百分之七十的網絡攻擊以應用層為目標。雖然安全的 RTOS 提供了對嵌入式設備的安全至關重要的功能，但這只是基礎，而不是完整的解決方案。需要問的一些問題是：為什么物聯網和嵌入式設備，即使是那些具有安全 RTOS 的設備，仍然容易受到攻擊？哪些漏洞是可能的，哪些漏洞已報告？保護這些設備缺少什么？設計工程師如何確保他們的設備安全？我很高興你問。

高級安全功能是許多 RTOS 供應商的主要賣點?，F代 RTOS 提供多種功能，例如多個獨立的安全層 （MILS） 架構、內置資源配置，以及對 IEC 62304、IEC 61508、IEC 50128、DO-178B/C、EAL 和 ARINC 653 等安全認證的支持認證。此外，許多還提供安全服務，例如身份驗證、訪問控制、數據加密和安全協議。毫無疑問，嵌入式設計工程師現在在 RTOS 中擁有比十年前更豐富的安全工具和更強大的安全基礎。

盡管這一切令人印象深刻，但它仍然只是一個基礎。運行不安全操作系統并通過加密數據通道進行通信的設備顯然是不安全的。反之則不成立。保護操作系統和添加安全協議只是構建安全設備的第一步。

即使有了這些部件，仍然需要考慮重要的安全挑戰。在 RTOS 級別實施安全性后，對協議或應用程序的成功攻擊可能無法使攻擊者完全控制系統，但這并不意味著他無法造成相當大的損害。

有效并通過 RTOS 安全的數據或通信仍可能對應用層構成安全威脅。示例是針對 Web 服務或針對監控和數據采集 （SCADA） 系統的攻擊。最近的一次 SCADA 攻擊涉及反復打開和關閉水泵，直到水泵電機燒壞。盡管使用了安全的操作系統，但這種攻擊集中在應用層并導致設備故障。操作系統的安全性從未被破壞，但設備卻遭到了破壞。多達 70% 的網絡攻擊針對應用層，很明顯，安全必須擴展到應用層。

應用層攻擊

2013 年，安全研究員 Craig Heffner 在許多 D-Link 路由器的固件中發現了一個后門。這些路由器中的 HTTP 服務器包含一個繞過標準身份驗證過程的后門。Web 服務器檢查瀏覽器用戶代理，如果它與“xmlset_roodkcableoj28840ybtide”匹配，則跳過身份驗證檢查。向后讀的字符串“由 04882 joel backdoor 編輯”表明這是一個故意植入的后門。

后門提供了對設備配置功能的訪問。在同一個 D-Link 路由器中使用的 Web 服務器已經包含許多漏洞，其中一些可以在某些情況下用于允許遠程代碼執行。

在澳大利亞，Vitek Boden 從 2000 年 1 月開始對 Maroochy Water Services 的 SCADA 系統發動了為期三個月的戰爭，導致數百萬加侖的污水流入陽光海岸郊區的水道、酒店場地和運河。這是一個有趣的案例研究，因為肇事者不僅導致泵在應有的時候停止運行，而且他還能夠阻止報告警報，使問題進一步復雜化。這個例子也顯示了內部攻擊的危險，因為 Boden 是 Maroochy Water Services 的前承包商。

其他廣泛報道的針對應用層服務的攻擊包括對支持網絡的 IP 攝像頭和保姆攝像頭的攻擊，這些攻擊的安全性出了名的薄弱。快速的 Google 搜索將顯示針對基于網絡的安全攝像頭、保姆攝像頭和 IP 攝像頭的多份報告。這些漏洞允許未經授權的用戶查看來自攝像機的視頻流，從而允許他們監視攝像機設置為觀看的任何內容。更糟糕的是，在某些情況下，他們甚至可以指示“攝像頭開啟”燈不激活，導致受害者不知道他們正在被監視。

應用層安全

所有這些攻擊的共同點是它們沒有針對底層操作系統中的漏洞，而是依賴于應用層的漏洞。它們的另一個共同點是它們都利用了系統的標準接口。在每種情況下，應用層都允許未經授權的方執行合法命令。

為了保護嵌入式設備的應用層免受網絡攻擊，需要一組功能來確保應用程序只處理來自授權用戶的命令，確保所有處理的命令都是有效的（例如，包含合法數據）并且所有命令都是適當的（例如，改變化學加工廠的成分比例或加工溫度）。為設備提供更高級別安全性的其他功能包括檢測和報告可疑命令或活動的能力、允許在確實發生問題時進行審計的命令歷史記錄以及確保設備數據受到保護的數據保護。

