365个漏洞涉及50多家厂商，工业控制系统安全您如何应对？

Claroty公司发现的受ICS漏洞影响的主要ICS厂商，来源：Claroty

作者：Isaac Guevara

“

在信息技术和运营技术的融合中使用漏洞管理，可以降低工业控制系统的风险。

”

众所周知，随着信息技术 (IT) 基础设施和运营技术 (OT) 网络的不断融合，工业控 制系统 (ICS) 也成为了网络安全计划的一部分。业务领导和决策者有责任了解由此带来的碰撞与挑战，以及弄清楚如何更好地扩展核心安全控制、治理流程和技术堆栈，以涵盖 OT 和 IT 领域。

一个基本的出发点是漏洞管理。独立的 OT 系统正在逐渐消失，这些系统不受互联网连接的影响，虽然安全但有证据显示这种方法并不利于开展业务。对企业业务来讲，连接性贯穿工业控制系统及其管理的整个过程。虽然这是一个积极的方面，但其代价是威胁者（包括以盈利为目的的网络犯罪分子和开展恶意攻击的黑客组织等）可用的潜在攻击面变得更大。

因此，企业必须优先考虑漏洞管理，以便从战略上减少他们的整体风险，此外还有其他安全最佳实践，如网络分区和远程连接到 OT 网络的安全性。第一步是了解与 OT 有关的漏洞情况，并确定需要关注的趋势，以便为需要打补丁和更新的易受攻击的系统确定优先级。

 网络安全管理系统 

ISA/IEC 62443 系列标准为企业构建 OT 安全计划提供了方法论。网络安全管理系统 (CSMS) 概述了组织评估其当前风险、如何解决这些风险并保持其 CSMS 更新所需的要素。企业经常试图一头扎进 ICS 系统，试图推断每一个细节。

虽然有时大型企业会有专人来实施这种资源密集型方法，但大多数组织都在努力应对不断扩大的攻击面，这需要一种风险评估方法，以优先考虑修复最高风险。CSMS 提供了这一方法，使各组织专注于建立基于业务原理和风险识别的风险分析， 该风险分析不仅考虑了财务损 失，还考虑了 ICS 环境受到网络安全攻击影响时的健康、安全、环境和任何其他后果。

2020 年 8 月， 工 业 网 络 安 全公司 Claroty 公布了 2020 年上 半年公开披露的工业控制系统漏洞分析。这些漏洞是报告给工业控制系统网络安全应急小组（ICSCERT）或是由美国国家通用漏洞数据库（NVD）公布的。

该报告显示，总计 365 个漏洞，涉及 50 多家供应商的 ICS 产品，超过 70% 是可远程利用的。这使得工业设备成为越来越多（呈指数级增长）的潜在攻击者的目标，他们非常擅长攻击互联网 IT 基础设施。尤其是暴露在 网上的 ICS 设备，很容易受到攻击，这会威胁工业过程的安全性 和可靠性，并且由于打补丁不及 时以及设备可用的软件或固件机制不足，可能会招致更多的黑客 攻击。

▎工业控制系统 (ICS) 网络安全威胁正在增加。网络安全管理系统 (CSMS) 概述了组织评估其当前风险所需的要素、如何解决这些风险并保持 CSMS 的更新。Claroty 研究表明，70% 的 网络安全漏洞来自网络。图片来源 ：Claroty 公司

 远程区域的软件补丁滞后 

由于很多设备是在远程运营，或者安装在难以到达的位置， 或者无法停机，不能及时打补丁， 因此会落后几个周期。

Shodan 是一个互联网连接设备的搜索引擎，它有一个针对 ICS 设备的特定搜索引擎，并公 布了全球范围内公开的设备数量， 结果令人吃惊。截 至 2020 年 11 月 23 日的数据表明，大约有 4,000 台 EtherNet/IP 设备和超过 13,000 台 Modbus 设备被连接到互联网。这些设备本质上是不安 全的，研究还表明大多数漏洞都 是可被远程利用的，这就是很多企业今天所面临的风险状况。

企业还应该了解哪些产品类型最容易受到攻击。Claroty 公司报告称，在 2020 年上半年发现和披露的漏洞中，工程师站 (EWS) 和可编程逻辑控制器 (PLC) 相关 的占了很大一部分。这存在很大的问题，因为这些产品类型在工业运营中起着至关重要的作用，因此，连接性的增长也可能吸引 更多攻击者扫描漏洞。

 工程师站 ：58% 的漏洞 

EWS 应用程序占 Claroty 研究人员发现漏洞总数的 58%，应 该在任何 OT 或融合 IT/OT 环境 中优先考虑，因为它们与 IT 网络 连接而且可以访问车间和设备， 例如在 OT 网络内控制物理过程的可编程逻辑控制器 (PLC)。能够访问 EWS 可使攻击者获得网 络立足点，在许多现代攻击中这点至关重要，例如，通过拒绝服 务攻击或勒索软件进行横向移动和过程操纵或中断。

远程代码执行攻击是 OT 网 络面临的严重威胁，在 NVD 和 ICS-CERT 发布的高危 ICS 漏洞 中占很大一部分。如果发现的任何缺陷被利用，远程代码执行攻 击与拒绝服务攻击相结合，可能会占漏洞影响的 80% 以上。

同样重要的是要注意这些漏洞如何影响关键基础设施部门。在 2020 年的前 6 个 月， 能 源、关键生产制造以及给水和污水处理基础设施受 ICS-CERT 公 告 中所列漏洞的影响最大 ；仅供水和污水处理部门的漏洞就增加了 122% ；关键生产制造和能源也分别增长了 87.3% 和 58.9%。

