借助基于IIoT的运营来构造产品的大多数公司可能会密切关注供应链，以提供可预测的原材料和服务流，从而使他们能够推出产品并保持业务繁荣。
但是第二条基本供应链受到的审查较少。而且，如果该供应链的安全性受到某种程度的损害，企业可能会陷入停顿。
被忽视的供应链提供了构建IIoT基础设施的组件。从安全角度来看，这些设备的购买者位于供应链的末端，缺乏对供应链的足够透明性。实际上，跟踪构成所交付的IIoT设备的内部元素的来源将是一个挑战。
因此，与IIoT绑定的组件附带可利用的安全漏洞并不少见。IIoT供应链的复杂性和全球影响力只会使问题更加复杂，单个设备可能由数十个组件制造商提供的零件制成。
一家物联网网络安全公司Finite State在2019年发布的报告《Finite State Supply Chain Assessment》中指出：“数十个由全球公司制造的组件会通过多层供应商和集成商反应，直到它们被放置在产品上，由OEM进行测试和包装为止。”
IIoT基础设施面临的风险是真实存在的
大多数网络运营商都认识到IIoT供应链风险，但是特定的漏洞很难隔离。这些部署通常意义深远，超出制造商的范围，延伸到托运人、商人和其他商业伙伴。随着网络的扩展并包括其他集成点，一小部分恶意代码将被复制的风险只会增加。实际上，代码本身可能不是恶意的，但可以提供一个可能危害系统的开放端口。
Finite State首席执行官Matt Wyckhouse指出：“仅是亲眼目睹嵌入式系统中有多少漏洞，这是资产所有者没有意识到这些漏洞存在于其系统中的地方。”
一旦违反了IIoT环境，恶意行为者就可以将其用作进一步钻入公司系统的入口。工业控制系统(ICS)和其他生产系统可能会受到威胁，但是如果闯入者可以逃避安全障碍并进行更深入的研究，则可能还会暴露关键的公司应用和相关数据。这全部归因于可疑固件，固件进入了生产传感器、执行器和其他可运行IIoT的供应链。
Wyckhouse解释说：“报告漏洞时，制造商需要一段时间才能解决该漏洞，在那里发布补丁，然后资产所有者才能执行对该设备的更新并为其运行最新版本的固件。” 描述已知漏洞如何持续存在。
ARC咨询小组针对安全提供商卡巴斯基(Kaspersky)在2019年7月发布的《工业网络安全状况》中，超过四分之一(26%)的受访者表示，他们认为“来自第三方的威胁，例如供应连锁店或合作伙伴”成为主要问题，另有44%的受访者表示这是次要问题。有趣的是，所有其他主要安全问题，例如勒索软件(70%)和针对性攻击(68%)都可以通过供应链违规对公司发起。
在同一调查中，有28%的受访者指出，很可能或非常有可能将其公司的ICS或工业控制网络作为攻击目标。
由荷兰安全机构爱迪德(Erdeto)于2019年进行的另一次“全球互联产业网络安全调查”强调，许多公司已经被入侵性物联网攻击所烧毁：“该研究令人震惊地发现，只有17%的物联网设备使用或大型企业制造的产品在过去的12个月中没有经历过网络攻击。”
IIoT供应链如何受到损害
通常，对于为企业的生产线提供服务的供应链，最大的担忧是生产活动可能会中断，从而导致生产放缓或停产。对于IIoT供应链，威胁要隐蔽得多，可能要花几周或几个月才能显现出来。
通常，当IIoT供应链损坏时，它更多是由多米诺骨牌效应造成的，这掩盖了漏洞的来源。
提供固件检查服务的公司Adolus首席执行官埃里克·拜雷斯(Eric Byres)说：“攻击者考虑到了一些受害者，但他们没有直接去攻击受害者，而是去了二级工业物联网供应商，破坏了他们的网站，并用特洛伊木马版本替换了合法固件和软件。”
不知情的IIoT网络管理员会进行适当的网络维护，可能会不经意地扩散恶意代码。 Byres说：“他们立即下载并将其带入他们的工厂，然后突然有这种恶意软件在工厂内部，防火墙内部以及所有内部进行控制。”
闯入者可能闯入工业网络，然后破坏公司数据网络。 “破坏者攻击一个站点，他们得到了这种可靠的乘数效应，” Byres继续说道。 “对于攻击者来说，这是非常可观的投资回报。”
大多数IIoT环境包括成百上千的较旧设备-传感器和其他组件可能已经使用了十年(或更长时间)。专家们认为，设备越旧，由于落后于支持和更新，就越有可能带来安全风险。
例如，有限状态报告描述了某些制造商制造的组件，这些组件包括使用2003年发布的OpenSSL版本的代码，并且众所周知(并记录在案)极易受到攻击。
某些IIoT供应链安全漏洞可能是故意插入的，是无辜的并且是出于恶意目的。一个例子是后门。一件软件中的后门允许访问固件的核心部分，从而访问组件本身，而无需通过常规的身份验证过程。
