微軟推出保護關鍵基礎設施的新方案

2018年4月末微軟推出了Trusted Cyber Physical Systems(TCPS)，一種新的用於幫助保護關鍵基礎設施應對現代網路攻擊的解決方案。

全文1113字

預計閱讀時間4min

微軟引用最近的Triton和NotPetya攻擊作為關鍵基礎設施受到嚴重威脅的實例。Triton在一次高度針對中東地區的攻擊活動中應用，而NotPetya則中斷了數家大型企業的運營，許多公司報告表示損失高達數億美元。

微軟的 TCPS 項目旨在通過硬體，軟體和授信機制提供端到端的安全性，從而應對上述類型的威脅。這樣便可以幫助組織確保他們不會失去對關鍵系統的控制權。

網路物理系統（CPS）在工業環境中也被稱為物聯網（IoT）。TCPS基於四個主要原則：通過硬體隔離將關鍵操作與非關鍵操作分隔開; 確保負責關鍵操作的代碼能夠被審計; 每個組件僅處理來自可信來源數據的能力，並且每個組件能夠證明其對其他組件是可信的; 通過減少可信實體的數量來減少攻擊波及面。

微軟表示，提供端到端安全性的一個關鍵環節涉及可信執行環境（TEE）。TEE包括Secure Elements（例如信用卡上的晶元），英特爾 Software Guard Extensions（SGX），ARM公司的TrustZone以及Trusted Computing Group的可信平台模塊（TPM）和支持DICE的微控制器。

從安全形度來看，TEE 提供了多項優勢，其中包括在 TEE 中運行的代碼很小，因此其具有最小的攻擊面，代碼也被認為是可信的，所有數據都會被加密，並且 TEE 硬體確保未運行在可信環境中的軟體也無法攻入 TEE 中。

微軟已經指出，企業可以採購支持 TEE 的廉價設備，並在不對現有系統進行重大更改的條件下進行部署。

微軟的 TCPS 解決方案利用了TEE來保護各種組件，包括雲服務、人機交互設備和邊緣計算設備。例如，對於公有和私有雲，受伺服器提供商和操作系統供應商保護的 TEE 可用於各種關鍵操作，包括密鑰和證書管理、督查、補丁管理和日誌記錄。

而物理安全控制，例如防止未經授權的用戶或惡意軟體篡改電子控制執行器或感測器——微軟稱與系統的連接只能通過TEE訪問。為了避免更換現有的和潛在昂貴的設備，TEE網關可以部署在設備之前。

該公司指出，人機界面存在一種潛在風險，即攻陷的用戶設備或 SCADA 系統發送看起來合法的任意命令。微軟表示，這可以通過使用安全確認終端解決，該終端是一種顯示消息的設備，並在檢測到異常操作時要求確認。在這種情況下，TEE可以幫助確保安全確認終端上的顯示器和輸入系統只能從可信環境中訪問，並且不會被任何惡意軟體所攻擊。

例如，微軟描述了一個客戶場景，負責多家水廠的公用事業公司使用TCPS來確保運營中心授權任意網路物理系統操作，該操作中心能夠將任務安全地委託給受信任的第三方組織。該解決方案還使得公司能夠將所有操作記錄存儲在防篡改日誌中。

END

原文作者/ Eduard Kovacs；

稿件來源/ SecurityWeek；

木鏈小編編譯，圖片來源網路

轉載請註明來自「木鏈工控安全」

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！