保障船舶計(jì)算機(jī)網(wǎng)絡(luò)安全實(shí)用途徑

周祺

摘要：今年一月在達(dá)沃斯世界經(jīng)濟(jì)論壇上把船舶網(wǎng)絡(luò)犯罪列為首要議題，那里，國際上有影響人物探討網(wǎng)絡(luò)犯罪對政府和行業(yè)的影響，他們認(rèn)為船舶網(wǎng)絡(luò)犯罪威脅不再包含地球上航線以及擁有今天互連交錯(cuò)的航運(yùn)業(yè)務(wù)之間，我們處在像地面其它行業(yè)的經(jīng)營組織一樣的諸多風(fēng)險(xiǎn)，必須有超前意識，探尋阻止網(wǎng)絡(luò)威脅的方法，采取措施，防患未然。

關(guān)鍵詞：航運(yùn)網(wǎng)絡(luò)攻擊來源 船舶網(wǎng)絡(luò)安全防線 船舶網(wǎng)絡(luò)多層次安全保障

0概述

2016年2月初，一個(gè)犯罪集團(tuán)從一個(gè)巴格達(dá)官員在紐約聯(lián)邦儲(chǔ)備銀行賬戶實(shí)施電子盜竊8 100萬美元。報(bào)告稱黑客實(shí)際企圖盜竊9.5億美元，轉(zhuǎn)款時(shí)被發(fā)現(xiàn)，及時(shí)采取措施避免進(jìn)一步損失。該事件引起嚴(yán)重后果，為此，一位巴格達(dá)中心銀行高管在3月份辭職。

偷竊錢財(cái)，無論如何直接，唯一目標(biāo)不是網(wǎng)絡(luò)犯罪全部。數(shù)據(jù)就是其中一部分，是2016年4月通過的歐盟總數(shù)據(jù)保護(hù)規(guī)則（GDPR）的背景。

規(guī)則把更多數(shù)據(jù)保護(hù)責(zé)任和義務(wù)給組織，并強(qiáng)制規(guī)定各公司必須任命一名數(shù)據(jù)保護(hù)官員（DPO）。只要有一個(gè)組織有數(shù)據(jù)破壞，強(qiáng)制這些經(jīng)理通知被竊記錄的那些個(gè)體。它是非常重要的通知期，通常72小時(shí)內(nèi)，而以前多達(dá)14天。

雖然會(huì)有兩年新規(guī)的過渡期，但它的推出迫使組織把網(wǎng)絡(luò)安全和數(shù)據(jù)泄露相應(yīng)提到更高水品，因?yàn)椴蛔瞿軐?dǎo)致多達(dá)收入4%的罰款。

政府和國際團(tuán)體組織關(guān)注網(wǎng)絡(luò)犯罪，這使我們斷定網(wǎng)絡(luò)安全不再是大組織IT部門唯一關(guān)切事。重要性不言而喻，網(wǎng)絡(luò)安全受到地面和航運(yùn)界高管的高度重視。并非所有海上行業(yè)觸及網(wǎng)絡(luò)威脅，但P&I俱樂部、船級社、設(shè)備供應(yīng)商、國家和國際行業(yè)組織和船東俱樂部正引起重視，努力建全解決方案，。

BIMCO談到航運(yùn)業(yè)是固有彈性的，有幾乎十萬個(gè)獨(dú)立合成不同系統(tǒng)配置的船舶，在全球上千個(gè)獨(dú)立港口做貿(mào)易。對單個(gè)船舶和航運(yùn)公司網(wǎng)絡(luò)攻擊影響可能使涉及船舶、海上環(huán)境安全受到影響。不過BIMCO也認(rèn)為全球貨物流向不會(huì)受影響。

