據工業(yè)互聯(lián)網(wǎng)安全應急響應中心信息：

Positive Technologies 公司的研究員在工業(yè)網(wǎng)絡(luò )解決方案提供商摩莎 (Moxa) 制造的 EDS 和 IKS 交換機中發(fā)現了十多個(gè)漏洞，其中包含一個(gè)“嚴重”等級的漏洞。該供應商已經(jīng)發(fā)布相關(guān)補丁和緩解措施。

Positive Technologies 公司在 EDS-405A、EDS-408A和 EDS-510A 中發(fā)現了5個(gè)安全漏洞。問(wèn)題包括以明文形式存儲密碼、使用可預測的會(huì )話(huà) ID、未對敏感數據加密、缺乏阻止暴力攻擊的機制以及可被用于發(fā)動(dòng) DoS 攻擊的缺陷。

摩莎 IKS-G6824A 系列的交換機中包含7種類(lèi)型的漏洞，包括一個(gè)可導致遠程代碼執行的緩沖區溢出漏洞、以明文形式存儲密碼、多個(gè)跨站點(diǎn)腳本問(wèn)題、未能處理某種數據包類(lèi)型、內存泄漏問(wèn)題、對 web 接口的訪(fǎng)問(wèn)控制不當以及多個(gè)跨站點(diǎn)請求偽造漏洞。

研究人員指出，“最嚴重的一個(gè)漏洞涉及 web 接口中的一個(gè)緩沖區溢出，可在無(wú)需登錄的情況下執行攻擊。利用該漏洞可導致拒絕服務(wù)和部分遠程代碼執行。攻擊者還可利用其它漏洞導致交換機永久性拒絕服務(wù)、讀取設備內存、以合法用戶(hù)的身份在設備 web 接口執行各種動(dòng)作?！?/p>

這些安全漏洞影響運行3.8或更低版本固件的 EDS 交換機以及運行版本 4.5 或更低版本固件的 IKS 交換機。很多缺陷已在上個(gè)月得到修復。余下的漏洞問(wèn)題可通過(guò)將設備配置為僅使用 HTTPS （EDS 交換機）和使用 SNMP、Telnet 或 CLI 控制臺訪(fǎng)問(wèn)而非使用 HTTP web 控制臺（IKS 交換機）的形式得以緩解。

研究人員表示，“易遭攻擊的交換機可能意味著(zhù)整個(gè)工業(yè)網(wǎng)絡(luò )遭攻陷。如果 ICS 組件是身體的組成部分，那么你可以將網(wǎng)絡(luò )設備看做連接它們的動(dòng)脈。因此破壞網(wǎng)絡(luò )交互能夠降級或者完全阻止 ICS 運營(yíng)?！?/p>

INSComment引石安評：

（一）我國工控系統的現狀

我國工控系統，尤其是在一些重要的工控系統，95%以上都是采用國外的核心硬件PLC，其相配套的工業(yè)控制軟件，也是主動(dòng)國外產(chǎn)品。國內廠(chǎng)商的工業(yè)控制產(chǎn)品大都缺失核心技術(shù)，如果沒(méi)有國外廠(chǎng)商的支持和配合，工控的安全技術(shù)措施很難在現有的工控系統硬件和軟件上實(shí)施，自主的工控系統信息安全防御無(wú)處下手。

工業(yè)安全將是和平年代的國家戰略基礎！習主席提出“沒(méi)有網(wǎng)絡(luò )安全就沒(méi)有國家安全，沒(méi)有信息化就沒(méi)有現代化?！睂踩仙絿覒鹇詫用?。同時(shí)指出：“金融、能源、電力、通信、交通等領(lǐng)域的關(guān)鍵信息基礎設施是經(jīng)濟社會(huì )運行的神經(jīng)中樞，是網(wǎng)絡(luò )安全的重中之重，也是可能遭到重點(diǎn)攻擊的目標！”隨著(zhù)國家對安全的重視，國家制訂了安全戰略規劃，推出了自主的國家密碼算法，鼓勵使用自主的專(zhuān)利技術(shù)，讓工業(yè)控制系統的安全逐步走到國人自主的道路上來(lái)。

當下，我國工控網(wǎng)絡(luò )安全雖然做了一些工作，但是基本上是把信息系統的安全措施平移到工業(yè)控制系統上來(lái)，主要以防火墻網(wǎng)關(guān)，網(wǎng)閘為主。從結構上來(lái)看，圍繞工控核心系統在外圍采取了包裹防御的策略，形成了分域防護、縱深防御的技術(shù)路線(xiàn)。但工控核心系統的安全問(wèn)題仍未被觸及。實(shí)際情況是，分域防護實(shí)現了工控網(wǎng)絡(luò )的區域間訪(fǎng)問(wèn)控制，但縱深防御遠未落實(shí)。

