新年未至，漏洞先行——警惕工控设备漏洞_工业自动化

1.施耐德PLC曝高危漏洞

近日，媒体报道施耐德电气公司发布固件补丁用于修补其Modicon M340可编程逻辑控制器（PLC）产品线的严重性漏洞。

该漏洞是一个缓冲区溢出漏洞（CVE-2015-7937）。用户在访问相关施耐德PLC的WEB服务器时，需要填入用户名和口令。由于WEB服务器未能对该口令的输入数据做合理处理，当填入一个较长随机密码（如：90~100个字符），会导致设备崩溃。据发现此漏洞的安全公司CyberX介绍，漏洞是由于web服务器采用了没有缓冲区溢出保护的strcpy()函数将口令域输入内容拷贝到65个字符的缓冲区导致的。除了导致设备崩溃，该漏洞还有可能被利用来在设备内存中注入远程执行任意代码。

该漏洞影响多达13款Modicon M340型号产品，受影响设备主要应用在美国、俄罗斯、中国和印度的能源、国防工业基础、核电、交通、政府设施和给排水产业。

施耐德公司在12月15日发布了第一批固件更新，另一轮补丁包预计在1月16日放出。目前对于补丁的修复效果还不得而知。

2.如何应急响应

从上述报道信息进行分析，上述漏洞实际上可能是由于程序员在开发的时候没有对密码输入字符串做验证就进行拷贝这样的低级错误导致。失误比较低级，但漏洞却是高危，黑客通过恶意软件入侵上位机或从内部工控网络任意接入后通过一段简单的漏洞利用代码即可实施攻击，即便没有什么技术背景的黑客都可以利用轻易发动攻击，漏洞涉及客户面广。对于所有使用这些PLC型号的客户，威努特建议实施如下应急响应措施：

WEB服务容易遭受黑客攻击，如无必要，建议通过工控防火墙关闭PLC的80端口来禁止访问WEB服务。威努特工控专用防火墙的用户，可以咨询威努特技术支持人员进行相关配置。
如果必须使用WEB服务，可在漏洞补丁效果得到验证的情况下载补丁更新。同时检查工控防火墙上实施访问控制策略，仅允许相关的工程师站或监控主机访问这些PLC。
采用专业的工控漏洞挖掘产品对设备是否存在其他漏洞进行全面的漏洞评估和分析。用户可以联系威努特工程师寻求技术帮助。
工控设备的脆弱性状况

本次漏洞已经不是第一个被CyberX研究人员在流行PLC产品中发现的严重漏洞了。今年10月，工控系统网络安全会议上，吉勒和厄奇就披露了两个罗克韦尔自动化公司MicroLogix系Allen-Bradley控制器中的漏洞。其中一个漏洞被该公司命名为“霜冻URL（FrostyURL）”，可被利用来引起设备崩溃，导致网络瘫痪。CyberX发现的另一个漏洞是个缓冲区溢出和漏洞，可被用于拒绝访问攻击甚至远程执行代码。

事实上，工控设备的漏洞和脆弱性问题长久以来被忽视，而近年来暴露了多起工控设备漏洞问题，发生了多起利用工控漏洞的攻击事件。工业网络企业，尤其是国家重要基础设施行业需要意识到工控设备自身的脆弱性是工控网络安全的重要环节，避免因工控设备漏洞被利用而导致重大的生产运营事故和社会影响。而评测认证机构、工控设备商、行业入围采购机构都应认识到在不同的环节对工控设备漏洞管理的重要性和必要性。

4.建议措施

威努特建议工控设备产业链的各端采取以下常态化的漏洞管理措施：

工控设备商——版本发布进行漏洞检测

工控设备、软件供应商可以在版本发布之前，对工控设备、软件进行测试，发现并修复产品的安全缺陷（安全漏洞），提升产品自身安全性和竞争力。

测评机构——实施工控设备安全性测评和认证

各类国家和行业测评机构，开展针对工控设备、软件的测评服务，对其通信健壮性、安全性对工控设备作出评价，并据此颁发相应证书，促进工控行业的产品自身安全性提升。

工业行业机构（研究院/设计院）——行业入围和采购阶段的产品测试

在行业入围测试和采购前的产品测试环节，合理评估各入围厂商工控设备的自身安全性状况，作为设备入围和采购管理的重要技术指标，在正式采购前对设备的安全风险进行管理，避免“漏洞百出”的设备进入采购名单，造成投资损失。

工业企业——网络建设/改造前后的安全风险评估和事故后的分析调查

在工控系统的建设、系统改造的不同阶段对工控系统漏洞进行管理，通过专业的漏洞挖掘产品评估待上线设备的漏洞状况，在确定是否具备上线条件，对于具有高危漏洞的设备，需要和厂商联系及时修复。

网络安全事故后，可以通过专业的工控漏洞挖掘产品确定网络被攻击的可能漏洞所在，尽可能多地提供信息方便调查攻击的来源。

5.威努特专业工控漏洞挖掘系统（IVM）-产品介绍

上述各个环节的漏洞管理需要专业的技术手段来支持，威努特提供国内首个工控漏洞挖掘产品，支持整个漏洞管理生命周期各阶段的工作开展。

1）产品概述

工业控制系统承担着企业运营生产的重要任务和目标，而长期以来工业控制系统的建设目标都是以生产可用性为主，对于工控设备自身的安全性和健壮性很少关注。许多设备带着各种漏洞风险在线运行，一旦发生恶意攻击事件将导致工控设备瘫痪、生产良品率低、产生生产事故等不可预估的问题。

目前国内没有针对工业控制设备安全性与健壮性的检验的系统，传统的漏洞扫描技术类产品无法满足要求，威努特工控漏洞挖掘系统（Winicssec IVM）就是基于这一问题现状而自主研发的用于验证各类工控设备存在的漏洞和安全状况的一款产品。产品针对当前知名的工业控制协议进行分析，根据它们的特点，用模糊测试的理论来生成对应的协议报文（包括正确的和错误的报文），通过对协议字段进行变换，例如边界测试等等方法，进行安全性和健壮性测试，深度挖掘出工控设备存在的各类已知和未知的漏洞。产品采用高性能的机架式硬件设计和优化的软件架构设计，漏洞挖掘的效率高。威努特工控安全漏洞挖掘产品通过对工业控制设备进行漏洞挖掘，不仅能全面的找到设备存在哪些安全问题和健壮性问题，定位问题来源，还可以给出问题的解决方案建议，帮助厂商及时修复这些问题，提高工控设备的安全等级。