1航運(yùn)網(wǎng)絡(luò)攻擊來源

船舶和地面防止網(wǎng)絡(luò)犯罪需要多層次方法。沒有靈丹妙藥來治愈網(wǎng)絡(luò)犯罪。安全船舶和公司IT網(wǎng)絡(luò)不是高科技，但理想安全規(guī)則更需要專家支持 – 特別是公司數(shù)字網(wǎng)絡(luò)衛(wèi)星通信單元的保護(hù)。許多航運(yùn)公司有內(nèi)行專家，但即使有大的IT隊(duì)伍也需要增加支撐衛(wèi)星通信的專業(yè)人員，因?yàn)楸M管現(xiàn)實(shí)威脅來自如受感染USB使用，但I(xiàn)nternet是病毒、惡意軟件和敲詐軟件最大攻擊來源地。

BIMCO明確三個(gè)區(qū)域是航運(yùn)公司網(wǎng)絡(luò)攻擊薄弱點(diǎn)：船上，船東和經(jīng)營者商用運(yùn)行以及港口基礎(chǔ)設(shè)施。

每次網(wǎng)絡(luò)攻擊有多階段組成，第一階段是闖入網(wǎng)絡(luò)。通常，入系統(tǒng)的惡意軟件最常見有：

1.1電子郵件

許多最主要病毒由電子郵件自動(dòng)散布。收到任何郵件附件可能攜帶病毒；這種附件能感染計(jì)算機(jī)。即使顯示安全類型附件，如后綴為.txt文件也能構(gòu)成威脅。

1.2個(gè)人裝置APP惡意軟件

船舶網(wǎng)絡(luò)越來越多船員有個(gè)人裝置，APPS包含藏有惡意軟件能為船舶網(wǎng)絡(luò)犯罪打開方便之門。現(xiàn)在至少有7000個(gè)免費(fèi)APPS被確認(rèn)含攻擊性的惡意軟件，感染IT網(wǎng)絡(luò)。他們中百分之八十仍然在app網(wǎng)店上得到。超過百分之十已下載過上百萬次。對于個(gè)人裝置，那已經(jīng)是巨大禍根隱患，更不要說更多的幾百萬次下載，可怕的是還會(huì)有成千上萬新的帶有惡意軟件APPS出現(xiàn)。

1.3域欺騙和網(wǎng)絡(luò)釣魚（社會(huì)工程）

此兩種方法由社會(huì)工程攻擊支持，使用冒名技術(shù)，他們欺騙目標(biāo)安裝應(yīng)用軟件、打開電子郵件附件或保密或個(gè)人信息非常有效。典型有收到顯示來自信譽(yù)良好組織電子郵件，如銀行。該電子郵件顯示該組織網(wǎng)站連接但實(shí)際是冒牌網(wǎng)站。任何編入的數(shù)據(jù)，如賬號、PIN或密碼能被假冒網(wǎng)站黑客竊取和使用。

1.4蠕蟲

PC會(huì)受蠕蟲感染，復(fù)制并在計(jì)算機(jī)之間通信中在網(wǎng)絡(luò)內(nèi)傳播。蠕蟲可使用感染計(jì)算機(jī)，通過請求數(shù)據(jù)來入侵網(wǎng)站，造成他們癱瘓。蠕蟲能加密文件并使他們無法使用。許多蠕蟲在計(jì)算機(jī)上打開“后門”，讓黑客控制計(jì)算機(jī)。

1.5惡意軟件

一個(gè)暗藏有程序或處理軟件，經(jīng)常用來破壞計(jì)算機(jī)或偷盜數(shù)據(jù)。一旦惡意軟件運(yùn)行計(jì)算機(jī)，就無法識別所有運(yùn)行在計(jì)數(shù)機(jī)中的處理軟件。一旦網(wǎng)絡(luò)攻擊者在網(wǎng)絡(luò)內(nèi)，然后他們可能實(shí)施其主要任務(wù)。我們面對的攻擊各式各樣，那就是為什么任何網(wǎng)絡(luò)安全戰(zhàn)略必須是多層次。盡管許多威脅類型其結(jié)果相同，如被鎖在你系統(tǒng)外，或數(shù)據(jù)被盜，但他們能分散到不同群的網(wǎng)絡(luò)。

