工業(yè)控制系統(tǒng)脆弱的安全狀況以及日益嚴(yán)重的攻擊威脅，已經(jīng)引起了國(guó)家的高度重視，甚至提升到國(guó)家安全戰(zhàn)略的高度，并在政策、標(biāo)準(zhǔn)、技術(shù)、方案等方面展開了積極應(yīng)對(duì)。在明確重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)信息安全管理要求的同時(shí)，國(guó)家主管部門在政策和科研層面上也在積極部署工業(yè)控制系統(tǒng)的安全保障工作。

在這種背景下，綠盟科技成立了一個(gè)有多名資深技術(shù)專家所組成的研究團(tuán)隊(duì)來(lái)專門從事工業(yè)控制系統(tǒng)的安全研究。研究團(tuán)隊(duì)在初步了解工業(yè)控制系統(tǒng)知識(shí)的基礎(chǔ)上，結(jié)合公司在安全攻防、協(xié)議安全性以及漏洞研究方面的技術(shù)優(yōu)勢(shì)，對(duì)“工業(yè)控制系統(tǒng)所面臨的安全威脅及對(duì)策”、“工業(yè)控制系統(tǒng)的協(xié)議安全性”、“工業(yè)控制系統(tǒng)相關(guān)的漏洞分析”等幾個(gè)主題進(jìn)行了較為深入的研究，并推出《2013工業(yè)控制系統(tǒng)及其安全性研究報(bào)告》。

這份報(bào)告指出，目前工業(yè)控制系統(tǒng)普遍存在一些嚴(yán)重的安全問(wèn)題，主要表現(xiàn)為：

嚴(yán)重漏洞難以及時(shí)處理，系統(tǒng)安全風(fēng)險(xiǎn)巨大

當(dāng)前主流的工業(yè)控制系統(tǒng)普遍存在安全漏洞，且多為能夠造成遠(yuǎn)程攻擊、越權(quán)執(zhí)行的嚴(yán)重威脅類漏洞；而且近兩年漏洞的數(shù)量呈快速增長(zhǎng)的趨勢(shì)。工業(yè)控制系統(tǒng)通信協(xié)議種類繁多、系統(tǒng)軟件難以及時(shí)升級(jí)、設(shè)備使用周期長(zhǎng)以及系統(tǒng)補(bǔ)丁兼容性差、發(fā)布周期長(zhǎng)等現(xiàn)實(shí)問(wèn)題，又造成工業(yè)控制系統(tǒng)的補(bǔ)丁管理困難，難以及時(shí)處理威脅嚴(yán)重的漏洞。

工業(yè)控制系統(tǒng)協(xié)議缺乏足夠的安全性考慮，易被攻擊者利用

專有的工業(yè)控制通信協(xié)議或規(guī)約在設(shè)計(jì)時(shí)通常只強(qiáng)調(diào)通信的實(shí)時(shí)性及可用性，對(duì)安全性普遍考慮不足：比如缺少足夠強(qiáng)度的認(rèn)證、加密、授權(quán)等。尤其是工業(yè)控制系統(tǒng)中的無(wú)線通信協(xié)議，更容易遭受第三者的竊聽及欺騙性攻擊。

缺乏違規(guī)操作、越權(quán)訪問(wèn)行為審計(jì)能力

操作管理人員的技術(shù)水平和安全意識(shí)差別較大，容易發(fā)生越權(quán)訪問(wèn)、違規(guī)操作，給生產(chǎn)系統(tǒng)埋下極大的安全隱患。實(shí)事上，國(guó)內(nèi)ICS相對(duì)封閉的環(huán)境，也使得來(lái)自系統(tǒng)內(nèi)部人員在應(yīng)用系統(tǒng)層面的誤操作、違規(guī)操作或故意的破壞性操作成為工業(yè)控制系統(tǒng)所面臨的主要安全風(fēng)險(xiǎn)。因此，對(duì)生產(chǎn)網(wǎng)絡(luò)的訪問(wèn)行為、特定控制協(xié)議內(nèi)容和數(shù)據(jù)庫(kù)數(shù)據(jù)的真實(shí)性、完整性進(jìn)行監(jiān)控、管理與審計(jì)是非常必要的。

