眾所周知，針對高層建筑的暴力物理攻擊正在增加，但更令人擔憂的威脅將是以網絡攻擊的形式出現(xiàn)，具有災難性的破壞性。作為回應，安全部門保護其高層建筑的安全現(xiàn)在需要的不僅僅是保護物理區(qū)域和周圍環(huán)境，防止可能襲擊建筑的威脅行為者進入。隨著物聯(lián)網設備數量的激增以及運營技術（OT）和信息技術（IT）的融合，他們現(xiàn)在必須以指數級的速度擴大對日益智能化的建筑的訪問控制。隨著進入點的數量呈指數級增長，攻擊面現(xiàn)在對惡意網絡威脅行為者敞開了大門，不僅是在現(xiàn)場，而且來自世界各地。

目前，大多數 100,000 平方英尺或更多的新建筑是具有能源效率和樓宇自動化系統(tǒng) (BAS) 的智能建筑，這些建筑提供自主功能來控制照明、氣候和電梯，以及能源管理、電力分配、火災探測、視頻監(jiān)控和徽章訪問。然而，這些吸引人的好處充滿了安全問題。許多建筑協(xié)議缺乏足夠的網絡安全功能。例如，用于 HVAC 控制的最廣泛使用的數據層協(xié)議之一 BACnet 以未加密的格式部署。盡管出現(xiàn)了更安全的版本，但它們并不常用。

這些自主子系統(tǒng)中的每一個都依賴于成百上千的傳感器和計算機，并連接到本地服務器和 Internet。防止網絡攻擊仍然需要關注大型建筑物的物理布局，因為設備可能位于人們可以輕松訪問的未受保護區(qū)域。網絡攻擊只需要一個受損的物聯(lián)網設備，而數量龐大的設備意味著這可能會在很長一段時間內不被發(fā)現(xiàn)。但顯然，網絡攻擊不需要物理訪問來滲透和破壞 BAS。事實上，這些系統(tǒng)通常安裝在衛(wèi)星設施中，幾乎沒有直接的 IT 支持。

卡巴斯基在 2019 年發(fā)布的一份報告顯示，40,000 座智能建筑中有 37.8% 受到網絡攻擊的影響，其中大部分攻擊試圖破壞控制 BAS 的計算機，其中 26% 的威脅來自網絡，10% 來自可移動媒體，10%來自網絡釣魚鏈接，1.5% 來自公司網絡上的共享文件夾。在大多數情況下，它是以勒索軟件、蠕蟲和間諜軟件的形式出現(xiàn)的常規(guī)惡意軟件，不是專門針對BAS的惡意軟件，而是用于感染任何公司網絡的惡意軟件。

OT 和 IT 網絡安全工作通常是孤立的，OT 和 IT 防御之間的差距被攻擊者利用，他們可以訪問防御薄弱的 OT 系統(tǒng)作為企業(yè) IT 網絡的切入點。 2013 年的 Target 零售連鎖數據泄露事件是針對 HVAC 系統(tǒng)的臭名昭著的網絡攻擊，該系統(tǒng)用于訪問企業(yè)財務系統(tǒng)，竊取超過 4000 萬人的支付卡數據。

在智能建筑中越來越多地使用網絡物理系統(tǒng)帶來了破壞的能力，不僅以損害數據機密性的代價高昂的破壞形式，而且以物理后果的形式更令人擔憂，例如對智能建筑的網絡攻擊這會影響 BAS 的可用性。例如，2017 年有消息稱，奧地利著名酒店 Romantik Seehotel Jgerwirt 遭到網絡攻擊，網絡犯罪分子破壞了電子鑰匙系統(tǒng)，使酒店客人無法進入酒店房間，并擾亂了其他業(yè)務運營。人們很容易想象對關鍵 BAS 功能（例如水、電、通風、電梯以及火警和滅火系統(tǒng)）的網絡攻擊可能引起的人身安全問題，更不用說醫(yī)院或監(jiān)獄的關鍵業(yè)務中斷所帶來的破壞性后果了。

除了上述損害 BAS 機密性和可用性的網絡攻擊示例之外，也不能忽視損害完整性的網絡攻擊。例如，通過 BAS 黑客進行溫度控制可能會導致數據服務器或易腐貨物等物品的物理損壞。對關鍵基礎設施部門工業(yè)控制系統(tǒng) (ICS) 的網絡攻擊因其物理后果而臭名昭著，例如 2015 年導致烏克蘭電網癱瘓的 BlackEnergy 惡意軟件，以及 2010 年導致伊朗核計劃受損的 Stuxnet 蠕蟲，承認作為世界上第一次大規(guī)模網絡戰(zhàn)攻擊。

正如福布斯所指出的，BAS 可能成為網絡攻擊的下一個目標。網絡犯罪分子可以在暗網上出售智能建筑的安全憑證以牟利，更不用說從勒索軟件的要求中獲取大量比特幣支付。這些攻擊背后的威脅行動者不僅僅是受經濟利益驅使的網絡犯罪組織。

潛在的威脅可能包括反對公司政策和產品的黑客活動人士。敵對國家和國家支持的犯罪集團資金充足，高度復雜，有能力破壞建筑活動，并造成物質破壞和生命損失。

潛在的威脅參與者可能包括反對公司政策和產品的黑客行為主義者。敵對的民族國家和國家支持的犯罪集團資金充足且高度復雜，具有破壞建筑運營以及造成物質破壞和生命損失的能力。

無論是出于政治、經濟或其他方面的動機，智能建筑現(xiàn)在都受到威脅參與者的關注。 BAS 中斷可能以業(yè)務停機、經濟損失和公共安全威脅（例如關閉建筑物的電網）的形式對建筑物的商業(yè)租戶造成重大損害。

解決這些關鍵問題需要城市規(guī)劃者、工程師和網絡安全專業(yè)人員之間的合作，以及建筑行業(yè)的網絡安全框架和風險分析工具，以有效應對保護高層智能建筑的當前和未來挑戰(zhàn)。

因此，保護??高層建筑不再只是保護建筑物的物理空間免受潛在的暴力攻擊。此外，網絡安全不再只是防止數據丟失或商業(yè)實體的機密性泄露，而是防止容納大量潛在受影響租戶（包括零售機構）的主要建筑物。

智能建筑內互聯(lián)的BAS設備的網絡安全問題已經延伸到物理破壞的領域，對高層智能建筑的潛在威脅現(xiàn)在包括黑客可以從其他國家遠程訪問整個建筑。雖然經濟損失和名譽損失是嚴重的問題，但造成生命損失的災難性事件現(xiàn)在可能會發(fā)生，不僅僅是恐怖分子或從事工作場所暴力的活躍槍手的實際存在、汽車炸彈或飛機墜毀造成的蓄意撞車，還可能是遠處電腦鍵盤的敲擊。