[论文解读] A Structured Analysis of Information Security Incidents in the Maritime Sector

Monina Schwarz, Matthias Marx+1 more|arXiv (Cornell University)|Dec 13, 2021

Information and Cyber Security被引用 6

一句话总结

本文对过去20年中航运业90起公开报告的网络事件进行了全面分析，辅以专家访谈，揭示了攻击事件存在显著的瞒报现象——估计高达90%的事件未被报告。研究识别出勒索软件和针对特定目标的攻击威胁持续上升，尤其是来自国家支持的攻击者。尽管组织因声誉担忧而有所迟疑，研究仍主张通过威胁信息共享来提升整个行业的网络韧性。

ABSTRACT

Cyber attacks in the maritime sector can have a major impact on world economy. However, the severity of this threat can be underestimated because many attacks remain unknown or unnoticed. We present an overview about publicly known cyber incidents in the maritime sector from the past 20 years. In total, we found 90 publicly reported attacks and 15 proof of concepts. Furthermore, we interviewed five IT security experts from the maritime sector. The interviews put the results of our research in perspective and confirm that our view is comprehensive. However, the interviewees highlight that there is a high dark figure of unreported incidents and argue that threat information sharing may potentially be helpful for attack prevention. From these results, we extract threats for players in the maritime sector.

研究动机与目标

• 识别并分类2003年至2023年间航运业公开报告的网络事件。
• 通过专家访谈评估瞒报程度，并将发现置于更广泛的威胁环境背景下进行 contextualization（语境化分析）。
• 基于事件模式和专家见解，为航运业利益相关方开发一个特定的威胁分类体系。
• 评估威胁信息共享（TIS）作为缓解策略的潜力，尽管组织存在犹豫。
• 提高对航运业日益严峻的网络威胁的认识，特别是来自勒索软件和国家支持行为者的威胁。

提出的方法

• 系统性地收集并分析2003年至2023年间航运业公开报告的网络事件，数据来源包括媒体报道、事件数据库和官方披露。
• 使用基于攻击类型、目标、动机和技术手段的自定义威胁分类体系对事件进行分类。
• 对来自航运组织的五位IT安全专家进行半结构化访谈，以验证研究发现并探讨报告障碍。
• 比较事件随时间的趋势，识别从非针对性恶意软件向更具针对性的勒索软件和间谍活动转变的轨迹。
• 基于专家对信任、匿名性和风险的看法，评估威胁信息共享（TIS）的可行性及其潜在收益。
• 将监管和行业标准（例如欧盟GDPR、关键基础设施报告要求）纳入对事件披露实践的分析。

实验结果

研究问题

• RQ1 过去二十年中，航运业最常见的网络事件类型和动机是什么？
• RQ2 航运业的网络事件在多大程度上被瞒报？导致瞒报的因素有哪些？
• RQ3 非针对性恶意软件与针对性攻击在技术特征和组织特征上存在哪些差异？
• RQ4 航运业组织在威胁信息共享（TIS）方面面临哪些感知障碍，又有哪些潜在收益？
• RQ5 专家对网络风险的感知与实际事件数据相比如何？这对行业整体韧性有何影响？

主要发现

• 2003年至2023年间，航运业共识别出90起公开报告的网络事件及15起概念验证攻击，表明网络威胁呈上升趋势。
• 专家估计仅有10%的实际攻击被报告，意味着未报告事件的“暗数”超过90%。
• 大多数事件属于两类：以获取经济利益为目标的通用型恶意软件（如勒索软件），以及极有可能由国家支持的攻击者发起、用于间谍活动或破坏的针对性攻击。
• 从21世纪初的非针对性恶意软件，明显转向近年来更复杂、更具针对性的攻击和勒索软件，尤其是2017年以后。
• 尽管威胁信息共享（TIS）的价值已被广泛认可，但组织仍因担心声誉损害和对共享伙伴缺乏信任而保持迟疑。
• 本研究结论认为，主动披露成功事件和已阻止事件至关重要，因为此类报告提供的关键学习机会远超过帮助攻击者的风险。