工控系統(tǒng)安全狀況亟待改善

　　然而，一些安全專家認(rèn)為，這類惡意軟件依然超出了普通攻擊者的能力范圍。

　　“創(chuàng)建能夠成功攻擊ICS系統(tǒng)的惡意軟件并非小事，這需要許多戰(zhàn)略和計(jì)劃，” 漏洞和情報(bào)管理公司Secunia首席安全官Thomas Kristensen表示，顯然，能夠發(fā)出這種攻擊的人和組織數(shù)量也是有限的。

　　Peterson表示，大部分部署SCADA和DCS（分布控制系統(tǒng)）的應(yīng)用程序和硬件并沒有考慮安全發(fā)展生命周期（Security Development Lifecycle，SDL）。想想上個(gè)世紀(jì)90年代后期的微軟吧，它充滿了普通的程序錯(cuò)誤，這些錯(cuò)誤會(huì)導(dǎo)致bug、漏洞的出現(xiàn)。這意味著，可編程序控制器（programmable logic controllers，PLC）和其他領(lǐng)域的設(shè)備在設(shè)計(jì)時(shí)就是不安全的。

　　Digital Bond公司發(fā)布了幾個(gè)漏洞，這些漏洞是在許多PLC（SCADA硬件組件）中都被發(fā)現(xiàn)。這是一個(gè)名為Project Basecamp研究項(xiàng)目的一部分，其目的是為了顯示，許多現(xiàn)存的PLC有多么脆弱和不安全。

　　Santamarta認(rèn)為，今天，研究人員發(fā)現(xiàn)SCADA軟件中的漏洞變得更容易了。

　　SCADA漏洞信息甚至有一個(gè)市場(chǎng)。由安全專家Luigi Auriemma和Donato Ferrante創(chuàng)建的馬耳他安全公司ReVuln將軟件漏洞信息出售給政府機(jī)構(gòu)和其他私人購買者。ReVuln出售的組合中，40%以上的漏洞是SCADA漏洞。

　　Donato Ferrante認(rèn)為，有趨勢(shì)表明，在SCADA安全領(lǐng)域中的攻擊和投入都在增長(zhǎng)。實(shí)際上，如果SCADA市場(chǎng)中幾個(gè)大的公司投入很多錢來強(qiáng)化這些基礎(chǔ)設(shè)施，這就意味著，SCADA/ICS主題正在并繼續(xù)成為來年的熱點(diǎn)。

　　然而，保護(hù)SCADA系統(tǒng)不像常規(guī)IT基礎(chǔ)設(shè)施和計(jì)算機(jī)系統(tǒng)那樣直接。即便針對(duì)SCADA的安全補(bǔ)丁已經(jīng)被安全廠商發(fā)布，漏洞系統(tǒng)的擁有者也需要很長(zhǎng)時(shí)間來部署它們。

　　Luigi Auriemma表示，針對(duì)SCADA系統(tǒng)的自動(dòng)補(bǔ)丁極少。大多數(shù)時(shí)候，SCADA管理員需要手動(dòng)申請(qǐng)適當(dāng)?shù)难a(bǔ)丁。

　　Kamluk認(rèn)為，這種情況很糟糕。SCADA系統(tǒng)的主要目標(biāo)是持續(xù)運(yùn)轉(zhuǎn)，這意味著安裝補(bǔ)丁或更新不能重啟系統(tǒng)或程序。

　　另外，由于任何意外行為都可能對(duì)系統(tǒng)運(yùn)行都可能產(chǎn)生重大影響，因此，在部署到真實(shí)環(huán)境前，SCADA安全補(bǔ)丁需要經(jīng)過完整的測(cè)試。

       多數(shù)SCADA安全專家希望，像PLC這樣的工控設(shè)備應(yīng)該考慮到安全，來重新設(shè)計(jì)。

　　Peterson認(rèn)為，有著基礎(chǔ)安全措施和計(jì)劃的PLC需要在未來1-3年內(nèi)在多數(shù)關(guān)鍵基礎(chǔ)設(shè)施中部署安全。

　　Santamarta認(rèn)為，理想狀態(tài)是，工業(yè)設(shè)備在設(shè)計(jì)時(shí)就是安全的，但是我們得面對(duì)現(xiàn)實(shí)，這需要時(shí)間。我們不該以IT的視角太過嚴(yán)苛地看待它們。也就是說，每個(gè)人都應(yīng)該認(rèn)識(shí)到該做些事情了，包括工業(yè)廠商。Santamarta表示，由于在設(shè)計(jì)環(huán)節(jié)未充分考慮到安全，ICS擁有者們應(yīng)該采取深度防御措施來保護(hù)這些系統(tǒng)。Kamluk表示，應(yīng)將ICS從英特網(wǎng)脫離，將其放到隔離的網(wǎng)絡(luò)中，嚴(yán)格限制/審計(jì)入口。

　　Kristensen說，關(guān)鍵基礎(chǔ)設(shè)施的擁有者應(yīng)該意識(shí)到，進(jìn)入關(guān)鍵基礎(chǔ)設(shè)施需要單獨(dú)的網(wǎng)絡(luò)或至少單獨(dú)的認(rèn)證信息。 這應(yīng)該對(duì)ICS也是適用的門話題，安全專家們認(rèn)為這是一個(gè)好的開始，然而，迄今為止，很少有進(jìn)展。

　　Peterson表示，“我只是希望，政府能誠實(shí)地公開說這些系統(tǒng)的設(shè)計(jì)是不安全的，在未來1-3年內(nèi)，運(yùn)行關(guān)鍵SCADA和DCS的組織應(yīng)該計(jì)劃更新或替換掉這些系統(tǒng)。”Kamluk表示，政府法規(guī)很有幫助。一些SCADA供應(yīng)商犧牲安全來保證低成本，而不考慮這種做法的風(fēng)險(xiǎn)以及對(duì)人類生活的潛在影響。

　　今年早些時(shí)候，Kaspersky實(shí)驗(yàn)室公布一項(xiàng)OS發(fā)展計(jì)劃，為SCADA 和其他ICS系統(tǒng)提供安全設(shè)計(jì)環(huán)境。Santamarta說，雖然這聽上去像是個(gè)有意思的項(xiàng)目，但這還得看SCADA團(tuán)體和工業(yè)部門對(duì)其作何反應(yīng)。Ferrante表示，關(guān)于新的OS，并沒有足夠的細(xì)節(jié)評(píng)估其特點(diǎn)。我們需要等待官方發(fā)布。不管怎樣，采用新OS的主要問題是它需要能運(yùn)行現(xiàn)有SCADA系統(tǒng)，而不是非要重寫代碼不可。