工控系统安全的NDay漏洞比0Day漏洞威胁更大 设备打补丁很麻烦

在涉及 网络安全威胁 时， 0Day攻击 往往会成为焦点，但它实际上是已知的漏洞，而NDay漏洞对许多组织，尤其是工业部门的组织来说是一个更大的问题，一方面 Nday漏洞在大型 关键基础设施 中大量存在，另一方面受限于 技术复杂性和行动缓慢的供应链限制，打补丁是个相当麻烦的事情。
Nday漏洞在大型关键基础设施中大量存在
尽管 0Day漏洞 是软件开发商或硬件制造商未知的一类漏洞，但NDay漏洞是一个已公开的漏洞，可能有或没有可用的安全补丁。 目前存在着无数已知的漏洞，许多大型商业和政府实体，会发现它们在广泛的网络覆盖范围内有重大的风险。
然而，对于那些依赖工业控制系统（ICS）的组织来说，如能源、制造业和基础设施部门，这个问题更为严重。 这是因为ICS设备可能非常难以更新和修补。 更糟糕的是，ICS固件通常是在内置安全控制不足的情况下开发的，产品制造商可能很难修复新发现的漏洞和威胁。
一年多来，我们的团队分析了广泛使用的ICS设备的固件中的未修复N日漏洞，以便更好地理解问题。 其中一些发现 最近 在迈阿密举行的S4x18安全会议上提出。我们发现NDay漏洞在ICS环境中非常普遍。 几乎所有阅读这篇文章的运营商都可能在他们的系统中拥有大量的NDay漏洞。
推荐阅读：
2018年1月， 2018工控安全发展趋势 8个方向直击工业控制系统要害 ，PV 8727
2017年9月， 蜻蜓组织正在攻击多国能源行业 能控制运营系统计算机且更为隐蔽 ，PV 7877
2017年6月， 【下载】Industroyer工控恶意软件分析及防护方案 分析表明作者熟知4种工控协议 ，PV 5149
NDay漏洞 vs. 0Day漏洞
Nday漏洞是攻击者的金矿，因为艰苦的工作已经完成。 在某些情况下，积极的行为可能已经存在，并可以从公开披露文件中随时获得。 将其与0Day相比较，发现和利用费时费钱，这是他们在犯罪团伙中使用率下降的原因。
虽然NDay对任何大型网络构成威胁，但由于工业环境特有的特定情况，期所面临的风险特别高：

• 系统必须始终可用。
  
• 没有标准化。例如，与标准计算环境相反，在ICS中修补通常是手动特有的过程，需要每个供应商都有独特的软件和知识。
  
• 修补程序很少在使用共享代码的供应商之间传播。 这突出显示了我们在S4中列出的一个例子，其中 向电信行业的供应商报告 了漏洞，由软件供应商（英特尔/ Windriver）进行了修补，但补丁并未被ICS中的其他大型供应商应用。
  
• 延长寿命。 系统通常在现场部署超过十年，并且已经过了支持期。 希望销售新产品的供应商，通常会抑制常规修补和旧产品的安全更新，哪怕是这些产品仍然在现场大量存在。
  

让我们看看几个真实的案例 来说明下风险
业界已经看到了多起利用ICS设备和协议中的NDay漏洞，针对工业目标发起的攻击。 一些例子包括：

• CrashOverride 或 Industroyer ：这个恶意软件在2016年12月的一次袭击中被使用， 这次攻击扰乱了乌克兰电力变电站的运营。 它 利用西门子SIPROTEC继电器已知的 DoS漏洞 CVE-2015-5374 。
  
• TRITON 或 HatMan：该ICS工控恶意软件于2017年发现，目 标是施耐德电气的Triconex安全仪表系统（SIS）控制器的紧急关闭功能。
  
• BlackEnergy ：该恶意软件包含针对特定类型HMI应用程序的漏洞攻击，包括西门子SIMATIC、GE CIMPLICITY和Advantech WebAccess。
  

高风险漏洞
我们在ICS固件中发现的很多NDay都非常关键，可能会让黑客获得对工业厂商网络或设施部分的远程访问权限和全面控制权。这些NDay 可能让攻击者更容易地复制CrashOverride、TRITON、BlackEnergy甚至 Stuxnet 的效果，并且规模更大。
例如，在我们研究VxWorks 5.5.1漏洞（上面讨论过）的研究中，我们发现每个主要制造商都有一个产品在这N天内仍然没有进行修补。 这个漏洞在任何情况下都不是针对单个ICS工控产品列出的，因此供应商可能不知道存在这些漏洞。 这些漏洞可用于恶意目的，如操纵设置和控制，物理破坏或破坏设备，中断关键操作以及窃取敏感信息。
由于我们发现的大量漏洞以及ICS工控系统补丁的交付周期（以及较低的补丁渗透率），我们决定不公开针对指定设备的单个漏洞，以免设备操作人员无法响应。
修补不是办法 需要从源头抓起
ICS工控NDay漏洞不是一个容易解决的问题。 解决方案受到技术复杂性和行动缓慢的供应链的限制。 尽管如此，业界可以做很多事情来解决这个问题。
首先，修补已知漏洞的当前被动方法已不再成立。 ICS环境的每个组件需要从一开始就具有强大的安全性，包括软件、固件和硬件，以降低NDay漏洞和其他问题的总体风险，并减轻或防止其开发造成的损害。
最好的解决方案将结合入侵检测和缓解技术，在不依赖连续更新的情况下防止已知和未知的攻击。 总的来说，这些功能并不存在，所以制造商有义务尽快开发或采购这种技术。