許多人只要看到「風車、木屐和鬱金香」，第一時間就會直接聯想到荷蘭這個國家，而位於西歐，有低地國之稱的荷蘭，具備便利的海空運輸利基，以及國民年平均所得GDP超過5萬美元的高水準經濟發展水平，更成為許多新創育成產業的搖籃。

荷蘭首都阿姆斯特丹在1994年設立「阿姆斯特丹網際網路交換中心（AMS-IX）」之後，更成為全球最大的網路傳輸節點之一，高品質的網路基礎設施，不僅奠定荷蘭數位經濟發展的重要基礎，同時帶動荷蘭蓬勃的數位創新創業的契機。

但是，高品質的頻寬，卻也讓荷蘭成為駭客鎖定的網路犯罪溫床，成為歐洲滋生許多傀儡網路的國家之一。

此外，歐洲國際法院所在地的海牙，不僅是許多荷蘭政府機關所在地，更成為該國資訊安全技術產業發展的中心。因此，荷蘭也是歐洲國家中，相當早期就開始重視網路安全的國家之一。

但隨著網路技術發展變遷迅速，加上駭客攻擊手法，慢慢從鎖定一般的資訊科技系統（IT）發動攻擊，後來逐漸鎖定許多關鍵基礎設施產業系統監控與資料擷取（supervisory control and data acquisition，SCADA）以及工控系統（Industrial Control System，ICS）的營運科技（Operational Technology，OT），也使得許多關鍵基礎設施業者開始關注，包括OT相關的資訊安全政策、技術與產品發展等。

身為西歐重要的資訊安全重鎮國家，荷蘭也必須制定面對與因應各種網路威脅的國家網路安全策略，在2014年，便由三位荷蘭學者共同撰寫一份荷蘭國家網路安全研究議題：數位生活的信任與安全（National Cyber Security Research Agenda — Trust and Security for our Digital Life）的報告，便成為荷蘭接下來做為制定國家網路安全政策時重要的策略參考。

其中一位報告撰寫者，就是現任荷蘭恩荷芬理工大學（Technische Hogeschool Eindhoven）專任教授暨網路小組召集人，他也同時是，專注於關鍵基礎設施等OT安全的荷蘭資安公司SecurityMatters共同創辦人Sandro Etalle。

Sandro Etalle專精研究關鍵基礎設施的網路安全性多年，他也代表荷蘭政府與荷蘭的資安產業業者，與臺灣的關鍵基礎設施業者進行多方面的經驗交流。「知道敵人在哪裡，怎麼入侵的，是掌握關鍵基礎設施安全性最重要的守則。」他說道。

透過可視化的網路工具，了解威脅從何而來

「有問題並不可怕，但可怕的是，根本不知道問題是什麼，」因為不知道問題在哪裡，當然，也就不知道應該怎麼解決這樣的問題。

這不只是可以形容人生百態，對於許多公私部門以及關鍵基礎設施業者，在面對不知道問題點發生在何處所帶來的資安威脅，更是最具體的形容。

Sandro Etalle分享他對於關鍵基礎設施的SCADA以及ICS系統的經驗指出，「許多資安人員並不會意識到，系統內發生什麼樣的資安事件，直到這起資安事件爆發後，才會發現原來出事了。」

因此，他認為，不管是面對企業內IT系統的資安威脅，或者是OT系統帶來的資安風險，如何讓威脅「可視化」是非常關鍵的問題。

而從OT系統的安全性來說，Sandro Etalle認為，首先，就是要知道發生什麼事情，這就必須要事先了解，包括SCADA和ICS系統的網路運作模式；再者，必須要有好的工具，可以協助IT以及資安部門，進一步了解系統內部發生的事情。

他也說，很多時候，關鍵基礎設施的業者會很訝異，有一些資安事件的發生，往往都會出乎人意料之外。「工欲善其事、必先利其器」而這樣的工具，就必須可以做到「可視化」，可以讓業者清楚明白相關的資安威脅是什麼，從哪裡進入關鍵基礎設施業者的內部系統，又是如何在內部橫向移動，又會透過哪個通訊埠，對外傳送相關的機敏資料等。

