工控係統安全狀況亟待改善

　　然而，一些安全專(zhuan) 家認為(wei) ，這類惡意軟件依然超出了普通攻擊者的能力範圍。

　　“創建能夠成功攻擊ICS係統的惡意軟件並非小事，這需要許多戰略和計劃，” 漏洞和情報管理公司Secunia首席安全官Thomas Kristensen表示，顯然，能夠發出這種攻擊的人和組織數量也是有限的。

　　Peterson表示，大部分部署SCADA和DCS（分布控製係統）的應用程序和硬件並沒有考慮安全發展生命周期（Security Development Lifecycle，SDL）。想想上個(ge) 世紀90年代後期的微軟吧，它充滿了普通的程序錯誤，這些錯誤會(hui) 導致bug、漏洞的出現。這意味著，可編程序控製器（programmable logic controllers，PLC）和其他領域的設備在設計時就是不安全的。

　　Digital Bond公司發布了幾個(ge) 漏洞，這些漏洞是在許多PLC（SCADA硬件組件）中都被發現。這是一個(ge) 名為(wei) Project Basecamp研究項目的一部分，其目的是為(wei) 了顯示，許多現存的PLC有多麽(me) 脆弱和不安全。

　　Santamarta認為(wei) ，今天，研究人員發現SCADA軟件中的漏洞變得更容易了。

　　SCADA漏洞信息甚至有一個(ge) 市場。由安全專(zhuan) 家Luigi Auriemma和Donato Ferrante創建的馬耳他安全公司ReVuln將軟件漏洞信息出售給政府機構和其他私人購買(mai) 者。ReVuln出售的組合中，40%以上的漏洞是SCADA漏洞。

　　Donato Ferrante認為(wei) ，有趨勢表明，在SCADA安全領域中的攻擊和投入都在增長。實際上，如果SCADA市場中幾個(ge) 大的公司投入很多錢來強化這些基礎設施，這就意味著，SCADA/ICS主題正在並繼續成為(wei) 來年的熱點。

　　然而，保護SCADA係統不像常規IT基礎設施和計算機係統那樣直接。即便針對SCADA的安全補丁已經被安全廠商發布，漏洞係統的擁有者也需要很長時間來部署它們(men) 。

　　Luigi Auriemma表示，針對SCADA係統的自動補丁極少。大多數時候，SCADA管理員需要手動申請適當的補丁。

　　Kamluk認為(wei) ，這種情況很糟糕。SCADA係統的主要目標是持續運轉，這意味著安裝補丁或更新不能重啟係統或程序。

　　另外，由於(yu) 任何意外行為(wei) 都可能對係統運行都可能產(chan) 生重大影響，因此，在部署到真實環境前，SCADA安全補丁需要經過完整的測試。

       多數SCADA安全專(zhuan) 家希望，像PLC這樣的工控設備應該考慮到安全，來重新設計。

　　Peterson認為(wei) ，有著基礎安全措施和計劃的PLC需要在未來1-3年內(nei) 在多數關(guan) 鍵基礎設施中部署安全。

　　Santamarta認為(wei) ，理想狀態是，工業(ye) 設備在設計時就是安全的，但是我們(men) 得麵對現實，這需要時間。我們(men) 不該以IT的視角太過嚴(yan) 苛地看待它們(men) 。也就是說，每個(ge) 人都應該認識到該做些事情了，包括工業(ye) 廠商。Santamarta表示，由於(yu) 在設計環節未充分考慮到安全，ICS擁有者們(men) 應該采取深度防禦措施來保護這些係統。Kamluk表示，應將ICS從(cong) 英特網脫離，將其放到隔離的網絡中，嚴(yan) 格限製/審計入口。

　　Kristensen說，關(guan) 鍵基礎設施的擁有者應該意識到，進入關(guan) 鍵基礎設施需要單獨的網絡或至少單獨的認證信息。 這應該對ICS也是適用的門話題，安全專(zhuan) 家們(men) 認為(wei) 這是一個(ge) 好的開始，然而，迄今為(wei) 止，很少有進展。

　　Peterson表示，“我隻是希望，政府能誠實地公開說這些係統的設計是不安全的，在未來1-3年內(nei) ，運行關(guan) 鍵SCADA和DCS的組織應該計劃更新或替換掉這些係統。”Kamluk表示，政府法規很有幫助。一些SCADA供應商犧牲安全來保證低成本，而不考慮這種做法的風險以及對人類生活的潛在影響。

　　今年早些時候，Kaspersky實驗室公布一項OS發展計劃，為(wei) SCADA 和其他ICS係統提供安全設計環境。Santamarta說，雖然這聽上去像是個(ge) 有意思的項目，但這還得看SCADA團體(ti) 和工業(ye) 部門對其作何反應。Ferrante表示，關(guan) 於(yu) 新的OS，並沒有足夠的細節評估其特點。我們(men) 需要等待官方發布。不管怎樣，采用新OS的主要問題是它需要能運行現有SCADA係統，而不是非要重寫(xie) 代碼不可。