游客

标题:工控告急
正文:
如果国内安全厂商在平时不能对工控做构建等准备，一旦出现安全事故再进场，必然十分茫然。

　　今年8月有一件事让我感到遗憾——在高铁事故调查组中没有见到信息安全专家的身影。虽然狭义上看这并非一起信息安全事故，但我们应该看到，由物理安全和电气安全组成的现有工业系统安全观已经陈旧，面对复杂的国际形势和国内情况，中国高铁的安全以至整个工业体系的安全都需要经得起国土安全角度的考察和推敲。

　　这种检视不但要基于常态运营，更要基于突发事件、自然灾害、恐怖袭击等。潜在的威胁不仅来自物理层面上，还可能来自信号层面和信息层面，此时就需要信息安全专家的出场了。

　　在动车事故发生前，高铁系统已经发生了3起电气事故。网上曾出现传言称这几起事故是某些国家释放出蠕虫所致。我对此做了搜索对比，发现这一传言是由此前在《新京报》的一篇报道中的部分文字与一些所谓“蠕虫”的消息拼接而成。从内容上看，漏洞百出，质量极低。但就是这样一条假新闻，却被国内网站大量转载，其中不乏专业的电气技术协会组织。

　　全球工业系统的安全形势已经是危机四伏。该领域代表性企业西门子公司的产品必然是攻防双方的一个重点战场。在8月6日的Black Hat USA大会上，安全专家Dillon Beresford介绍了在西门子公司工业控制系统中发现更多漏洞的情况，这些漏洞包括复活节彩蛋、可用于发起远程拒绝服务攻击的漏洞，甚至是管理账号和密码硬编码漏洞。

　　应当指出，在2010年的震网（Stuxnet）蠕虫事件中，将用户名和口令硬编码到应用程序中的问题已经出现在了西门子公司的WinCC产品中，并成为震网蠕虫攻击的重要环节。这种不符合基本开发规范的编码实现，也意味着攻击者一旦发现并利用，就可以通吃通杀，而防守方却无法彻底解决问题。

　　震网蠕虫事件时，我们曾指出数据、配置、代码三分开也是工控系统开发的基本原则。但可以看到，西门子公司并未对相关问题做出调整。这似乎表明西门子公司仍然用产品私密性来保障其体系的安全。他们是否还以为，将更多权限开放给用户并不是应对安全问题的有效方法，而只会给自己带来更多麻烦？如果西门子公司没有其他层面的蓄意，我们只能认为其安全观是落后的。

　　在8月召开的中国计算机网络安全年会上，组织者
[<<][[1]][2][>>]

查看评论(1)
发表评论



首页