要了解工控系統資安風險在哪裡，就必須仰賴可視化的IT工具做為輔助。── SecurityMatters共同創辦人 Sandro Etalle　攝影／洪政偉

持續監控網路流量與系統設定，找出異常

接下來，要做的事情是，持續性的監控每天日常營運的系統，尤其是所有要連上網路的各種系統，務必要監控所有的網路流量，察覺流量是否有任何異常，以及防火牆的設定是否正確等。

Sandro Etalle指出，透過長期的監控觀察，這些關鍵基礎設施業者甚至會發現，有一些裝置系統，例如筆記型電腦或者是某一些物聯網裝置，只要一連上內部系統，就會有設定遭到部分或是微幅修改，如果沒有長期且持續性的監控資料作為歷史性的參考資料，就不可能有足夠的背景資料，去發現這樣的異動與異常。

Sandro Etalle表示，當資安人員可以察覺這樣的設定異動時，就可以發現，哪些系統的漏洞其實已經遭到駭客利用，在找出相關的入侵與對外傳送的切口後，就可以進一步修補相關的漏洞。

在臺灣，有很多軍事或者是關鍵基礎設施，會採用實體隔離的政策，以確保內部網路的安全性。不過，Sandro Etalle指出，隔離政策並不是百分之百有效的政策，像是在2010年發現的Stuxnet惡意程式，就是順利入侵應該是獨立網路的伊朗核電廠。

他說，這些入侵關鍵基礎設施的駭客，往往都是由國家支持的駭客集團，為了要達到入侵的目的，不管要投入多少的成本，這些國家支持的駭客集團都會想盡各種方式，知道鎖定的對象究竟是使用哪一版的PLC，或者是使用哪些設備，而這些軟硬體又有哪些弱點可以利用，務必要做到入侵鎖定對象的SCADA系統或工控系統。

因此，他認為，隔離政策在某些時候或許會有效，但這絕對不會是最好的方法，因為，還必須要搭配長時間的持續監控，知道誰才是發動這類APT（進階持續性威脅）攻擊的攻擊者，進一步搭配多種配套的縱深防禦策略，才有可能達到良好的資安防禦方式。

關鍵基礎設施的工控系統，遭植入惡意程式帶來風險

關鍵基礎設施的SCADA系統或是工控系統，遭到惡意程式入侵的案例，近年來更是接連不斷的發生，例如，在2015年耶誕節前夕爆發的烏克蘭電廠，遭到惡意程式BlackEnergy入侵，駭客取得機敏資料並存取內部網路，手動打開變電站斷路器，導致烏克蘭十萬戶用戶大停電，同時發動DoS攻擊，阻止用戶回報停電的問題。

甚至是，日前資安公司調查發現，有某一間石油公司所使用的施耐德（Schneider）Triconex製程安全系統（Safety Instrumented System，SIS），被植入特別設計的惡意程式Triton與TRISIS，讓駭客可以遠端控制製程安全系統。這也是第一次工控領域發現製程安全系統遭到駭客入侵的事件。

Sandro Etalle表示，這些製程安全系統會監控生產設備狀況，旁邊會有很多確保系統以維持生產系統可以正常運作，避免發生意外當機，或者是超過系統負載而產生危險。

但他說，這起事件讓駭客可以透過惡意程式入侵製程安全系統後，駭客就可以從遠端控制，不論是跳過製程安全系統的控制權，強制停止製程運作，或者是，讓許多應該確保製程安全系統安全運作的確保系統，不會即時發揮確保系統安全的功能，例如關掉氣閥、停止加熱等功能，都會讓製程安全系統的安全產生很高的風險。