1.6木馬

偽裝成合法軟件程序，但真正實(shí)施隱蔽和危害功能。木馬程序稱有一個(gè)功能，但實(shí)際做不同事情，通常是你認(rèn)知之外。兩種常見類型是間諜軟件和廣告軟件。間諜軟件是能讓廣告商或黑客非法收集信息的軟件。它監(jiān)測你的活動(dòng)或復(fù)制你的數(shù)據(jù)并透露給其他人，消耗內(nèi)存和處理容量使計(jì)算機(jī)運(yùn)行緩慢或崩潰。惡意軟件在計(jì)算機(jī)上顯示廣告，使計(jì)算機(jī)運(yùn)行緩慢。其設(shè)計(jì)特點(diǎn)是卸載困難。

1.7勒索軟件

一種惡意軟件，它鎖住系統(tǒng)或加密數(shù)據(jù)，迫使受害人向網(wǎng)絡(luò)攻擊者支付贖金來獲取進(jìn)入系統(tǒng)權(quán)利。通常使用的勒索軟件包括Bit Locker和Locky。

零日攻擊：沒有補(bǔ)丁存在，尚未由傳統(tǒng)反病毒軟件檢測發(fā)現(xiàn)，利用計(jì)算機(jī)軟件未明了的漏洞攻擊。這種高級方法常是目標(biāo)攻擊部分，僅能由行為分析和深層檢查（DPI）來檢測。

2船舶網(wǎng)絡(luò)安全防線

就像家利用鎖、百葉窗、報(bào)警和盡職來保障，保障船舶網(wǎng)絡(luò)安全避免網(wǎng)絡(luò)威脅需要一組驗(yàn)證工具和處理方法——防網(wǎng)絡(luò)犯罪檢查表。

單一防火墻是不夠的，以下描述的硬軟和培訓(xùn)的戰(zhàn)略部署將幫助保證你再也不會(huì)支付黑客贖金或歐盟罰款。

2.1專用和分離網(wǎng)絡(luò)

關(guān)鍵IT基礎(chǔ)設(shè)施應(yīng)該在專用網(wǎng)絡(luò)上，Internet無法進(jìn)入。船上，船員網(wǎng)絡(luò)與公司或船舶網(wǎng)絡(luò)分離，所以由“公共”Internet接入點(diǎn)攻擊者不能夠影響關(guān)鍵基礎(chǔ)設(shè)施是非常關(guān)鍵的。由于自帶設(shè)備出現(xiàn)，分離網(wǎng)絡(luò)甚至更加重要，因?yàn)楹竭\(yùn)船舶不能控制船員筆記本電腦和智能裝置的安全。endprint

分離船舶商務(wù)/操作網(wǎng)絡(luò)從寬帶角度，但也從安全角度看是一個(gè)好的實(shí)踐。只要配置正確，經(jīng)船員網(wǎng)絡(luò)攻擊，船舶上網(wǎng)絡(luò)不會(huì)受到影響。

2.2岸上防火墻

最熟悉安全防線是‘謙卑防火墻；組合基本和增強(qiáng)防火墻保護(hù)，能過濾網(wǎng)站熟知可實(shí)施的URLs。分幾個(gè)階段，不同地點(diǎn)，包括衛(wèi)星通信地做好這項(xiàng)工作，以便這些攻擊抵達(dá)船舶前，保護(hù)好核心網(wǎng)絡(luò)免遭下行鏈路攻擊。

2.3船上防火墻

該裝置是每艘船有其自己防火墻，船舶有其控制發(fā)送數(shù)據(jù)（上行鏈路）的政策。這能通過船載通信管理系統(tǒng)內(nèi)置防火墻，或衛(wèi)星通信業(yè)務(wù)商，或航運(yùn)公司ICT部門提供的隔離盒來是實(shí)現(xiàn)。

