如何理解工控系統(tǒng)中的安全風(fēng)險

　　我之所以在文章的開頭提到WannaCry，是因為我打算在這篇文章中跟大家討論ICS網(wǎng)絡(luò)目前所面臨的安全風(fēng)險。值得一提的是，攻擊者如果想要破壞ICS設(shè)備的正常運轉(zhuǎn)，他們根本不需要設(shè)計出復(fù)雜的攻擊技術(shù)來利用工控系統(tǒng)中的0day漏洞，而WannaCry的殺傷力也足以能夠證明這一點了。

　　雖然這個漏洞幾乎所有的Windows操作系統(tǒng)都存在，這一點的確沒錯，但這款惡意軟件也絕對是一流的

　　工控系統(tǒng)的安全風(fēng)險

　　ICS網(wǎng)絡(luò)所面臨的安全風(fēng)險是一種系統(tǒng)性風(fēng)險，而這種風(fēng)險并不是單獨由安全漏洞所決定的。沒錯，漏洞的確是其中的一個主要問題，因為它們代表的是攻擊者可能利用的攻擊途徑。但我們也需要知道，入侵ICS網(wǎng)絡(luò)相對來說還是比較容易的，而且近十年來所發(fā)生的各種針對ICS設(shè)備的黑客攻擊事件也是最好的證明。一旦攻擊者成功入侵了ICS／OT網(wǎng)絡(luò)，那對于ICS網(wǎng)絡(luò)來說絕對會是一場浩劫。

　　訪問ICS／OT網(wǎng)絡(luò)

　　“空氣隔離ICS／OT環(huán)境”這種概念早就已經(jīng)死了，因為出于多種原因，這種網(wǎng)絡(luò)與外界的互聯(lián)互通越來越多了，而這一事實也就給攻擊者提供了兩條主要的開放攻擊途徑，不過這兩種攻擊方法都需要非常高端和新穎的漏洞利用技術(shù)予以配合：

　　1. 通過“某種工具”利用IT網(wǎng)絡(luò)的互聯(lián)互通性訪問ICS／OT網(wǎng)絡(luò)，這里所謂的“某種工具”指的是例如網(wǎng)絡(luò)釣魚攻擊和水坑攻擊等技術(shù)。

　　2. 直接從外部訪問ICS/OT網(wǎng)絡(luò)（通過被入侵的VPN或未監(jiān)控的遠程訪問）。

　　根據(jù)Mandiant提供的調(diào)查信息，在北美地區(qū)，一般在攻擊者成功入侵了IT網(wǎng)絡(luò)之后的第99天（平均值）才有可能被檢測到，而且目標網(wǎng)絡(luò)系統(tǒng)中還部署了大量的安全檢測工具。而在ICS／OT網(wǎng)絡(luò)中，安全監(jiān)控系統(tǒng)是一種稀缺資源，當攻擊者入侵了ICS/OT網(wǎng)絡(luò)之后，目前幾乎沒有方法能夠檢測到他們的存在。

　　當然了，除了從外部訪問ICS網(wǎng)絡(luò)之外，我們也不能夠完全忽略那些來自內(nèi)部的安全威脅。比如說，有的網(wǎng)絡(luò)缺乏對訪問憑證的限制，有的則沒有撤銷舊員工的訪問憑證，而這些都是我們在未來可能會遇到的麻煩。

　　破壞ICS/OT網(wǎng)絡(luò)遠比你想象的還要簡單

　　由于ICS/OT網(wǎng)絡(luò)在安全監(jiān)控方面存在明顯的不足之處，那么一旦攻擊者成功入侵了網(wǎng)絡(luò)，那么他們就可以有大量時間來了解網(wǎng)絡(luò)組件的拓撲結(jié)構(gòu)，并監(jiān)控和分析網(wǎng)絡(luò)中所有的進程。除此之外，ICS網(wǎng)絡(luò)中的很多設(shè)備都缺乏最基本的安全管理機制。比如說設(shè)備A，由于設(shè)備A在設(shè)計之初的主要功能就是為了優(yōu)化實時通信的，所以設(shè)備A才缺乏適當?shù)纳矸蒡炞C機制和加密功能，但大家都知道這樣的一臺設(shè)備絕對是不安全的。實際上，工控系統(tǒng)中絕大多數(shù)的控制器都不具備對信息數(shù)據(jù)進行加密的能力，而這些設(shè)備之所以沒有具備這樣的能力，其實是有各種各樣的原因的，至少我們在15年內(nèi)都不用去期待這一方面能夠有什么重大轉(zhuǎn)變了。

　　很多工控系統(tǒng)都會使用PLC（可編程邏輯控制器）來作為工業(yè)環(huán)境的通信解決方案，但我們要知道的事，攻擊者可以使用合法的命令來與PLC直接進行通信，而這種行為將有可能給ICS帶來不可估量的嚴重后果。對于攻擊者來說，一旦成功進入了目標ICS網(wǎng)絡(luò)，那么開啟或關(guān)閉一個進程就像是使用一款標準工程工具一樣簡單，而攻擊者所使用的合法命令更加不會被ICS／OT網(wǎng)絡(luò)標記為可疑行為。不僅如此，攻擊者還可以輕而易舉地修改PLC上加載的程序，甚至運行一個新的程序都是有可能的。PLC可不會要求操作人員進行身份驗證，而且就算是控制器具有身份驗證能力，但這些功能也有可能已經(jīng)被禁用了。

　　所以，無論PLC是否存在漏洞，攻擊者都可以利用PLC黑進ICS網(wǎng)絡(luò)之中。因此，我們在檢查ICS組件的安全性時一定要保持耐心，并且盡可能利用現(xiàn)存的資源和系統(tǒng)功能來改變ICS網(wǎng)絡(luò)目前所處的安全困境。

　　現(xiàn)在的情況意味著什么？

　　ICS/OT網(wǎng)絡(luò)是一種高風(fēng)險資產(chǎn)，因此我們必須要找到一種方法來更好地監(jiān)控與ICS網(wǎng)絡(luò)有關(guān)的各種活動。就目前的情況來看，?擊者不僅可以給ICS設(shè)備帶來嚴重的安全問題，而且還可以竊取公司寶貴的知識產(chǎn)權(quán)。除此之外，有的攻擊者甚至還會以ICS網(wǎng)絡(luò)為籌碼進行勒索活動，或者將ICS作為切入點來入侵企業(yè)的IT網(wǎng)絡(luò)環(huán)境。我們不可能一夜之間就解決這些網(wǎng)絡(luò)所面臨的系統(tǒng)性風(fēng)險，而且在可預(yù)見的未來我們很可能也無法很好地解決這些問題。因此，我們現(xiàn)在就要馬上行動，我們沒有時間像以前一樣按部就班地進行研究和審查了，我們必須以全新的角度和思想來制定并執(zhí)行嚴格的安全策略，并將ICS／OT網(wǎng)絡(luò)的安全等級提升到一個新的層次。