近日，根據(jù)Forescout發(fā)布的“冰瀑漏洞”(IceFall)工控安全報告，安全研究人員在10家OT供應(yīng)商的產(chǎn)品中發(fā)現(xiàn)56個冰瀑漏洞，這些漏洞表明：工控安全在設(shè)計層面就存在根本性的重大問題。
報告指出，受冰瀑漏洞影響的制造商包括本特利內(nèi)華達(GE Bently Nevada)、艾默生電氣(Emerson)、霍尼韋爾(Honeywell)、捷太格特(JTEKT)、摩托羅拉、歐姆龍、菲尼克斯電氣(Phoenix Contract)、西門子和橫河電機(Yokogawa)。受影響產(chǎn)品列表如下：
根據(jù)報告，56個冰瀑漏洞主要分為以下幾類：
遠程代碼執(zhí)行(RCE)。允許攻擊者在受影響的設(shè)備上執(zhí)行任意代碼，但代碼可能在不同的專用處理器和處理器內(nèi)的不同上下文中執(zhí)行，因此RCE并不總是意味著對設(shè)備的完全控制。這通常是通過允許攻擊者提供任意代碼的不安全固件/邏輯更新功能來實現(xiàn)的。
拒絕服務(wù)(DoS)。允許攻擊者使設(shè)備完全脫機或阻止訪問某些功能。
文件/固件/配置操作。允許攻擊者更改設(shè)備的重要方面，例如存儲在其中的文件、在其上運行的固件或其特定配置。這通常是通過缺乏適當(dāng)?shù)纳矸蒡炞C/授權(quán)或完整性檢查的關(guān)鍵功能來實現(xiàn)的，這些功能會阻止攻擊者篡改設(shè)備。
憑據(jù)泄露。允許攻擊者獲取設(shè)備功能的憑據(jù)，通常是因為它們的存儲或傳輸不安全。
身份驗證繞過。允許攻擊者繞過現(xiàn)有的身份驗證功能，并在目標設(shè)備上調(diào)用所需的功能。
最常見的漏洞類型是憑據(jù)泄露(38%)，其次是固件操作(21%)、遠程代碼執(zhí)行RCE(14%)和配置操作(8%)。報告還列出了少量DoS、身份驗證繞過、文件操作和邏輯操作錯誤(下圖)：
“通過冰瀑漏洞的大規(guī)模披露，希望能對工控OT網(wǎng)絡(luò)安全設(shè)計漏洞進行定量描述和分析，而不是過去針對單個產(chǎn)品的周期性漏洞爆發(fā)或某個供應(yīng)商或資產(chǎn)所有者偶發(fā)的‘過錯’，后者經(jīng)常被忽視?！盕orescout解釋道。
Forescout透露，受冰瀑漏洞影響的產(chǎn)品系列中有74%通過了某種形式的安全認證，并認為如果制造商之前進行了深入的漏洞掃描，報告所揭示的大多數(shù)問題應(yīng)該相對快速、輕松地被發(fā)現(xiàn)。
除了冰瀑漏洞，報告還指出工控安全當(dāng)下存在六大常見風(fēng)險：
不安全的設(shè)計漏洞比比皆是
報告披露的漏洞中超過三分之一(38%)允許破壞憑據(jù)，固件操作位居第二(21%)和遠程代碼執(zhí)行位居第三(14%)。設(shè)計不安全問題的主要例子是與未經(jīng)身份驗證的協(xié)議相關(guān)的九個漏洞，但我們還發(fā)現(xiàn)了許多損壞的身份驗證方案，這些方案在實施時表現(xiàn)出低于標準的安全控制。
易受攻擊的產(chǎn)品通常經(jīng)過認證
受冰瀑漏洞影響的產(chǎn)品系列中有74%具有某種形式的安全認證，報告的大多數(shù)問題應(yīng)該在深入的漏洞發(fā)現(xiàn)過程中相對較快地發(fā)現(xiàn)。導(dǎo)致此問題的因素包括有限的評估范圍、不透明的安全定義以及對功能測試的關(guān)注。
