作為本博客欄目的讀者，無需多言你也清楚SCADA和ICS系統(tǒng)的安全防護亟需改善。實現(xiàn)這一目標(biāo)有多種途徑，我很高興注意到工業(yè)安全業(yè)界已開始就此話題進行交流對話。這包括我與Digital Bond公司Dale Peterson的互動交流。
在本月初我參加Digital Bond S4論壇的時候，我聽到Dale提起“SCADA辯護者”；不過我不覺得他指的是我。然而，在昨天發(fā)布的一篇博客中，他表示“我非常遺憾的看到Eric也走上了SCADA辯護者的道路”。
今天我寫這篇博客是為了再次重申我的觀點，即必須提高SCADA和ICS系統(tǒng)安全。我還將說明我們自己的多芬諾安全產(chǎn)品適用的范圍。
如何改善SCADA安全的不同觀點
當(dāng)我聽到Dale用“SCADA辯護者”這個詞兒時，我認為這個詞是指那些聲稱解決SCADA安全問題非常困難，且現(xiàn)在也沒有打算要優(yōu)先解決這一問題的一群人。Dale在這方面特指自動化廠商。
在我所有的公開演講及文章中，我都明確說明了：
●自動化廠商應(yīng)當(dāng)提高自身產(chǎn)品的安全性
●他們應(yīng)該立即開始這項工作
●最終，自動化設(shè)備都要擁有安全性能
●對于上述觀點，Dale和我已達成共識。
我們的分歧在于：
●實現(xiàn)這些目標(biāo)的時間點
●如何將改善后的網(wǎng)絡(luò)安全性能運用于現(xiàn)有的工廠設(shè)備中
請稱我為SCADA現(xiàn)實主義者
Dale的理想世界里，企業(yè)將會在一到三年的時間內(nèi)用安全性更高的裝置“淘汰并更換”他們所有現(xiàn)有的PLC、HMI、DCS、ICS和RTU等。這是不合情理的，原因是：
●單是使用中的控制器的價值就數(shù)以十億計
●控制器通常的使用年限為10-20年
這個數(shù)量的設(shè)備根本不可能在距此一至三年或一至四年的時間內(nèi)被替換掉。你可以稱我為SCADA現(xiàn)實主義者，且我對此問題的解決方案綜合考慮了問題的嚴峻程度和經(jīng)濟實況。
開發(fā)、配置和支持改善了網(wǎng)絡(luò)安全的新自動化產(chǎn)品需要至少三年的周期。同樣，開發(fā)和批準(zhǔn)新的更安全的協(xié)議也需要時間。
我提出的現(xiàn)實的方案是提供能夠最大程度改善當(dāng)今SCADA和ICS系統(tǒng)網(wǎng)絡(luò)安全健壯性的產(chǎn)品。同時與自動化廠商密切合作，隨著時間的推移將這項技術(shù)逐步融入他們的核心產(chǎn)品中。
多芬諾安全產(chǎn)品防護體系
Dale最新的博客稱使用多芬諾產(chǎn)品存在三個問題，下面是我對這三個問題的回應(yīng)：
多芬諾產(chǎn)品的防護使攻擊端口設(shè)備的難度加大。
Dale的質(zhì)疑 | 我的回應(yīng)punch |
多芬諾的產(chǎn)品不能彌補不安全協(xié)議所帶來的安全隱患，所以仍然需要終端安全。 | 有了多芬諾產(chǎn)品，攻擊終端設(shè)備的難度就會增加。正如Reid Wightman所言：“多芬諾公司提供了保護當(dāng)前工業(yè)協(xié)議通訊的優(yōu)秀的安全產(chǎn)品。它能出色地保護Modbus協(xié)議通訊安全，阻止不允許的功能碼通過。 |
多芬諾產(chǎn)品無法防御隧道攻擊 | 要想成功實施這類攻擊，攻擊者必須有訪問防火墻兩邊的主機的權(quán)限。如果他們獲得了這種權(quán)限，那么任何水平的防護措施都無濟于事。即使更好的協(xié)議或加密解決方案也同樣不能抵御攻擊。 |
“在每個關(guān)鍵基礎(chǔ)設(shè)施的前端都部署Tofino防火墻似乎有點浪費時間和金錢?！? | 正如Reid Wightman在多芬諾防火墻演講中指出的那樣，多芬諾產(chǎn)品的費用僅是大多數(shù)PLC CPU價格的一半甚至更少。 |
稱贊Dale Peterson
我非常贊賞Dale努力促進自動化系統(tǒng)供應(yīng)商和客戶優(yōu)先考慮SCADA安全，在這方面我和他步調(diào)一致。
然而，在實現(xiàn)SCADA安全這一藍圖的道路上還存在非安全設(shè)備和安全設(shè)備之間的過渡階段。我的理念和多芬諾安全產(chǎn)品線的設(shè)計都考慮了這一過渡期。
你怎么看？在未來三年內(nèi)“淘汰并更換”的策略是否是改善SCADA和ICS安全的最佳途徑呢？