意图良好的后门通常由组件制造商开放，以为技术人员提供支持和监视设备的切入点。这些后门通常称为调试端口，还使恶意行为者易于访问。同样，旨在允许与工业控制系统集成的应用程序编程接口(API)可能会无意间提供了另一种损害设备操作的方式。各国通常会在其出口产品上留下比较邪恶的后门，因为它们希望以后再使用它们来处理知识产权(IP)或其他数据。
一般而言，工业物联网的供应链比控制得当更像是狂野的西部。
纽约大学的Muhammad Junaid Farooq和Quanyan Zhu发表的研究论文指出：“就安全标准而言，物联网仍然是完全不受监管的技术。” “从设备所有者的角度来看，无法控制上游供应链。并非所有供应商都准备好清楚阐明其网络安全实践并披露其供应链信息。”
恶意攻击者的目标和他们想要的
IIoT供应链的入侵可能导致其他类型的网络违规造成的任何妥协情况。但是，鉴于其本身的性质和功能，“泄漏的” IIoT设备可能导致各种恶意活动和破坏。
勒索软件仍然是攻击的主要动机。许多IIoT供应链渗透也是如此，因为不良行为者可能会阻止或以其他方式对生产产生负面影响，直到支付赎金为止。
在工业环境中，生产中断可能造成更大的破坏。通过更改来自传感器和其他IIoT设备的数据流，可以对机器设置进行操作，从而导致制造过程中出现看不见的问题，从而可能导致产品故障或工厂地面机器(例如机器人设备)在不安全的情况下运行方式。
2020年3月的《 OT安全最佳实践》报告指出，违反工业控制系统可能会产生深远的影响：“其中一些危害包括对人类健康和安全的重大风险，对环境的严重破坏以及财务问题，例如生产损失，以及对一个国家的经济产生负面影响。”
某些垂直行业也已成为关键目标。
“如果您想要一个目标丰富，目标很多的环境，那就去能源、去电网、去石油和天然气。”阿道鲁斯的拜尔斯说。 “由于大流行，现在我们看到的另一个目标丰富的环境是医疗。”
Finite State的Wyckhouse还指出医疗保健是主要目标。 “在过去的几周内，我们实际上在医疗保健行业中看到了破坏性的、威胁生命的破坏性攻击，在大流行期间，勒索软件攻击使医院瘫痪。”
丰厚的报酬并不总是攻击者的目标，有时是目标，例如关键知识产权(IP)中的信息。
通过IIoT环境中的漏洞以到达企业数据网络也是一种常见的策略。 Wyckhouse说：“攻击面每天都在增长，并且变得越来越复杂。” “在某些情况下，我们应该担心一个行为者将供应链用作初始访问机制。”
如何应对IIoT供应链不足
对于大多数公司而言，仅由于网络上的设备数量众多且历史悠久，创建一个更安全的IIoT环境将是一项艰巨的任务。如果您已经有了这些设备的详细而全面的清单，那么您将迈出第一步-否则，这就是开始的地方。
一旦您确定了基础的布局，下一步就是供应链风险评估。确定“宏观”风险，例如勒索情况，数据损坏或IP盗窃。但是，风险评估也需要更细化，在此评估每个设备的潜在漏洞，以及如何将该漏洞组合到更广泛的网络入侵中。
还需要仔细研究公司的网络及其集成方式。例如，通过使用气隙将运营技术环境与IT网络分开，可以将IIoT与Internet隔离。
还应评估IIoT设备供应商，以了解其安全工作的水平。最好的时机是您的公司评估购买产品的时间，因为“在设备生命周期中，操作员对制造商影响最大的时间点是在购买设备期间”。
如果购买IIoT设备的次数很多且频繁，那么最好建立一个正式的评估流程以确保所有供应商和产品都经过适当的审查。
拜尔斯说：“不要只说“我们认真对待安全性”。 “从他们那里获得适当的报告，或者去找第三方进行适当的分析，并真正弄清楚您的供应商是否正在做有关安全性的工作。”
您还可以利用资源，例如美国国家标准技术研究院(NIST)的国家漏洞数据库(NVD)来检查其常见漏洞和披露(CVE)列表。
新兴的服务和应用类别正在涌现，专门用于解决IIoT供应链情况。 Adolus和Finite State是提供服务的公司的示例，这些服务可以帮助用户确定他们已经安装或正在考虑的设备的安全性。
Adolus最初是美国国土安全部的一个项目，后来演变成可商业使用的服务。它建立在一个数据库之上，该数据库收集与数千种IoT设备相关的已发布和轶事信息，包括所有已知漏洞的汇总。最终用户或设备制造商可以利用数据库来跟踪组件的沿袭，并找到有关其组成部分和供应商的详细信息。
“我们的技术是建立这些软件的物料清单，” Adolus首席执行官Eric Byres说。 “因此，我们不仅可以了解您刚刚购买和安装的基本产品，还可以了解其附带的所有组件的全部信息。”
有些国家还对这一问题采取了新颖的方法。该公司的技术可以有效地解析固件，以确定它是否会对IIoT基础架构带来风险。这一点尤其重要，因为正如Finite State的首席执行官Matt Wyckhouse指出的那样：“当应用固件更新时，该固件会替换该设备上的所有软件。它完全替代了它，因此可以完全改变设备的风险状况。”