由于缺乏CVE，風(fēng)險管理變得復(fù)雜
僅知道設(shè)備或協(xié)議不安全是不夠的。為了做出明智的風(fēng)險管理決策，資產(chǎn)所有者需要知道這些組件是如何變得不安全的。不安全設(shè)計導(dǎo)致的問題并不總是能夠分配CVE，因此經(jīng)常被忽視。
存在設(shè)計不安全的供應(yīng)鏈組件
OT供應(yīng)鏈組件中的漏洞往往不會被每個受影響的制造商報告，這導(dǎo)致了風(fēng)險管理的困難。
并非所有不安全的設(shè)計都是平等的
報告研究了通過本機功能在1級設(shè)備上獲得RCE的三種主要途徑：邏輯下載、固件更新和內(nèi)存讀/寫操作。所分析的系統(tǒng)都不支持邏輯簽名，并且大多數(shù)設(shè)備(52%)將其邏輯編譯為本機機器代碼。這些系統(tǒng)中有62%接受通過以太網(wǎng)下載固件，而只有51%具有此功能的身份驗證。
攻擊性能力的開發(fā)比想象的更容易達成
對單個專有協(xié)議進行逆向工程需要1天到2人工周，而對于復(fù)雜的多協(xié)議系統(tǒng)則需要5到6個人工月。這意味著，針對OT的惡意軟件或網(wǎng)絡(luò)攻擊可以由一個規(guī)模小但技術(shù)嫻熟的團隊以合理的成本開發(fā)。
· 總結(jié)：工控安全威脅態(tài)勢迅速惡化 ·
報告揭示了當(dāng)前工控安全的多層面問題：從安全認證產(chǎn)品中持續(xù)存在不安全設(shè)計，到拙劣的安全防御實踐。糟糕的漏洞管理以及提供虛假安全感的安全認證正在使OT風(fēng)險管理工作變得異常復(fù)雜和艱難。此外，行業(yè)的不透明性正在損害OT產(chǎn)品的安全性。許多不安全的設(shè)計問題并未分配CVE，因此經(jīng)常被忽視并繼續(xù)使用。
當(dāng)前階段，各種證據(jù)顯示工控安全威脅態(tài)勢正在快速惡化。通過將OT連接到物聯(lián)網(wǎng)和IT設(shè)備，曾經(jīng)因為不聯(lián)網(wǎng)而被忽視的漏洞現(xiàn)在已經(jīng)成為對攻擊者非常有吸引力的目標。
· 緩解措施 ·
1 發(fā)現(xiàn)和清點易受攻擊的設(shè)備
網(wǎng)絡(luò)可視性解決方案可以發(fā)現(xiàn)網(wǎng)絡(luò)中易受攻擊的設(shè)備，并應(yīng)用適當(dāng)?shù)目刂坪途徑獯胧?/span>
2 實施網(wǎng)絡(luò)分段控制和適當(dāng)?shù)木W(wǎng)絡(luò)健康檢測
降低易受攻擊設(shè)備的風(fēng)險。限制外部通信路徑，并在區(qū)域中隔離或包含易受攻擊的設(shè)備，以便在無法修補或漏洞修補之前的緩解控制。
3 監(jiān)控受影響設(shè)備供應(yīng)商發(fā)布的漸進式補丁程序
為易受攻擊的資產(chǎn)清單制定補救計劃，從而平衡業(yè)務(wù)風(fēng)險和業(yè)務(wù)連續(xù)性要求。
4 監(jiān)視所有網(wǎng)絡(luò)流量
查看否有試圖利用不安全的設(shè)計功能的惡意數(shù)據(jù)流。您應(yīng)該阻止異常流量，或者至少向網(wǎng)絡(luò)運營商發(fā)出警報。
來源：工控參考
