）的CNC控制器进行了测试，这些供应商的选择是基于它们在全球范围内的影响力和丰富的市场经验，或用于开发整个制造业领域使用的技术。

研究人员评估确定了18种攻击(或攻击变体)，大致5种攻击类别入侵控制、破坏、拒绝服务(DoS)、劫持和盗窃。有些攻击会被报告多次，因为它们由攻击变体组成。例如，恶意用户可以修改工具的几何形状来实现破坏、劫持或DoS，这取决于机器的类型和制造过程的类型。相反，同一个恶意用户可以进行多次攻击以达到相同的目的。例如，攻击者可以通过劫持参数化程序，通过修改工具的几何形状来引入微缺陷，或通过改变执行的程序来控制暴露的CNC的生产。

总的来说，在测试的不同控制器中，观察到问题数量的一致性:Haas、Okuma和Heidenhain产生了类似数量的问题——大约15个——而Fanuc确认受到了10次攻击。这似乎再次表明，安全似乎不是控制器制造商的优先事项，这个领域缺乏安全与隐私。再加上数控机床可能配置错误，暴露在企业网络中，或者更糟的是，暴露在互联网上，这些都造成了严重而紧迫的问题。

在所有18种攻击中，仅有两种攻击被证实只适用于某个供应商(禁用提要保持和通过截屏窃取)。也就是说，绝大多数攻击都适用于多个厂商。

在处理复杂的自动化和无监督过程时，像工具几何形状的远程配置或由网络资源确定值的参数化编程等特性是面向自动化的选项。尽管这些要求现在在制造业中更为常见，但供应商似乎没有考虑到这些特性的不必要后果，从而引起了对安全性的关注。

研究中所使用的攻击手段及结果概要
趋势科技在实践中演示了所有这些攻击。例如，它模拟了恶意用户以生产线为目标窃取知识产权(以生产代码的形式)或破坏生产的攻击。在另一种情况下，网络犯罪分子控制了制造过程，引入通过QA过程的微缺陷，最终导致制造商的经济或声誉损失。
鉴于其发现的重要性，趋势科技在发表其研究之前采取了适当的预防措施。具体而言，它与供应商密切合作，提出其关注的问题并提出缓解措施。此外，网络安全和基础设施安全局(CISA)的工业控制系统网络应急响应小组(ICS-CERT)也在趋势科技与这些供应商讨论期间作为联络人向其提供了宝贵的协助。
报告指出，作为趋势科技彻底披露过程的一部分，他们及时联系了受影响的供应商，并在2021年11月联系了第一家供应商。从那时起，所有的供应商都采取了措施，通过改进文档、与各自机器制造商的沟通，或通过修补漏洞和在产品中添加更多安全功能来改善其安全状况，为最终用户提供更安全的解决方案。趋势科技与这些供应商分享了其研究结果，通过研究他们确定了各种攻击类型。
趋势科技表示，数控机床使用的工具会测量其几何形状，如长度和半径，以确保这些工具适合生产特定的工件。这些测量由人工操作人员进行，或在数控机床的调优阶段自动完成。然而，篡改这些测量值是恶意行为者可能对机器本身、其部件或所处理的部件造成损害的一种方式。
报告主笔Balduzzi发现，参与这项研究的四家CNC控制器供应商都容易受到这种攻击。他写道:“在一个攻击场景中，我们制作了一个3D打印的塑料工具，以演示数控机床的刀具如何在将数控控制器的磨损值设置为-10毫米后，因为负溢出而撞到加工的原始工件。”
趋势科技的研究发现，攻击者试图通过破坏制造商的生产过程来降低其效率。最大的潜在攻击来自拒绝服务(DoS)类别，包括触发自定义警报、改变工具几何形状和勒索软件。
研究报告指出，假警报是恶意行为者扰乱生产过程的另一种方式。数控机床有内置的报警器，可以在硬件出现故障时发出警报，但它们也可以配置自定义的软件错误警报。当这些警报响起时，数控机床停止运行，需要人工操作人员的干预才能继续。侵入已连接的工厂的攻击者可以触发这些软件相关的警报，突然中断生产。参与这项研究的两家供应商的CNC控制器受到了这种攻击。
Balduzzi警告说，恶意行为者可以通过简单地改变工具的几何形状来发起不同类型的攻击，包括DoS。例如，攻击者可以将立式铣床的磨损参数设置为大于刀具本身的长度，这将指示铣床在半空中运行，而不能接触工件。测试显示，趋势科技测试的所有四家供应商的CNC控制器都暴露在这种攻击之下。
趋势科技表示，即使是数控机床也无法免疫勒索软件攻击。在一种情况下，恶意行为者可以锁定数控机床或加密其文件，有效地停止生产，直到制造商满足他们的要求。攻击者可以通过使用未经身份验证的网络共享访问CNC计算机的文件，滥用恶意应用程序进行操作系统调用，或在计算机中植入脚本以锁定其屏幕，从而实施勒索软件攻击。测试结果显示，趋势科技测试的四家控制器供应商中，有三家的机器面临勒索软件攻击的风险。

研究报告称，试图控制生产过程的攻击者可以通过劫持CNC控制器来做到这一点。他们可以通过改变工具的几何形状和劫持参数化程序来做到这一点。
趋势科技表示，一个对制造过程有广泛了解的恶意行为者可以控制数控控制器，错误配置其刀具几何形状，从而导致所生产的零件出现微缺陷。黑客引入零件缺陷的另一种方法是劫持数控控制器的参数化程序。要做到这一点，攻击者需要将程序的变量设置为任意值，这将以一种无法满足产品规范的方式改变片段。
该研究报告指出，鉴于数控控制器中大量的数据可能会引起恶意行为者的注意，他们可能会试图通过各种方式访问这些信息。他们可能使用的攻击包括窃取程序代码和窃取生产信息。
Balduzzi写道:“用于操纵数控机床的程序属于制造商最敏感的知识产权，因为这些程序包含了如何制造特定零件的细节。”攻击者可以通过数控控制器所连接的不受保护的网络，或在机器控制器中安装恶意应用程序，远程访问数控控制器正在运行的程序。而且因为它们是用G-code编写的，没有经过编译，这些程序很容易进行逆向工程。”他补充道。
该研究报告称，CNC控制器包含有价值的信息，可以帮助制造商降低成本，远程跟踪他们的生产过程。这包括在特定零件的制造过程中所涉及的工作程序、工具和生产率。例如，攻击者可以使用不需要身份验证或有任何资源访问控制的专用调用从CNC控制器中提取所有这些数据。研究人员能够对其测试的所有四家供应商的CNC控制器进行这种攻击。
为了阻止数字化生产线带来的威胁，趋势科技建议这些公司安装工业入侵防御和检测系统(IPS/IDSs)，该系统可以通过实时监控流量，帮助制造商检测其网络中的恶意活动。此外，细分网络，这可以有效地限制访问权限，只有用户需要他们，如最终用户和数控机床的操作员。像虚拟局域网(vlan)和防火墙这样的标准安全技术在减少CNC机器的接口暴露于未经授权的访问方面有很大帮助。
该报告还建议用最新的补丁更新数控机床使用的软件、服务和应用程序，这有助于阻止恶意行为者利用漏洞。它还建议根据控制器供应商的指导方针和建议正确配置数控机床，如其关于启用加密和身份验证的建议。

参考资源
1、https://industrialcyber.co/news/trend-micro-identifies-security-risks-faced-by-cnc-machines-across-industry-4-0-deployments/
2、https://documents.trendmicro.com/assets/white_papers/wp-the-security-risks-faced-by-cnc-machines-in-industry-4-0.pdf