【推荐下载】工业软件隐藏着巨大的危机和灾难.pdfVIP

张小只智能机械工业网

工业软件隐藏着巨大的危机和灾难

 如果国内安全厂商在平时不能对工控做构建等准备，一旦出现安全事故再进场，必

然十分茫然。

 今年8月有一件事让笔者感到遗憾在高铁事故调查组中没有见到信息安全专家

的身影。虽然狭义上看这并非一起信息安全事故，但我们应该看到，由物理安全和电

气安全组成的现有工业系统安全观已经陈旧，面对复杂的国际形势和国内情况，我国

高铁的安全以至整个工业体系的安全都需要经得起国土安全角度的考察和推敲。

 这种检视不但要基于常态运营，更要基于突发事件、自然灾害、恐怖袭击等。

潜在的威胁不仅来自物理层面上，还可能来自信号层面和信息层面，此时就需要信息

安全专家的出场了。

 在动车事故发生前，高铁系统已经发生了3起电气事故。网上曾出现传言称这

几起事故是某些国家释放出蠕虫所致。我对此做了搜索对比，发现这一传言是由此前

在《新京报》的一篇报道中的部分文字与一些所谓蠕虫的消息拼接而成。从内容上

看，漏洞百出，质量极低。但就是这样一条假新闻，却被国内网站大量转载，其中不

乏专业的电气技术协会组织。

 全球工业系统的安全形势已经是危机四伏。该领域代表性企业西门子公司的产

品必然是攻防双方的一个重点战场。在8月6日的BlackHatUSA大会上，安全专家

DillonBeresford介绍了在西门子公司工业控制系统中发现更多漏洞的情况，这些漏洞

包括复活节彩蛋、可用于发起远程拒绝服务攻击的漏洞，甚至是管理账号和密码硬编

码漏洞。

张小只机械知识库

张小只智能机械工业网

 应当指出，在2010年的震网（Stuxnet）蠕虫事件中，将用户名和口令硬编码到

应用程序中的问题已经出现在了西门子公司的WinCC产品中，并成为震网蠕虫攻击的

重要环节。这种不符合基本开发规范的编码实现，也意味着攻击者一旦发现并利用，

就可以通吃通杀，而防守方却无法彻底解决问题。

 震网蠕虫事件时，我们曾指出数据、配置、代码三分开也是工控系统开发的基

本原则。但可以看到，西门子公司并未对相关问题做出调整。这似乎表明西门子公司

仍然用产品私密性来保障其体系的安全。他们是否还以为，将更多权限开放给用户并

不是应对安全问题的有效方法，而只会给自己带来更多麻烦？如果西门子公司没有其

他层面的蓄意，我们只能认为其安全观是落后的。

 在8月召开的我国计算机网络安全年会上，组织者出于对工控问题的重视，无

论是在高峰论坛还是在专题技术报告均安排了西门子公司发言。但西门子公司却将此

视为危机公关的机会。

 概括其主旨观点，就是微软的漏洞太多，震网蠕虫作者手段太高超，我们已经

做出了响应，所以我们没有任何责任。至于西门子公司工控系统的漏洞问题，以及对

全局问题的总结和反思，则丝毫未谈。这种推卸责任的态度让很多在场的安全界同行

愤愤不平。

 从全球范围看，目前对工控安全的研究已经从最初对终端系统和应用软件的漏

洞挖掘开始向软硬件结合和工控体系安全的方向扩展。今年3月，RubenSantamarta

在RootedCon作了题为SCADATrojans:AttackingtheGrid的技术报告，他对电力体系

的理解之深刻，让笔者一位多年从事硬件研发的同事赞叹不已。工业控制系统的基础

设施依然是复杂而昂贵的，如果国内安全厂商在平时不能对这些场景做构建等准备，

一旦出现安全事故再进场，必然十分茫然。

张小只机械知识库

张小只智能机械工业网

 在这一领域，我们需要感谢US-CERT的工业控制系统安全小组，他们分析整理

了大量相关漏洞信息，其简报也是该领域最为系统的聚合信息之一。美国国家标准和

技术研究所发布的《工业控制系统安全指南》和《工业控制系统反病毒软件指南》等

也是值得研究参考的文献。美国能源局、特情局、国家实验室等也纷纷开通专题网

站、发布研究报告，对此问题的重视程度可见一斑。

 在国内，CNVD