近日，頂象洞見安全實驗室發現西門子多款工業交換機存在高危漏洞。利用這些漏洞，黑客可遠程竊取敏感信息，直接對聯網的工控設備下達停止、銷毀、開啟、關閉等各種指令，甚至在網絡內植入木馬病毒。預計至少有17款西門子款設備受影響。

　　頂象洞見安全實驗室已第一時間將相關漏洞細節上報CNNVD(國家信息安全漏洞庫)和CNVD(國家信息安全漏洞共享平臺)，同時建議使用這些設備的企業，在漏洞修復前應該禁止非授權IP訪問設備的80和443端口。

　　工控系統一旦遭到攻擊，不僅引發故障，還會導致安全事故發生，甚至影響正常公共服務，給社會帶來不可估量的損失。倪光南院士此前就表示，要解決工控安全問題，就是掌握關鍵核心技術，發展自主可控技術。

　　漏洞是工控風險的源頭

　　漏洞是風險的爆發源頭，無論是病毒攻擊還是黑客入侵大多是基于漏洞。CNVD“工控系統行業漏洞”共披露了14萬8000多個漏洞，其中包含西門子、飛利浦等知名企業的工控設備。

　　頂象洞見安全實驗室研究員在研究中發現，西門子多款型號的工業交換機的系統固件存在權限繞過、棧溢出、堆溢出等多個高危漏洞。

　　分析發現，該系統固件的代碼邏輯設置錯誤，導致權限被輕松繞過。例如，在權限控制方面，滿足A或滿足B的任何一個條件驗證，即可執行相應特權操作。這就導致黑客無需任何權限即能夠重啟存在漏洞交換機設備、恢復設備的出廠設置、修改設備的管理密碼、直接遠程關閉存在漏洞的交換機等高權限操作。

　　利用該系統固件存在棧溢出、堆溢出等多個高危漏洞，導致黑客能夠遠程竊取網絡傳輸的工控指令、賬戶密碼等敏感信息，或者發動中間人攻擊，使得整個網絡如同裸奔。同時，黑客可以直接對聯網工控設備下達停止、銷毀、開啟、關閉等各種指令，甚至在網絡內植入木馬病毒，直接關停網內生產設備。

　　頂象洞見安全實驗室發現，西門子至少有17款工業交換機使用該系統固件。由于該漏洞是存在于某個通用框架中，因此以上漏洞是否影響其他型號設備還在確認中，受該漏洞影響的范圍未知。

　　相關漏洞細節，頂象洞見安全實驗室已第一時間將已上報CNNVD和CNVD。同時建議使用以上設備的企業，在漏洞修復之前，不要開啟相關設備的80或者443端口，必須開啟則使用VPN專用網絡;如果用戶網絡已經配置防火墻等安全設施，建議設置相應規則過濾規則，禁止非授權IP地址訪問上述端口。

　　工控風險的四大特征

　　工業交換機是電力、能源、制造等工業領域內，用于互聯互通的重要設備。由于工業系統的本質目標是控制，而互聯網的核心目標是交換。相較于傳統互聯網采用平等關系的點對點傳輸模式，工控系統多采用基于主從關系的非對等網絡。尤其隨著智能化、網聯化的推進，暴露出越來越多的風險。

　　針對工控系統風險現狀，頂象洞見安全實驗室總結了四個特征：

　　1、工控系統的設計主要是專用的相對封閉可信的通信線路，也就是封閉的“單機系統”，原本沒有考慮聯網需求，系統和聯網設備也未配置防護系統，存在很多安全缺陷和漏洞。

　　2、工業設備資產分布廣、設備類型繁多，攻擊行為難以察覺。

　　3、攻擊門檻低，數行代碼即可造成嚴重后果。

　　4、工業設備的協議、設備、系統設計復雜，潛在漏洞多，系統更新升級慢、修復維護成本高;而且大量的系統設備需要7×24小時不間斷運轉，沒有機會及時修復補丁。

　　中國信息通信研究院發布的《2020年上半年工業互聯網安全態勢報告》顯示，上半年發現惡意網絡攻擊行為1356萬次，涉及2039家企業。大量老舊工業控制系統或設備未及時升級或更新補丁，這種“帶病運行”的工業設備及系統被攻擊門檻很低。

　　自主可控是化解風險的關鍵

　　倪光南院士曾表示，造成工控系統安全漏洞的原因，既有企業內網的誤用和濫用，也有日趨多樣的外部網絡攻擊，更有工控設備本身的脆弱性。他表示，國內核心控制系統和設備超70%來源于國外廠商，嚴重依賴進口，而進口工控設備后門廣泛存在，很大程度上增加了安全風險。要解決這些問題，就是掌握關鍵核心技術，發展自主可控技術。

　　“自主可控”是化解工控風險的關鍵。要達成這一目標需要循序漸進：首先要實現風險自主可控，進而達成安全自主可控，最后實現設備與應用的自主可控。

　　風險可控：工業企業盡快開展企業資產和脆弱性識別，擁有發現風險和感知攻擊的能力，進而才能有效做好風險評估與防控。頂象洞見安全實驗室的IoT-Argus檢測系統，能夠對嵌入式固件系統進行自動化安全掃描，及時發現存在和潛在的安全漏洞與隱患，并在30分鐘內提供可視化分析報告，幫助企業時刻了解風險發現威脅，提升安全保障能力。

　　安全可控：工業企業需要制定安全戰略，根根據工控網絡安全設計原則以及設計標準，進行工控網絡安全方案設計，最終完成工控網絡安全防護目標，實現評估、防護和運營的有機結合，形成長期有效的防護機制。

　　設備與應用可控：工業控制系統生產商、集成商和服務商加強自主創新，攻克工控產業“貧血”軟肋，建成技術先進、功能完善、安全可靠的工業操作系統、智能感知、自動控制、智能裝備、網絡連接、工業軟件等軟件和產品，并打通上下游的信息安全技術和產品壁壘，讓安全一通到底，實現網絡、控制、安全的統一。

　　面對日益復雜嚴峻的安全形勢，需要各界持續推進工控安全態勢感知建設，構建上下聯動、協調配合的技術保障體系。只有做到自主可控，才能夠形成可持續發展。