（二）我國工控系統安全面臨的挑戰

隨著(zhù)人工智能技術(shù)的發(fā)展，工業(yè)物聯(lián)網(wǎng)將成為今后工業(yè)發(fā)展的重點(diǎn)，2019年兩會(huì )期間，國家指出了工業(yè)物聯(lián)網(wǎng)的發(fā)展方向，國家重點(diǎn)企業(yè)都提出了各自的工業(yè)物聯(lián)網(wǎng)發(fā)展規劃。

在今后的工業(yè)物聯(lián)網(wǎng)發(fā)展過(guò)程中，更多的工業(yè)設備被加入到工業(yè)物聯(lián)網(wǎng)中，大量設備的安全認證、數據傳輸及運行計算僅通過(guò)中心來(lái)實(shí)現顯然是不現實(shí)的，降低中心的壓力，更多計算將通過(guò)邊緣計算來(lái)實(shí)現。尤其對于處于工控安全核心區的防護是工業(yè)物聯(lián)網(wǎng)趨勢下，最需要首先應對的問(wèn)題。

工控應用中，現有防火墻防御存在安全隱患：僅能抵御一般攻擊，但無(wú)法應對體系化的攻擊風(fēng)險；同時(shí)，工業(yè)核心區域外圍防護較弱，一旦突破，將面臨全面失守，缺乏防御縱深；目前，嚴重依賴(lài)現場(chǎng)人員能力的自學(xué)習+人工配置，不能保證白名單是白的，可能還包含了持久化工具，導致安全風(fēng)險加大。

（三）基于標識公鑰體系的工控安全防御架構

摩莎 (Moxa) 工業(yè)交互機的安全漏洞事件反應出工控行業(yè)產(chǎn)品對安全防御的嚴重缺失，隨著(zhù)工業(yè)物聯(lián)網(wǎng)的發(fā)展。僅僅采用傳統的安全手段去進(jìn)行工業(yè)安全防御是不行的，無(wú)法對工控安全風(fēng)險做出更好的防御。

傳統的證書(shū)體系需要引入第三方，會(huì )造成工控安全投入與實(shí)施的難度，在實(shí)際應用中也會(huì )帶來(lái)不便。標識公鑰體系的安全架構使得工業(yè)物聯(lián)網(wǎng)應用中不需要數字證書(shū)的參與，而是將物聯(lián)網(wǎng)接入設備的標識作為演算并分發(fā)公/私鑰的因子，并且公鑰的計算過(guò)程同時(shí)也是公鑰真實(shí)性的證明過(guò)程，解決了公鑰的分發(fā)與證明問(wèn)題，實(shí)現了工業(yè)物聯(lián)網(wǎng)的輕量且去中心化的公鑰安全體系。

標識公鑰技術(shù)可以實(shí)現工業(yè)物聯(lián)網(wǎng)中設備之間的點(diǎn)對點(diǎn)認證，完全滿(mǎn)足工業(yè)物聯(lián)網(wǎng)節點(diǎn)多、分布廣、低功耗等需求特點(diǎn)，同時(shí)滿(mǎn)足對于證書(shū)認證無(wú)法實(shí)現的物聯(lián)網(wǎng)NB-IoT、LoRa等窄帶通訊的安全認證，解決了物聯(lián)網(wǎng)密鑰分發(fā)與管理的技術(shù)性難題，其安全架構為物聯(lián)網(wǎng)的應用建立了主動(dòng)安全防御體系。

（四）保障工控安全的新一代安全交換機產(chǎn)品展望

構建可信白名單機制： 采用標識公鑰數字簽名技術(shù)構建可信的白名單，并對接入的設備提供有效的身份認證機制，彌補自學(xué)習和人工設定的缺陷。

為工控核心區建立訪(fǎng)問(wèn)控制：自主可控的工控安全交換機，提供核心區的訪(fǎng)問(wèn)控制能力，在工業(yè)現場(chǎng)實(shí)現基于可信白名單的工控核心區的訪(fǎng)問(wèn)控制策略，建立縱深防御能力。

為企業(yè)/行業(yè)/國家檢測建立體系化評估規范：依托可信白名單與身份認證機制和安全工控交換機，為企業(yè)（能源/電力/交通等行業(yè)）建立工控設備的安全認證機制與數據安全保護，形成工控安全領(lǐng)域的檢測與評估規范。

基于IPK標識安全技術(shù)，攜手工控安全上市企業(yè)推出新一代安全交換機產(chǎn)品，采用分布架構，實(shí)現邊緣計算，使用國家密碼算法，自主可控，為工控安全提供全新解決方案，拓展防御縱深，保護工控核心，構筑工控安全新防線(xiàn)！

來(lái)源：引石安評