ICS-Sniper 利用 VPN 流量元数据在加密 ICS 通信中实施定向黑洞攻击

该论文提出名为 ICS-Sniper 的攻击方法，证明即使工业控制系统（ICS）使用 VPN 隧道和标准安全措施保护站点与 SCADA 服务间的通信，处于中间位置的互联网攻击者仍可在不破解加密、不渗透 ICS 边界且不了解控制逻辑的情况下破坏系统运行。攻击者通过分析 VPN 流量的元数据（包括数据包大小、方向和时序），识别出被称为“关键超周期”的窄时间窗口，这些窗口内极可能包含高度关键的指令或数据。

在随后的操作周期中，ICS-Sniper 会在这些关键超周期内丢弃少量承载有效载荷的数据包，从而干扰 ICS 的操作。作者在两个真实的现代安全水处理（SWaT）工厂测试平台上演示了三种攻击，这些攻击能够违反 ICS 的运行安全，同时规避最先进的 ICS 攻击检测器。材料未提及具体的丢包比例数值或攻击成功的具体物理后果细节，仅确认了潜在的安全违规风险。

事实层面，该研究证实了基于元数据的侧信道分析可被用于针对加密 ICS 流量进行精准干扰。推断层面，现有的 ICS 安全架构若过度依赖加密本身而忽视流量模式分析，可能在面对此类非侵入式攻击时存在盲区。猜测层面，随着更多 ICS 服务上云，此类基于流量特征的分析攻击可能会成为新的常态，但这需要进一步的实际部署验证。