工业控制系统安全将成2013年关注重点

在新的一年到来之际，越来越多的漏洞研究者将重点放在工业控制系统(ICS)上，不过，安全专家们认为，ICS也会成为网络攻击者关注的焦点。

控制系统由控制软件组成，这些软件运行在专用工作台或服务器和类似电脑的硬件设备上，它们可控制电机程序。这些系统用于监控不同操作，这些操作出现在工业设备、军事设施、能源网络、水力分配系统，甚至公共和私人建筑中。

在这些系统中，有些是用在关键基础设施中——电力、清洁水、交通等。因此，对它们的潜在威胁会产生深远影响。然而，其他的只是与它们自身业务有关，出现问题后不会产生广泛影响。

自2010年Stuxnet病毒出现以来，在IT安全界，数据采集与监视控制系统(SCADA)和其他类型的工控系统成了热议话题。

Stuxnet是第一个以SCADA系统为特定目标并加以感染的恶意软件，它成功侵袭了伊朗纳坦兹核设施,令不少离心机瘫痪。Stuxnet是一种复杂的网络武器，被认为是由国家开发(据说由美国和以色列开发)，它需要精湛的开发技术、大量资金和有关控制系统弱点的信息。

攻击关键基础设施控制系统需要周密的计划、详细的情报和不止一种侵入方法。由于纳坦兹计算机系统与英特网隔离，Stuxnet是通过USB设备来散布的。现在，未成为关键基础设施一部分的控制系统正变得越来越容易被更弱一些的攻击者攻击。

这是因为，为便于远程管理，许多系统都与英特网连接，还有一个原因是，现在，ICS软件、设备和通信协议中的漏洞信息比在Stuxnet出现前更容易侵入。过去两年中，几十种SCADA和ICS漏洞细节随着概念验证漏洞代码一起，被安全专家公开揭露。

专注于ICS安全研究和评估的Digital Bond公司CEO Dale Peterson表示，当漏洞变得自动化，会有更多连接到英特网的控制系统设备变得更脆弱。

然而，多数联网的控制系统设备都不是人们所想象的关键基础设施的一部分。“它们代表小的市政系统、建筑自动系统等。对于拥有并运行这些系统的公司而言，它们非常重要，但是大部分不会对多数人和整个经济造成影响。”

对这些系统感兴趣的潜在攻击者各有不同，包括：带政治动机的黑客，希望引起关注的黑客集团，干勒索勾当的罪犯，甚至是仅仅为了娱乐或炫耀的黑客。

FBI最近一次文件泄漏显示，今年早些时候，黑客获得了非法入口，得以进入供热、通风和空调(HVAC)系统，这些系统运行在一家新泽西空调公司办公楼内，黑客通过利用与之相连的控制盒中的后门漏洞得逞——一个尼亚加拉控制系统。被攻击的公司为银行和其他企业也安装了类似的系统。

1月份，黑客使用"@ntisec" (antisec)实现了对尼亚加拉ICS系统中漏洞信息的在线共享，随后，泄漏发生了。运作Antisec属于黑客攻击法律和政府机构的一系列攻击，这些攻击由黑客、LulzSec、Anonymous和其他黑客集团发起。

安全咨询公司IOActive的安全专家Ruben Santamarta认为，针对ICS的攻击是否可能，这已经不是一个问题，因为它确实发生了。一旦攻击者动机足够强烈，我们将遇到更大的问题。2013年，攻击者会对它更有兴趣，这毫不荒谬。

反病毒厂商Kaspersky实验室首席恶意软件专家Vitaly Kamluk认为，未来，绝对会有更多针对SCADA系统的恶意软件。他表示，Stuxnet对ICS/SCADA带来的攻击为白帽和黑帽研究者带来了全新的领域，这一主题将会是2013年的首要话题。