「這些關鍵基礎設施的SCADA或是ICS系統，一旦爆發不可預期的資安風險，除了會造成單純的電腦或系統運作中斷，還有可能造成這些關鍵基礎設施業者的營運中斷，一個不小心，牽涉到核電廠、水廠、煉油廠種種的關鍵基礎設施業者，甚至可能引發實體的大災難。」Sandro Etalle說道。

SecurityMatters共同創辦人SandroEtall完成的數位生活的信任與安全報告，成為荷蘭政府制訂資安政策時的參考。(圖片來源／ICT Innovatie Platform Veilig Verbonden)

從6個層面提升SCADA與工控系統的韌性

由於關鍵基礎設施往往攸關許多民眾的日常生活，一旦發生資安事故，往往影響層面甚鉅。因此，關鍵基礎設施業者要如何提升SCADA與ICS系統的韌性，Sandro Etalle建議可以從6個層面著手進行。

首先，就是要做到資產清單（Asset Inventory），了解有哪些系統與裝置在運行中，並使用哪些網路通訊埠相互溝通等；接下來，就要進行風險評估（Risk Assessment），找出哪些系統是高風險的系統，一旦遭到危害，會對業主帶來重大的風險，包括營運與服務中斷，或者是造成實體災難等。

第三點就是要做到持續的網絡監控（Network Monitoring），Sandro Etalle認為，唯有持續不斷的監控，才能真正掌握網路流量的異常，才有辦法找到哪些是駭客入侵的關鍵缺口。第四點則是威脅獵捕（Threat Hunting），以往針對式攻擊（Target Attack）當道，面對越來越複雜精準的攻擊手法，要做到制敵機先，就必須透過威脅獵捕的方式，找出可以提升對敵人情資掌握度並提高內部防護手法的作法。

第五點則是做到資安事件響應（Incident Response），面對每一起資安事件的發生，找出發生原因，並作相關的事件鑑識與處理，從中學習經驗教訓後，就可以內化成企業內部因應的標準作業程序。最後，就是要做到標準合規（Standards Compliance）。法律是所有關鍵基礎設施業者維運的最低限度，一旦不能符合法令規範的要求，甚至會面臨停止營運的風險。

Sandro Etalle表示，荷蘭面對類似烏克蘭這樣的關鍵基礎設施停電的事件，之前也有思考過類似的因應政策，荷蘭透過成立國家級的資安中心，針對關鍵基礎設施的業者提供熱線，讓彼此業者之間，可以在第一時間掌握各種關鍵的資安風險，並減少可能的危害。

他指出，打造關鍵基礎設施的安全是一條漫漫長路，荷蘭透過成立資安中心，由專家提供相關資訊以協助業者提升工控系統的韌性；反觀臺灣，因為政府政策支持，要提升相關的關鍵基礎設施安全時，不需要說服太多人就可以得到足夠的共識，這都有助於臺灣關鍵基礎設施業者提升工控系統的安全性。

 CTO小檔案 

Sandro Etalle

SecurityMatters共同創辦人

學經歷：1995年取得阿姆斯特丹大學電腦博士，先後在義大利與荷蘭大學任教，2007年專任荷蘭恩荷芬理工大學教授迄今。2009年，與兩名學生共同創立資安公司SecurityMatters擔任執行長。他是荷蘭制定國家網路安全政策重要顧問，與2位學者合寫的國家網路安全研究報告，成為國家網路安全政策的參考。

 公司檔案 

SecurityMatters

● 成立時間：2009年

● 主要業務：鎖定關鍵基礎設施產業提供資安解決方案

● 總部：荷蘭

● 分公司：美國

● 創辦人：由Sandro Etalle、 Damiano Bolzon及 Emmanuele Zambon共同創業

● 員工人數：16人（2014年）

● 網址：www.secmatters.com

 公司大事紀 

● 2009年：創立SecurityMatters

● 2014年：入選為Gartner公司2014年的「最酷資安業者」

● 2016年9月：獲得A輪融資500萬美元