 ICS 漏洞增加 10% 

不幸的是，2020 年上半年 披露的 ICS 漏洞数量正朝着坏的方向发展，与 2019 年上半年相比总体增加了 10%。不 过， Claroty 研究人员指出，这并不一 定表明针对 ICS 设备和 OT 网络的攻击活动的增加。相反，这可 能表明合法研究人员对这些设备进行了更严格的审查，并提高了对这些漏洞在受到攻击时所带来 的风险的认识。

网络安全标准和实践的进展，为保护其工业基础设施提供了路线图。一旦组织建立了网络安全管理系统，并进行了风险分析，就可以进行高级风险评估以了解其对组织的影响。然后就可以详细定义高风险区域，从完整的资产清单开始并将组织资产分 区。区域是具有相同安全要求的资产的逻辑或物理分组，并通过其通道提供安全的通信设备。

应该注意的是，资产盘点工作经常被低估，如果手动进行， 则是劳动密集型任务，并且盘点的数据很快就会过时。建议利用专为 ICS 环境设计的被动扫描工具来最大限度地减少错误、人工和库存维护，使急需的人员能够专注于具有更高价值的工作。资产清单完成后，必须执行漏洞评估，使组织可以开始识别风险并 确定其优先级。

 网络安全基本需求 

ISA/IEC 62443 系列标准定义了一组安全级别 (SL)，范围从 0 到 4，具体如下 ：

SL0– 无特定需求或不需安全保护 ；

SL1– 防止偶然或巧合的违规行为 ；

SL2– 防护使用低资源、通用技能和低动机的简单手段有意进行的侵犯 ；

SL3– 防护使用复杂手段、 适度资源、 IACS 特定技能和适度动机的复杂手段有意进行的侵犯 ；

SL4– 防护使用复杂手段、 扩展资源、 IACS 特定技能和高动机有意进行的侵犯。

每个区域都应分配一个目标 SL，通过比 较每个区域已实现的 SL 和功能 SL 风险评估 的输出），以了解所需的补偿对策。为确保实 现目标 SL 所需的方法清晰，该系列包含 7 个 基本要求 (FR)，分别为 ：

FR1– 识别和认证控制（IAC）；

FR2– 使用控制 (UC) ；

FR3– 系统完整性 (SI) ；

FR4– 数据机密性 (DC) ；

FR5– 受限数据流 (RDF) ；

FR6– 及时响应事件 (TRE) ；

FR7– 资源可用性 (RA)。

 应对日益增加的网络安全威胁 

研究表明，OT 领域面临的威胁并未放缓。无论是为了金钱利益还是一些有组织的黑客行为，攻击者都有充分的理由攻击 ICS 环境，ICS 从未像现在这样彼此互连。企业遵循 ISA/IEC 62443 系列网络安全管理系统 这样的标准至关重要，该标准定义了基于业 务来了解风险并以优先排序的方式降低风险的程序。在所分配 SL 的基础上，它还允许一 定的灵活性。

企业应该遵循一些关键的最佳实践，来保护面向互联网的 ICS 设备，主要是为了确保补丁是最新的，以阻止软件和固件漏洞带来的威胁。设备也应该执行密码保护，并且应该有详细的程序来管理谁可以访问设备。应通过适用于 OT 网络的技术而非 IT 友好的虚拟专用网络 (VPN) 来监控和保护远程访问连接。企业还应 清点可用资产、分割网络、监控攻击，并定期 审查和更新漏洞管理和风险管理实践。建立强 大的 ICS 网络安全态势并不容易，但使用标准 框架和工具集是有可能是实现的。

 建立可信环境和一致性评估 

一方面工业物联网 (IIoT)、互联设备以及生成的巨量数据为工业创造了新的机会，另一方面也增加了网络安全风险。这些转变要求工程师遵循稳健的网络安全实践，来设计和构建在整个生命周期内安全运行的系统。

越来越多的行业开始部署 IIoT 设备，基本运营系统的安全和网络安全变得越来越重要，也越来越难以管理。复杂性源于缺乏旨在验证互联产品的全球性、普遍接受的网络安全标准和一致性评估方案。互联世界需要可信环境。在建立信任的同时推进数字化，可确保实现针对新兴网络安全威胁的最高级 别的防御。

影响网络安全的主要趋势是日益增长的数字化以及全球认可的网络安全标准的缺失。创建可信环境是必须的，Eaton 公司产品网络安全卓越中心的主任 Max Wandera 认为，网络安全是产品开发的必备条件，就像安全和质量一样。必须认真对待网络安全威胁，并 采用全系统防御方法来主动应对。

据 Grand View Research 公司的分析师估计，到 2025 年，全球 IIoT 解决方案的部署，将耗费近 9500 亿美元。随着企业扩大其数字化应用的范围，必须保护连接系统的可用性、完整性和机密性。

如果没有全球一致性评估，创建网络安全环境会很复杂。目前，世界各国都在制定自己的需求规范。这种合规性差距使制造商难以确定他们应该建立和遵守哪种标准，特别是对那些在世界各地生产制造和销售产品的公司更是如此。

全球各种组织、国家和地区联盟制定了大量不同的标准和法规。所有这些标准和法规都解决了保护互联世界的迫切需求，但它们也可能造成关键基础设施生态系统中出现混乱和薄弱环节。现在是推动单一一致性评估的时候了，国际自动化学会全球网络安全联盟及其成员，正在推动全球网络安全标准和行业合作。

关键概念： 

■ ICS 面临的网络安全威胁正在增加。

■ 工业联网设备、工程师站、远程站点可能是网络安全漏洞的来源。

■ 统一标准和最佳实践的应用有助于降低 ICS 网络安全风险。

思考一下： 

您的企业是否有多位专家评估和解决 ICS 网络安全漏洞？