然而，一些安全专家认为，这类恶意软件依然超出了普通攻击者的能力范围。

“创建能够成功攻击ICS系统的恶意软件并非小事，这需要许多战略和计划，” 漏洞和情报管理公司Secunia首席安全官Thomas Kristensen表示，显然，能够发出这种攻击的人和组织数量也是有限的。

Peterson表示，大部分部署SCADA和DCS(分布控制系统)的应用程序和硬件并没有考虑安全发展生命周期(Security Development Lifecycle，SDL)。想想上个世纪90年代后期的微软吧，它充满了普通的程序错误，这些错误会导致bug、漏洞的出现。这意味着，可编程序控制器(programmable logic controllers，PLC)和其他领域的设备在设计时就是不安全的。

Digital Bond公司发布了几个漏洞，这些漏洞是在许多PLC(SCADA硬件组件)中都被发现。这是一个名为Project Basecamp研究项目的一部分，其目的是为了显示，许多现存的PLC有多么脆弱和不安全。

Santamarta认为，今天，研究人员发现SCADA软件中的漏洞变得更容易了。

SCADA漏洞信息甚至有一个市场。由安全专家Luigi Auriemma和Donato Ferrante创建的马耳他安全公司ReVuln将软件漏洞信息出售给政府机构和其他私人购买者。ReVuln出售的组合中，40%以上的漏洞是SCADA漏洞。

Donato Ferrante认为，有趋势表明，在SCADA安全领域中的攻击和投入都在增长。实际上，如果SCADA市场中几个大的公司投入很多钱来强化这些基础设施，这就意味着，SCADA/ICS主题正在并继续成为来年的热点。

然而，保护SCADA系统不像常规IT基础设施和计算机系统那样直接。即便针对SCADA的安全补丁已经被安全厂商发布，漏洞系统的拥有者也需要很长时间来部署它们。

Luigi Auriemma表示，针对SCADA系统的自动补丁极少。大多数时候，SCADA管理员需要手动申请适当的补丁。

Kamluk认为，这种情况很糟糕。SCADA系统的主要目标是持续运转，这意味着安装补丁或更新不能重启系统或程序。

另外，由于任何意外行为都可能对系统运行都可能产生重大影响，因此，在部署到真实环境前，SCADA安全补丁需要经过完整的测试。

多数SCADA安全专家希望，像PLC这样的工控设备应该考虑到安全，来重新设计。

Peterson认为，有着基础安全措施和计划的PLC需要在未来1-3年内在多数关键基础设施中部署安全。

Santamarta认为，理想状态是，工业设备在设计时就是安全的，但是我们得面对现实，这需要时间。我们不该以IT的视角太过严苛地看待它们。也就是说，每个人都应该认识到该做些事情了，包括工业厂商。Santamarta表示，由于在设计环节未充分考虑到安全，ICS拥有者们应该采取深度防御措施来保护这些系统。Kamluk表示，应将ICS从英特网脱离，将其放到隔离的网络中，严格限制/审计入口。

Kristensen说，关键基础设施的拥有者应该意识到，进入关键基础设施需要单独的网络或至少单独的认证信息。 这应该对ICS也是适用的门话题，安全专家们认为这是一个好的开始，然而，迄今为止，很少有进展。

Peterson表示，“我只是希望，政府能诚实地公开说这些系统的设计是不安全的，在未来1-3年内，运行关键SCADA和DCS的组织应该计划更新或替换掉这些系统。”Kamluk表示，政府法规很有帮助。一些SCADA供应商牺牲安全来保证低成本，而不考虑这种做法的风险以及对人类生活的潜在影响。

今年早些时候，Kaspersky实验室公布一项OS发展计划，为SCADA 和其他ICS系统提供安全设计环境。Santamarta说，虽然这听上去像是个有意思的项目，但这还得看SCADA团体和工业部门对其作何反应。Ferrante表示，关于新的OS，并没有足够的细节评估其特点。我们需要等待官方发布。不管怎样，采用新OS的主要问题是它需要能运行现有SCADA系统，而不是非要重写代码不可。