SCADA漏洞的平均修復時間竟長達150天

本文講的是scada漏洞的平均修復時間竟長達150天，監控和資料採集（scada）系統（尤其是其人機介面（hmi））已成為了惡意攻擊者垂涎的目標，而根據趨勢科技和零日計畫（zdi）新發布的一項報告，服務提供商平均要花費150天來修補這類產品的漏洞。

通過對ics-cert和zdi在2015-2023年期間收集的數百條漏洞記錄的分析，研究者們最終於上周二發布了這份報告。

研究人員指出，攻擊者之所以可能選擇監控和資料採集系統的人機介面作為攻擊物件的原因有幾個。由於hmi管理是工業系統中的乙個關鍵元件，包含關鍵的基礎設施，因此攻擊它能獲取對複雜攻擊很有用的資訊。

一旦攻擊者入侵了人機互動介面，他們甚至可以對監控和資料採集裝置進行物理攻擊。此外，惡意攻擊者可以利用人機介面來禁用警報和通知，讓運營商無法察覺危險的配置或值。

因為人機介面大多是windows環境下的程式，而不是基於網路的程式，利用跨站點指令碼（xss）和跨站點請求偽造（csrf）的攻擊較少見。過去兩年裡攻擊者最喜歡利用的漏洞是相關認證/授權缺乏、預設配置疲軟（23%）、記憶體洩露錯誤（20%）、憑證管理漏洞（19%）和**注入（9%）。

在過去的四年裡，漏洞從披露到公布的平均時間並沒有得到改善。雖然有一些**商能一周內處理被披露的監控和資料採集系統漏洞，2015-2016期間的該類漏洞的平均處理時間大約為150天。

專家指出，一些規模較小的**商（比如cogent real-time systems和trihedral engineering）修補漏洞的速度高於平均值，而規模較大的公司（如abb公司和通用電氣）的平均響應時間則超過220天。

與其他行業相比，監控和資料採集的服務**商修補漏洞的速度和網路安全公司大致持平。流行的軟體**商，如微軟、蘋果、甲骨文和adobe的響應時間都在120天左右，而商務軟體的開發人員明顯要慢一些，平均修補速度為189天。

趨勢科技的報告包括了對影響監控和資料採集系統的美中漏洞的案例分析。記憶體崩潰漏洞的案例研究中描述了advantech webaccess的人機介面中的乙個緩衝區溢位問題，它可以被攻擊者利用從而以更高許可權執行任意**。

針對證書管理問題，比如硬編碼密碼和憑證保護不足，這家安全公司分享了對通用電氣（ge）的mds pulsenet產品的案例分析。

案例研究部分也包含了對cogent datahub的**注入問題、advantech webaccess和西門子的sinema伺服器的身份驗證及相關缺陷的研究。