但現(xiàn)實(shí)環(huán)境中通常缺乏針對(duì)ICS的安全日志審計(jì)及配置變更管理。這是因?yàn)椴糠諭CS系統(tǒng)可能不具備審計(jì)功能或者雖有日志審計(jì)功能但系統(tǒng)的性能要求決定了它不能開啟審計(jì)功能所造成的結(jié)果。同時(shí)目前的安全審計(jì)產(chǎn)品因缺乏對(duì)工業(yè)控制系統(tǒng)通信協(xié)議的解析能力而不能直接用于ICS系統(tǒng)中，需要專門的定制。由于工業(yè)控制系統(tǒng)通信協(xié)議缺乏統(tǒng)一的標(biāo)準(zhǔn)，使得這種定制工作代價(jià)巨大且不能通用也是造成ICS中違規(guī)操作行為審計(jì)缺乏的原因之一。

沒有足夠的安全政策、管理制度，人員安全意識(shí)缺乏

由于工業(yè)控制系統(tǒng)不像互聯(lián)網(wǎng)或與傳統(tǒng)企業(yè)IT網(wǎng)絡(luò)那樣備受黑客的關(guān)注，在2010年“震網(wǎng)”事件發(fā)生之前很少有黑客攻擊工業(yè)控制網(wǎng)絡(luò)的事件發(fā)生；工業(yè)控制系統(tǒng)在設(shè)計(jì)時(shí)也多考慮系統(tǒng)的可用性，普遍對(duì)安全性問(wèn)題的考慮不足，更不用提制訂完善的工業(yè)控制系統(tǒng)安全政策、管理制度以及對(duì)人員的安全意識(shí)培養(yǎng)了。和平日久造成人員的安全意識(shí)淡薄。

而隨著ICS系統(tǒng)在國(guó)計(jì)民生中的重要性日益重要以及IT通用協(xié)議和系統(tǒng)在工控系統(tǒng)的逐漸應(yīng)用，人員安全意識(shí)薄弱將是造成工業(yè)控制系統(tǒng)安全風(fēng)險(xiǎn)的一個(gè)重要因素，特別是社會(huì)工程學(xué)相關(guān)的定向釣魚攻擊可能是重要崗位人員淪為外部威脅入侵的跳板（比如RSA丟失SecurID認(rèn)證令牌的事件中利用一封魚叉式網(wǎng)絡(luò)釣魚的電子郵件侵入RSA公司內(nèi)部網(wǎng)絡(luò)的案例）。

面對(duì)新型的APT攻擊，缺乏有效的應(yīng)對(duì)措施

APT（高級(jí)可持續(xù)性威脅）的攻擊目標(biāo)更為明確，攻擊時(shí)會(huì)利用最新的0-day漏洞，強(qiáng)調(diào)攻擊技術(shù)的精心組合與攻擊者之間的協(xié)同；而且是為不達(dá)目的不罷休的持久性攻擊。近年來(lái)以震網(wǎng)為代表的針對(duì)工業(yè)控制系統(tǒng)的攻擊事件都呈現(xiàn)了這些攻擊技術(shù)特征。

但是針對(duì)這種APT攻擊，現(xiàn)有的安全防護(hù)手段均顯得有些無(wú)力。這也許需要整合各種安全技術(shù)，通過(guò)形成完善的安全防御體系（防御手段的組織化、體系化）才可能有效，然而工業(yè)控制系統(tǒng)對(duì)安全關(guān)注嚴(yán)重不足的現(xiàn)實(shí)，使其在面臨APT攻擊時(shí)將會(huì)遭到不可估量的安全損失。

欲知更多觀點(diǎn)與內(nèi)容，可參閱：2013工業(yè)控制系統(tǒng)及其安全性研究報(bào)告

 【編輯推薦】