來源：SecurityFocus The security issues of real-time control systems, of which the best known are SCADA systems, has become a focus of both private industry and the government as worries mount that such systems could be used as the vector for a criminal or terrorist attack. While companies and security researchers are starting to tackle the ticklish issue of when and how to disclose vulnerabilities in such systems, cybersecurity incidents that affect such systems are rarely reported. Idaho國家實驗室和紐約州網絡安全與關鍵基礎設施局聯合分布式控制系統軟件的使用者與制造商就如何確保關鍵基礎設施的主要部分的系統安全性問題提出了建議。 他們將于本周為使用者和生產制造商出臺最新草案，草案包括一系列規則，對數據采集與監視控制（SCADA）系統供應商提出了具體的要求。SecurityFocus公司已對此進行了研究。這些規則旨在將系統的安全性問題提升到客戶與供應商商議的顯要位置，其目標在于使下一代關鍵基礎設施系統與當前系統的軟硬件相比具有更高的安全性。“我們認為我們可以查明安全問題中存在的普遍缺陷，也可以找出使工業技術安全措施更嚴密的方法，”基礎設施保護策略家Michael Assante說，“供應商反響出人意料的好——雖然這看起來可能是具有威脅性的事，但他們已經為提供更多的安全措施做好準備。” 隨著實時控制系統可能會成為進行犯罪與恐怖襲擊的運載體的憂慮日益增加，實時控制系統（最為人熟知就是SCADA系統）的安全性問題已經成為私營企業與政府共同關注的焦點。當企業與安全研究人員開始著手解決這個棘手的問題，即：何時，以何種方式披露這類系統的隱患時，襲擊這類系統的網絡安全事故卻鮮有報道。 由于在工業中很少提及網絡安全事故與漏洞，三位安全研究專家正在尋求一種更好的方法，從而使得供應商可以提供更好的安全措施。這三位安全研究專家—Idaho國家實驗室的Assante，來自紐約州網絡安全與關鍵基礎設施局的William Pelgrin與SANS研究院研究主任Alan Paller—決定在制定控制系統安全規范手冊的同時，制定能夠寫入供應商合同的條例。該項目由國土安全部提供基金。 這些準則即為人知曉的“獲取控制系統安全條例”，它涵蓋的主題包括去除加重系統負擔的冗余服務與方案，為操作制定最基本的必需的防火墻規則集從而使周邊安全不會被削弱，禁止或限制游客訪問及其他常用方法。另外，這些準則還為公司提供了委托條例，要求控制系統生產商保證提供一定的代碼調試，提供補救漏洞的過程和檢測系統上運行的惡意軟件程序的能力。 支持該項目的公司中的紐約電力局、紐約獨立系統操作者與ConEdison公司于周三宣布，紐約市皇后區在經歷了長達一周之久的斷電之后，幾乎所有客戶都已恢復供電。由于公司沒有分布式數據采集系統，無法檢測該地區哪段輸電網遭到破壞，公司只能派出技術人員在該地區進行拉網式排查。 SANS的Paller說，檢測機械故障從而避免重大斷電事故與排查生產故障是使用數據采集與監視控制（SCADA）系統及其他分布式控制系統的部分原因。然而由于歷史原因，這類系統的創建者并沒有考慮系統的網絡安全性。 “這些家伙并非不清楚自己所作所為，” Paller說，“出現以上情況的部分原因是由于這些系統是20年前設計的，部分原因是由于設計該系統的設計師們以為這類系統是孤立的隔離系統。但是—突然—他們不再是隔離系統了。 Idaho國家實驗室的Assante說，隨著越來越多的公司認識到遠程管理與監控顯而易見的優越性，這類系統也正以更快的速度更新換代。數據采集與監視控制（SCADA）系統通常歷時大約15至30年，由于新的科學技術的不斷注入，現在的系統更趨向于使用僅8到12年。 然而，如果不采取一定的安全措施，遠程管理的趨勢將意味著系統更加不堪一擊，Assante補充道。“我們仍在吃思想觀念問題和對如何解決故障與風險（而不是故障風險的必然性）的苦頭。” 對分布式控制系統的威脅絕不是聳人聽聞，系統脆弱性研究人員已經開始在安全與黑客大會上討論這類系統的缺陷。自主安全研究人員Shawn Merdinger曾計劃在即將在拉斯維加斯召開的DEFCON黑客大會上討論關鍵基礎設施網絡元件的脆弱性，但由于他的研究明顯顯示出至少存在少數系統在明知會遭到攻擊的情況下卻仍然通過本地路由器連接到互聯網上而被取消了演講。 “這些家伙制造世界上最安全最靈敏的元件，而他們通過本地路由器使用FTP和電子郵件進行交流將這一切付之一炬，”默迪格說。“這種做法毫無安全性可言。”Merdinger說，他曾嘗試通知存在這種弊病的公司，但卻至今未收到任何回復。其他一些深知系統隱患的有識之士則認為這些隱患絕非小事一樁。 “我的經驗是：這類重大的安全漏洞在關鍵系統中是非常普遍的，絕不是個例，”一位精通網絡脆弱性的研究人員“FX”說，“我們可以看到當今在整個第一世界國家中的進步：在市場的壓力下，企業甚至是個人的網絡元件的安全性能都在逐步提高，而SCADA與其他關鍵系統卻停滯不前了。” SCADA安全顧問數字化證券首席執行官Dale Peterson說，最新的項目只需要增加購買人員與系統供應商的商議的透明度即可解決上述問題。公司最近要求一個關鍵基礎設施的供應商提供該公司的元件所有的安全參數和推薦設置。兩個月過去了，公司卻一無所獲。“安全性要求被忽略的主要原因在于設備所有者并不清楚自己的需求，” Peterson說，“對他們中的很多人來說信息安全是一個嶄新的領域。” Idaho國家實驗室的Assante說，面對客戶專門提出的特定的安全措施要求，分布式控制系統生產商必須迅速在這方面達到專業水平。“控制系統的可靠性與可用性的確越來越受到重視，所以我們必須保證生產商們同時明白一點：安全性也是必不可少的一部分，而絕不是可有可無的。”，Assante說。