2.4計(jì)數(shù)機(jī)反病毒軟件

反病毒軟件（AV）防范大范圍如病毒、蠕蟲和其他惡意軟件威脅，但本表中沒有該項(xiàng)目，它不會(huì)提供優(yōu)化保護(hù)。對船舶，要考慮許多因素。AV會(huì)保護(hù)你遠(yuǎn)程計(jì)算機(jī)資產(chǎn)免遭潛在有害病毒，但只有用于全自動(dòng)升級、通知和版本確認(rèn)。不過，衛(wèi)星鏈路使用標(biāo)準(zhǔn)家用稱為AV套件，根據(jù)寬帶應(yīng)用慣例會(huì)有問題。

2.5電子郵件安全

安全公司Retarus今年四月報(bào)告稱全球所有收到電子郵件的六分之一被拒絕原因是AV軟件正面作用。那是全球網(wǎng)絡(luò)有百分之十七某種惡意軟件電子郵件。電子郵件是入侵者獲取進(jìn)入IT網(wǎng)絡(luò)關(guān)鍵輸送鏈條之一。海上電子郵件安全基本方面包括電子郵件接收方請求僅發(fā)送附件。當(dāng)然，這對節(jié)省衛(wèi)星通信費(fèi)是好的實(shí)踐，但對減少來船舶的未知可執(zhí)行文件數(shù)量也是重要的。罪犯也想出逃避基本掃描的簡單方法。知道了許多AV系統(tǒng)就掃描文件名的第一個(gè)‘點(diǎn)，他們簡單地把真正文件擴(kuò)展名藏在第二‘點(diǎn)之后。使用能掃描全名并會(huì)發(fā)現(xiàn)企圖使用這騙局的文件非常重要。

2.6 URL和內(nèi)容過濾

內(nèi)容過濾能在不同層次上實(shí)施，根據(jù)需要使用具體描述或附加層。例如你需要船舶VLAN應(yīng)用政策，或具體號碼或特殊用戶嗎？ 能用不同過濾層次來配置船舶分離LAN，包含從不良的一切事情（例如毒品、種族偏見或黑客）到非生產(chǎn)性活動(dòng)（如游戲）對安全威脅。只要船載計(jì)數(shù)機(jī)試圖接入受限網(wǎng)站，如果內(nèi)容過濾功能啟用，會(huì)阻擋該用戶或改到給出有關(guān)違反政策信息的網(wǎng)站上。

2.7用戶接入和政策

船舶網(wǎng)絡(luò)建立最實(shí)際用戶接入?yún)f(xié)議很重要。這能從岸上實(shí)施，但有充分理由在船舶上實(shí)施來減少寬帶使用。最首要和最明顯因素是用戶身份驗(yàn)證。網(wǎng)絡(luò)上認(rèn)可用戶嗎？一旦認(rèn)確認(rèn)，根據(jù)轉(zhuǎn)換模式，用戶接入能基于如具體時(shí)間段來確定。用戶預(yù)配置協(xié)議也指可以發(fā)現(xiàn)任何未驗(yàn)證接入的企圖，或保持使用形態(tài)的追蹤。例如，只要一個(gè)具體裝置開始消耗比通常更多的帶寬，那么，它可能受到罪犯的損害。

2.8保障遠(yuǎn)程接入

就維護(hù)和故障診斷而言，遠(yuǎn)程接入船舶網(wǎng)絡(luò)能節(jié)省時(shí)間和金錢。不過有時(shí)使用公共IP地址，它為或許是攻擊者打開了門，因?yàn)樗鼤?huì)觸及Internet任何地方。

遠(yuǎn)程接入必須由IP白名單來保障，或不使用公共IP。取而代之的是應(yīng)該使用總部有用戶名、密碼的VPN或岸上VPN客戶端。

2.9軟件維護(hù)和更新

船舶幾乎沒有IT技術(shù)員，所以非常多復(fù)雜問題軟件需要技術(shù)員來船，開支大且操作上處理困難。船舶PC網(wǎng)絡(luò)IT管理遠(yuǎn)程完成越來越普遍。所有PCs能保持最新或從岸上接入修復(fù)具體問題。例如PC如果需要清潔安裝Windows軟件，只要遠(yuǎn)程控制處理，不必船舶任何干預(yù)。