工業控制系統的應用安全

工業控制系統在許多方面都是現代嵌入式和物聯網設備的典型特征。它們通常使用安全的 RTOS 構建，提供執行關鍵功能的客戶應用程序，并且可以通過以太網或 Wi-Fi 網絡接收的消息進行控制。

出于我們的目的，請考慮在化學制造廠的生產過程中使用的工業控制系統的示例。這些系統經常使用基于以太網的控制協議（例如 EtherNet/IP 或 Modbus TCP）進行配置、控制和報告。控制協議規定了化學處理中涉及的各種參數的操作。這些可以包括執行處理的溫度、比例和成分、各個處理階段的時間、流速等。除了控制協議（Modbus TCP、EtherNet/IP 等），設備可能包括一個用于查看配置和處理信息的 Web 界面，以及一個用于下載新固件文件的 FTP 界面。

雖然大多數針對應用程序的網絡攻擊都試圖利用應用程序接口中的弱點，但它們也可能攻擊應用程序實現，或設備支持的接口/應用程序之間的交互（表 1）。

表 1：網絡攻擊的類型以及它們如何利用系統中的弱點。

應用程序協議過濾提供對應用程序接口和實現攻擊的保護。如果設備包含嵌入式防火墻，則可以擴展防火墻以執行協議過濾。否則，可以實現應用程序保護 API 來為設備執行協議過濾。特定于應用程序的協議過濾應提供：

協議驗證——確保所有消息都符合協議規范并驗證所有數據是否有效且在范圍內。

策略實施——協議過濾器應支持用戶定義的策略，以將數據范圍值限制在設備或安裝特定范圍內。例如，協議可能允許 0 到 100 的值范圍，但設備的操作可能只允許 40 到 60 范圍內的值。協議過濾器應該支持這個更受約束的值集。

訪問控制——ModbusTCP 等工業協議不提供任何訪問控制機制。因此，設備接收到的任何合法 Modbus 命令都會被處理。訪問控制策略可以在應用過濾器中實現，以控制允許哪些設備向設備發送命令。例如，如果 Modbus 命令不是來自白名單上的機器，則可以配置 IP 地址白名單并阻止它們?？梢詾楦毩６鹊目刂铺峁╊~外的控制。

語義過濾——工業控制設備的一個重大挑戰是編碼規則以回答“這個命令是否有意義”的問題。雖然協議強制、策略強制和訪問控制強制確保接收到的命令是合法的并且來自受信任的設備或機器，但它們仍然不能解決授權內部人員意外或惡意更改的問題。語義過濾試圖防止諸如命令的快速循環或以操作上不正確的方式更改值之類的事情，例如在延長的時間段內設置超過流出率的流入率。

命令審計日志——記錄應用程序執行的所有命令，以備以后分析，以防出現問題。

入侵檢測 API——允許設備工程師記錄和報告每次訪問、身份驗證嘗試或任何其他入侵事件的 API。例如，如果 Web 界面包含使用用戶名/密碼的身份驗證，則應使用此 API 記錄每次登錄嘗試。然后，入侵檢測 API 會將此事件報告給管理系統，管理系統將分析接收到的數據并檢測以設備本身無法實現的方式探測單個設備或多個設備的嘗試。該設備可能沒有智能或信息來區分忘記密碼的系統管理員的重復訪問嘗試和黑客的系統探測。

事件報告——提供一種在檢測到異常行為時發送警報的機制。

數據防篡改檢測——這是使用靜態配置數據的安全散列來實現的，這讓系統可以檢測到何時進行了未經授權的更改。數據防篡改可以檢測跨應用程序攻擊，例如未經授權的用戶通過 FTP 或 Web 界面更改配置數據。

應用層安全框架

應用層安全框架，例如 Icon Labs Floodgate Defender，為嵌入式設備中的應用安全提供框架（圖 2）。該框架包括：

閘門衛士

應用協議過濾引擎和嵌入式 IDS/IPS

水閘安全

用于防篡改保護的安全文件哈希

運行驗證安全哈希的審計任務

水閘意識

用于事件報告和命令審計日志記錄的用戶 API

閘門代理

基于云的管理系統的接口支持

事件和審計日志

安全策略的管理和執行

系統級防火墻過濾和入侵檢測功能

圖 2：嵌入式應用程序的安全框架應保護設備免受無效和未經授權的命令、保護數據以及檢測和報告異常流量。

審核編輯：郭婷