美國(guó)國(guó)土安全部ICS-CERT本周發(fā)布了關(guān)于工業(yè)控制系統(tǒng)（簡(jiǎn)稱ICS）的三項(xiàng)安全公告，再次強(qiáng)調(diào)基礎(chǔ)設(shè)施與工業(yè)網(wǎng)絡(luò)當(dāng)前所面臨的嚴(yán)重安全威脅。

在最近一篇匯總ICS當(dāng)前威脅形勢(shì)的博文當(dāng)中，F(xiàn)ortinet公司的Ruchna Nigam強(qiáng)調(diào)指出：“大多數(shù)工業(yè)控制系統(tǒng)來自不同供應(yīng)商且運(yùn)行著專有操作系統(tǒng)、應(yīng)用程序以及協(xié)議（包括通用電氣、羅克韋爾、DNP3以及Modbus）。結(jié)果就是，基于主機(jī)且面向IT部門開發(fā)的安全方案幾乎根本不適用于ICS?！?/p>

這無疑使得ICS的安全性更為薄弱，而且需要完全由供應(yīng)商負(fù)責(zé)找到并解決安全漏洞。此次發(fā)布的三項(xiàng)公告所援引的全部已發(fā)現(xiàn)漏洞皆由供應(yīng)商獨(dú)立識(shí)別并報(bào)告——然而，我們卻很難驗(yàn)證其修復(fù)手段是否真正解決了問題。

最 近曾發(fā)現(xiàn)羅克韋爾IAB安全漏洞的Ivan Sanchez對(duì)此感到相當(dāng)震驚。在日常工作當(dāng)中，他不斷搜索并發(fā)現(xiàn)新的ICS安全漏洞。就在去年，他發(fā)布報(bào)告指出，單是羅克韋爾公司一家的產(chǎn)品就存在超 過150項(xiàng)風(fēng)險(xiǎn)問題。一般來講，在報(bào)告相關(guān)問題之后，相關(guān)企業(yè)都會(huì)向他做出進(jìn)一步咨詢。

“在95%的情況下，企業(yè)會(huì)請(qǐng)求我重新進(jìn)行測(cè)試，然后再發(fā)布最終公告意見，”Sanchez在接受采訪時(shí)指出?！拔艺J(rèn)為企業(yè)應(yīng)當(dāng)詢問相關(guān)安全漏洞的具體細(xì)節(jié)，而非對(duì)只對(duì)當(dāng)前發(fā)現(xiàn)的問題表示‘感謝’?！?/p>

公告ICSA- 16-056-01描述了羅克韋爾自動(dòng)化公司旗下集成化架構(gòu)構(gòu)建工具（簡(jiǎn)稱IAB）應(yīng)用中的一項(xiàng)內(nèi)存訪問沖突錯(cuò)誤。一旦被成功利用，其將允許攻擊者以等同 于IAB工具的權(quán)限執(zhí)行惡意代碼。其只能由本地用戶加以利用，而且目前已經(jīng)得到修復(fù)。不過在安裝最新版本之前，仍然建議用戶避免利用IAB.exe打開任 何非受信項(xiàng)目文件；另外，應(yīng)以‘用戶’角色運(yùn)行全部軟件，而非以‘管理員’角色運(yùn)行。

公告ICSA-16-061-03描述了一項(xiàng)基于cookie的安全漏洞，其允許遠(yuǎn)程攻擊者通過EG2 Web Control對(duì)Eaton Lighting Systems進(jìn)行配置。Eaton方面已經(jīng)修復(fù)了這項(xiàng)漏洞，但仍需時(shí)間將其推廣至全部系統(tǒng)當(dāng)中。

公告ICSA-16-096-01描述了Pro-face旗下GP-Pro EX HMI軟件中的四項(xiàng)安全漏洞：其一導(dǎo)致信息泄露，兩項(xiàng)屬于緩沖區(qū)溢出，另一項(xiàng)則為硬編碼憑證問題。目前四項(xiàng)漏洞皆已得到修復(fù)。

一系列強(qiáng)有力的證據(jù)表明，目前ICS安全問題要遠(yuǎn)比Fortinet博文中的陳述更加可怕。

事實(shí)上，Ivan Sanchez在采訪中表示，“ICS業(yè)界必須改進(jìn)自身代碼質(zhì)量并引入安全與審計(jì)控制機(jī)制。我已經(jīng)對(duì)三成已經(jīng)發(fā)現(xiàn)的問題進(jìn)行了公布，而該行業(yè)還沒有充足的時(shí)間將其全部修復(fù)——因此我得說，這絕對(duì)是個(gè)大麻煩?！?/p>

盡管問題的客觀性已經(jīng)成為共識(shí)，但就目前而言其很大程度上仍只是種潛在問題。

《化工設(shè)施安全新聞》作者Patrick Coyle解釋稱，“一方面，幾乎每一套控制系統(tǒng)當(dāng)中都存在著大量安全漏洞，我們需要對(duì)其認(rèn)真評(píng)估并阻止一切將其作為目標(biāo)的入侵活動(dòng)。而在另一方面，這些 ICS控制系統(tǒng)實(shí)在太過復(fù)雜，組織起有效的進(jìn)攻方案需要極為豐富的ICS相關(guān)專業(yè)知識(shí)?！?/p>

他預(yù)計(jì)未來攻擊活動(dòng)將持續(xù)增加，但這種增加主要體現(xiàn)在質(zhì)量而非數(shù)量層面?！拔艺J(rèn)為我們將看到更多指向ICS的低效攻擊行為。正如Verizon報(bào)告的水力系統(tǒng)入侵事件一樣，攻擊者僅僅是隨意修改了設(shè)定值，但其很快被發(fā)現(xiàn)，而安全系統(tǒng)或警報(bào)操作員則輕松解決了問題?！笔聦?shí)上，那些蓄謀已久的惡意活動(dòng)才最為可怕。

不過他提醒稱，“我最擔(dān)心的問題在于，一部分惡意人士可能會(huì)利用勒索軟件鎖定關(guān)鍵性基礎(chǔ)設(shè)施。這并不需要什么高深的專業(yè)知識(shí)，只要能夠侵入該系統(tǒng)即可。”