工业物联网时代,工控安全的风险与防御

  点击数:958  发布时间:2019-03-28 10:07
Positive Technologies 公司的研究员在工业网络解决方案提供商摩莎 (Moxa) 制造的 EDS 和 IKS 交换机中发现了十多个漏洞,其中包含一个“严重”等级的漏洞。该供应商已经发布相关补丁和缓解措施。
关键词:工业物联网 ,工业互联网 ,工业安全

据工业互联网安全应急响应中心信息:

Positive Technologies 公司的研究员在工业网络解决方案提供商摩莎 (Moxa) 制造的 EDS 和 IKS 交换机中发现了十多个漏洞,其中包含一个“严重”等级的漏洞。该供应商已经发布相关补丁和缓解措施。

Positive Technologies 公司在 EDS-405A、EDS-408A和 EDS-510A 中发现了5个安全漏洞。问题包括以明文形式存储密码、使用可预测的会话 ID、未对敏感数据加密、缺乏阻止暴力攻击的机制以及可被用于发动 DoS 攻击的缺陷。

摩莎 IKS-G6824A 系列的交换机中包含7种类型的漏洞,包括一个可导致远程代码执行的缓冲区溢出漏洞、以明文形式存储密码、多个跨站点脚本问题、未能处理某种数据包类型、内存泄漏问题、对 web 接口的访问控制不当以及多个跨站点请求伪造漏洞。

研究人员指出,“最严重的一个漏洞涉及 web 接口中的一个缓冲区溢出,可在无需登录的情况下执行攻击。利用该漏洞可导致拒绝服务和部分远程代码执行。攻击者还可利用其它漏洞导致交换机永久性拒绝服务、读取设备内存、以合法用户的身份在设备 web 接口执行各种动作。”

这些安全漏洞影响运行3.8或更低版本固件的 EDS 交换机以及运行版本 4.5 或更低版本固件的 IKS 交换机。很多缺陷已在上个月得到修复。余下的漏洞问题可通过将设备配置为仅使用 HTTPS (EDS 交换机)和使用 SNMP、Telnet 或 CLI 控制台访问而非使用 HTTP web 控制台(IKS 交换机)的形式得以缓解。

研究人员表示,“易遭攻击的交换机可能意味着整个工业网络遭攻陷。如果 ICS 组件是身体的组成部分,那么你可以将网络设备看做连接它们的动脉。因此破坏网络交互能够降级或者完全阻止 ICS 运营。”

INSComment引石安评:

(一)我国工控系统的现状

我国工控系统,尤其是在一些重要的工控系统,95%以上都是采用国外的核心硬件PLC,其相配套的工业控制软件,也是主动国外产品。国内厂商的工业控制产品大都缺失核心技术,如果没有国外厂商的支持和配合,工控的安全技术措施很难在现有的工控系统硬件和软件上实施,自主的工控系统信息安全防御无处下手。

工业安全将是和平年代的国家战略基础!习主席提出“没有网络安全就没有国家安全,没有信息化就没有现代化。”将安全上升到国家战略层面。同时指出:“金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢,是网络安全的重中之重,也是可能遭到重点攻击的目标!”随着国家对安全的重视,国家制订了安全战略规划,推出了自主的国家密码算法,鼓励使用自主的专利技术,让工业控制系统的安全逐步走到国人自主的道路上来。

当下,我国工控网络安全虽然做了一些工作,但是基本上是把信息系统的安全措施平移到工业控制系统上来,主要以防火墙网关,网闸为主。从结构上来看,围绕工控核心系统在外围采取了包裹防御的策略,形成了分域防护、纵深防御的技术路线。但工控核心系统的安全问题仍未被触及。实际情况是,分域防护实现了工控网络的区域间访问控制,但纵深防御远未落实。

(二)我国工控系统安全面临的挑战

随着人工智能技术的发展,工业物联网将成为今后工业发展的重点,2019年两会期间,国家指出了工业物联网的发展方向,国家重点企业都提出了各自的工业物联网发展规划。

在今后的工业物联网发展过程中,更多的工业设备被加入到工业物联网中,大量设备的安全认证、数据传输及运行计算仅通过中心来实现显然是不现实的,降低中心的压力,更多计算将通过边缘计算来实现。尤其对于处于工控安全核心区的防护是工业物联网趋势下,最需要首先应对的问题。

工控应用中,现有防火墙防御存在安全隐患:仅能抵御一般攻击,但无法应对体系化的攻击风险;同时,工业核心区域外围防护较弱,一旦突破,将面临全面失守,缺乏防御纵深;目前,严重依赖现场人员能力的自学习+人工配置,不能保证白名单是白的,可能还包含了持久化工具,导致安全风险加大。

(三)基于标识公钥体系的工控安全防御架构

摩莎 (Moxa) 工业交互机的安全漏洞事件反应出工控行业产品对安全防御的严重缺失,随着工业物联网的发展。仅仅采用传统的安全手段去进行工业安全防御是不行的,无法对工控安全风险做出更好的防御。

传统的证书体系需要引入第三方,会造成工控安全投入与实施的难度,在实际应用中也会带来不便。标识公钥体系的安全架构使得工业物联网应用中不需要数字证书的参与,而是将物联网接入设备的标识作为演算并分发公/私钥的因子,并且公钥的计算过程同时也是公钥真实性的证明过程,解决了公钥的分发与证明问题,实现了工业物联网的轻量且去中心化的公钥安全体系。

标识公钥技术可以实现工业物联网中设备之间的点对点认证,完全满足工业物联网节点多、分布广、低功耗等需求特点,同时满足对于证书认证无法实现的物联网NB-IoT、LoRa等窄带通讯的安全认证,解决了物联网密钥分发与管理的技术性难题,其安全架构为物联网的应用建立了主动安全防御体系。

(四)保障工控安全的新一代安全交换机产品展望

构建可信白名单机制: 采用标识公钥数字签名技术构建可信的白名单,并对接入的设备提供有效的身份认证机制,弥补自学习和人工设定的缺陷。

为工控核心区建立访问控制:自主可控的工控安全交换机,提供核心区的访问控制能力,在工业现场实现基于可信白名单的工控核心区的访问控制策略,建立纵深防御能力。

为企业/行业/国家检测建立体系化评估规范:依托可信白名单与身份认证机制和安全工控交换机,为企业(能源/电力/交通等行业)建立工控设备的安全认证机制与数据安全保护,形成工控安全领域的检测与评估规范。

基于IPK标识安全技术,携手工控安全上市企业推出新一代安全交换机产品,采用分布架构,实现边缘计算,使用国家密码算法,自主可控,为工控安全提供全新解决方案,拓展防御纵深,保护工控核心,构筑工控安全新防线!

来源:引石安评

相关文章


热点新闻
推荐产品