2.10系統(tǒng)備用

只要使用表中項(xiàng)目來增強(qiáng)航運(yùn)公司IT網(wǎng)絡(luò)的，那么可能就不再需要備用系統(tǒng)。盡管如此，有一個(gè)自動(dòng)備用到合適的第二套系統(tǒng)是IT好的慣例，以防硬件故障。

考慮到遠(yuǎn)程船舶網(wǎng)絡(luò)性質(zhì)，船舶配備用系統(tǒng)是最好解決方案，任何問題能直接解決，而不是在港等待備用數(shù)據(jù)并安裝。

2.11總部互連

使用基于VPN的MPLS好處巨大。這從根本上把岸上辦公樓網(wǎng)絡(luò)延伸到船舶。就總的組織IT系統(tǒng)效率和連貫性而言，非常受人歡迎。不過，因?yàn)楸举|(zhì)上你在海上運(yùn)行的網(wǎng)絡(luò)與地面上網(wǎng)絡(luò)一樣，所以你一方受到惡意軟件或病毒滲透意味著你能容易感染其他方。雖然增加加密協(xié)議會(huì)建立另外一層安全保障，但加密方法應(yīng)該選擇在使用的衛(wèi)星通信，因?yàn)橛行┘用茴愋阅鼙绕渌惺褂酶鄮?。此外，用戶?yàn)證加密也能改善應(yīng)變能力。實(shí)施最新加密標(biāo)準(zhǔn)和技術(shù)是關(guān)鍵。

2.12員工培訓(xùn)和警覺意識

網(wǎng)絡(luò)罪犯明白他們的目標(biāo)是未受培訓(xùn)人或未有計(jì)算機(jī)經(jīng)驗(yàn)人群。只要任何種惡意軟件真進(jìn)入船舶PC網(wǎng)絡(luò)，在攻擊成功之前有最終一步。該文件必須被實(shí)施，十有八九，做這事一定是人。所以與技術(shù)網(wǎng)絡(luò)安全解決方案同樣重要的是強(qiáng)有力PC和通信系統(tǒng)使用政策，由定期復(fù)習(xí)培訓(xùn)支撐。只要你的船員具備網(wǎng)絡(luò)安全意識，他們是你的最后防線；你的最后守護(hù)避免系統(tǒng)暴露給攻擊者。

3船舶網(wǎng)絡(luò)多層次安全保障

現(xiàn)在因網(wǎng)絡(luò)安全，就組織而言從甲板水手、機(jī)匠到IT 技術(shù)員、船舶管理和最高層管理者在保證組織安全方面休戚相關(guān)。

從技術(shù)角度，有工具減輕或至少大量降低成功攻擊率。本質(zhì)上，人的因素不保險(xiǎn)。人們會(huì)常常發(fā)現(xiàn)打開不應(yīng)該打開文件，所以保證這些文件不進(jìn)入系統(tǒng)才是關(guān)鍵。

安全保障多層方法是取得該效果的最佳途徑，安全保障你的一切防線。

根據(jù)BIMCO：網(wǎng)絡(luò)安全威脅本質(zhì)上是動(dòng)態(tài)的，反威脅保護(hù)是持續(xù)趕超工作。網(wǎng)絡(luò)罪犯行動(dòng)迅速，不斷有新惡意軟件和攻擊變化產(chǎn)生。最為復(fù)雜攻擊抓住尚未了解的缺陷（零日），探測網(wǎng)絡(luò)弱點(diǎn)，長時(shí)間停留在網(wǎng)絡(luò)中。所以，如果要從隨著船舶通信增長而增加的無界網(wǎng)絡(luò)威脅中來保障我們數(shù)據(jù)、我們安全和利益，航運(yùn)業(yè)必須超前工作，防患于未然。endprint