大型組織的工控系統中有91.1%面臨網絡威脅

中國工控信息安全市場正在經歷“井噴期”的前夜。正所謂山雨欲來風滿樓，市場正在發生悄然變化，信息安全也必將成為一個為工業界所普遍關注的問題。某業內人士曾大聲疾呼：在工控安全沒有大規模地成為社會問題之前，我們要有足夠的技術儲備，足夠的實戰經驗，以便較好地應對即將來臨的問題。

為了盡量減少遭受網絡攻擊的概率，工業控制系統（ICS）應當運行于物理隔離的環境下。但真實情況并非如此。在卡巴斯基實驗室發表的關于ICS威脅環境的報告中，卡巴斯基實驗室專家發現13,698臺工業控制系統主機暴露于互聯網中，而且這些主機很可能都屬于大型組織。這些組織包括能源行業、交通運輸行業、航空行業、石油和天然氣行業、化工行業、汽車制造行業、食品和飲料行業、政府機構、金融機構和醫療機構。這些主機中，有91.1%包含可被遠程利用的漏洞。更糟的是，這些工業控制系統主機中，有3.3%包含嚴重的可遠程執行的漏洞。

將工業控制系統組件暴露于互聯網上能夠帶來很多機會，但是也會造成很多安全問題。一方面，聯網的系統能夠在遇到緊急情況時更為靈活和更快地做出響應，部署更新。但是另一方面，接入互聯網，讓網絡罪犯有機會遠程控制關鍵工業控制系統組件，可能導致設備物理損壞，甚至給整個關鍵基礎設施造成潛在危害。

針對工業控制系統（ICS）的復雜攻擊并不新鮮。2015年，一個有組織的被稱為BlackEnergy的黑客APT組織針對烏克蘭一家電力公司進行了攻擊。同樣是這一年，歐洲發生了兩起類似的同網絡攻擊有關的事件，一家位于德國的鋼鐵廠和華沙肖邦機場遭受攻擊。

由于攻擊面很廣，所以未來將會出現越來越多這樣的攻擊。我們發現的位于104個國家的13,698臺主機只是互聯網上包含ICS組件的主機中的一小部分。

為了幫助各種組織發現工業控制系統（ICS）中的潛在風險，卡巴斯基實驗室專家對ICS威脅進行了全面調查。他們的分析基于OSINT（開源情報）和公共來源信息（如ICS CERT），研究期限為2015年。

工業控制系統威脅環境報告的主要表現為：

1.我們在互聯網上，共發現有188,019臺具有工業控制系統（ICS）組件的主機，這些主機來自全球170個國家。

2.這些可遠程訪問的包含ICS組件的主機大多數位于美國（30.5% - 57,417臺）和歐洲。在歐洲，德國位居首位（13.9%-26,142臺主機），其次為西班牙（5.9%-11,264臺）和法國（5.6%-10,578臺）。

3.可遠程訪問的ICS主機中，有92%（172,082臺）包含漏洞。其中，87%包含中等風險漏洞，7%包含高危漏洞。

4.過去五年中，ICS組件中的漏洞數量增長了五倍：從2010年的19個漏洞增長到2015年的189個漏洞。包含漏洞最多的ICS組件為人機界面（HMI）、電子設備和SCADA系統。

　5.所有能夠外部訪問的ICS設備中，有91.6%（172,338臺主機）使用了較弱的互聯網連接協議，讓攻擊者有機可乘，能夠實施“中間人”攻擊。

卡巴斯基實驗室關鍵基礎設施保護總監Andrey Suvorov說：“我們的研究顯示，ICS基礎設施的規模越大，存在嚴重安全漏洞的幾率也越大。這并不是某個軟件廠商或硬件廠商的問題。從本質上來說，ICS環境是混合了多種不同的互聯組件，很多組件都連接互聯網，并且存在安全問題。任何人都無法100%保證某一種ICS系統在任何指定的時間不包含安全漏洞。但是，這并不意味著我們沒有辦法保護工廠、電站或者是智慧城市街區抵御網絡攻擊。了解工業設施中所使用的組件中存在漏洞，是對這一設施進行安全管理的基本要求。這就是我們這篇報告的目的之一：讓人們意識到這些系統的安全狀況。”

為了保護ICS環境抵御網絡攻擊，卡巴斯基實驗室安全專家建議采取以下安全措施：

1.進行安全審計：最快的辦法是邀請精通工業安全的專家查找和消除報告中描述的安全漏洞。

2.獲取外部情報：當今的IT安全非常依賴有關潛在攻擊手段的知識。從信譽良好的供應商獲取此類情報，能夠幫助組織和企業預測自己的工業基礎設施未來可能遇到的攻擊。

3.在企業或組織安全邊界范圍內和范圍外都提供保護。錯誤不時會發生。但是，適當的安全策略必須將一部分資源用于攻擊檢測和響應，在攻擊涉及關鍵的重要對象之前將其攔截。

4.評估高級保護手段：即使有些包含漏洞的節點不能修補或移除，也可以使用針對SCADA系統的默認拒絕方案，定期檢查控制器的完整性，對網絡進行監控?增強企業的整體安全性，減少遭遇攻擊的幾率。