电网SCADA系统安全——安全厂商的新机会-第2页-北极星电力软件网

投稿

我要投稿

平均来看， 31%的漏洞存在于约1%的供应商的产品中。从前十位的供应商中，只有一个供应商的产品在2012年被发现的漏洞数量降低。微软和苹果操作系统的漏洞从2011年到2012年的数量下降很多，分别为56% 和53%。从2010年到2012年，的漏洞数量增长了6倍。

另外一个相关的研究是关于针对系统的攻击复杂度。结果显示，低复杂度攻击的漏洞从2000年的占90%下降到2012年的48%，而同期，中复杂度的漏洞从5%上升到47%。而高复杂度的漏洞比例则稳定在4%左右。

根据安全专家的分析， SCADA 系统安全的主要问题在于，这些系统最初设计并不是用来接入Internet的。因此，在产品开发阶段，产品的安全性并没有被考虑在内。

安全专家Dale Peterson在一次安全峰会上指出：一些主流工业PLC（可编程控制器）厂商产品中都存在一系列的漏洞。9/11已经过去10年了，厂商们应该了解其中的危险有多大。

除此之外，的安全还有一个严重的问题，那就是，在得知产品的安全缺陷时，厂商的无所作为。 Peterson说：“它们很多年都不去处理这些安全问题。有的厂商认为产品过去10年没问题，今后10年不去修补也不会有问题。”(编者：其实这也多少有点冤枉这些厂商了，一来很多工控系统一旦交付使用，工控厂商不能想微软或者苹果一样随便就从网上给人家打个补丁，另外工控厂商毕竟不是专业安全厂商，如何开发补丁，如何安全的安装补丁也不是其所擅长)

SCADA系统的攻击面

为了更好地了解对SCADA系统的安全及攻击，有必要了解一下SCADA系统的各个组成部分。

根据最终用途不同，市场上有很多不同特点的SCADA系统，一般来说，一个SCADA系统由下面几个部分组成：

人机界面(HMI)：负责对操作员的数据表现，通常包括一个监控生产流程的终端。

远程终端单元(RTU)：是由微处理器控制的电子设备，用来在传感器与SCADA之间传输数据。

监视管理系统：用来采集数据并且控制生产流程

可编程控制器(PLC)：作为现场设备的最终控制器链接监视管理系统和远程终端单元的通讯系统各种流程和分析仪表

对于攻击者来说，攻击这样的系统有几个攻击点。比如可以用恶意软件来感染监视管理系统，监视管理系统通常是采用商业操作系统的计算机(编者：在很多企业里采用的还是Windows XP)。这些商业操作系统可能会被黑客利用0-day漏洞或者其他知名的漏洞进行攻击(比如“震网”病毒就利用了微软系统的几个漏洞)。

在很多情况下，黑客可以很容易地利用Internet上的漏洞攻击工具进行攻击。此外， SCADA还可以有其他多种感染方式：比如病毒可以通过U盘或者网络进入系统(比如，很多工控系统的维护是由第三方公司来完成的，而第三方公司的工程师很多是用自带U盘来携带维护和检测工具的)。因此，这些接口应该被正确的保护起来，应该确保非授权用户不能使用这些接口。

在很多行业，特别是全球的能源行业，把重要基础设施的安全作为重中之中。根据Frost&Sullivan的一份报告，重要基础设施安全的市场在2011年为183亿美元。而到2021年将达到313亿美元。增长主要来自于更多的行业对重要基础设施的物理和网络安全的重视。

根据Frost&Sullivan的高级分析师Anshul Sharma的分析：“全球石油公司正在为他们的基础设施的安全投入巨额资本。

随着对网络威胁的认识，企业正在采取安全风险管理的方法，对基础设施进行风险评估来确保网络安全的投资收益。对这些企业而言，安全风险包含了从信息泄露到恐怖袭击等一个很大的范围。

网络攻击由此带来的经济损失将会是巨大的，而这也取决于攻击者的动机。比如说针对远程控制的SCADA系统的攻击所造成的损失，要远远大于信息泄露所造成的损失。”

根据美国国土安全部的安全应急响应小组的一份报告，通过对一个用来备份工控系统配置文件的USB盘的扫描，就发现了三种不同的恶意软件。这些恶意软件代码的复杂程度非常高，这意味着这些恶意代码背后的黑客是一群专业的研究目标系统漏洞的专家。这份报告也重申了在中采用必要的基础的防护的重要性：

“尽管在现有的中部署防病毒系统有很多挑战，部署防病毒的系统可以从USB盘或者工作站中有效地发现那些普通的或者高级的恶意软件。”

投稿与新闻线索：陈女士微信/手机：13693626116 邮箱：chenchen#bjxmail.com（请将#改成@）

订阅北极星周刊，精彩内容不再错过！

特别声明：北极星转载其他网站内容，出于传递更多信息而非盈利之目的，同时并不代表赞成其观点或证实其描述，内容仅供参考。版权归原作者所有，若有侵权，请联系我们删除。

凡来源注明北极星*网的内容为北极星原创，转载需获授权。

SCADA查看更多>系统安全查看更多>PLC查看更多>

姓名：
性别：
出生日期：
邮箱：
所在地区：
行业类别：
工作经验：
学历：
公司名称：
任职岗位：

电网SCADA系统安全——安全厂商的新机会

登录注册

绑定账号

想要获取更精准资讯推荐？建议您完善以下信息~

订阅成功

想要获取更精准资讯推荐？建议您
完善以下信息~