工业控制系统(ICS)无处不在，从制造商品的自动化机器到办公楼的冷却系统。以前，基于特定操作系统和特定通信协议的ICS是标准的。然而，近年来，通过基于通用操作系统和标准通信协议实现网络连接，降低了系统开发成本并提高了生产率。为了在当今以市场为导向的经济中竞争，企业和组织选择能够自动管理流程的高效控制系统。ICS可以在制造、加工设施甚至发电厂中找到，它们在管理国家方面发挥着至关重要的作用。另一方面，ICS带来的效率提升也带来了新的安全问题。事实上，威胁行为者在攻击这些公司时可以获得很多好处。对ICS的成功攻击对任何组织都有严重的影响。其中一些影响包括运营停机、设备损坏、财务损失、知识产权盗窃以及严重的健康和安全风险。攻击ICS的动机威胁参与者在选择企业目标时有不同的动机。在进行攻击时，这些威胁行为者通常出于经济利益、政治原因甚至军事目标的动机。攻击可能是国家支持的，也可能来自竞争对手、怀有恶意的内部人员，甚至是黑客。ICS攻击的最早例子之一发生在2005年，当时13家戴姆勒克莱斯特勒美国汽车制造厂被关闭了将近一个小时。主要原因是利用Windows即插即用服务的ZotobPnP蠕虫感染。总停机时间导致生产积压，使公司损失了数千美元。虽然这些攻击与个人或网络犯罪集团无关，但网络犯罪分子也可能受雇于竞争对手，这些竞争对手可以从攻击造成的损害中获益匪浅。ICS是如何受到损害的？攻击ICS的第一阶段通常涉及侦察，允许攻击者调查环境。下一步将是使用不同的策略来帮助攻击者在目标网络中站稳脚跟。此时的战术和策略与针对性攻击高度相似。为了分发恶意软件，攻击者将利用所有可能的漏洞和ICS的特定配置。一旦被识别和利用，攻击的影响可能会导致某些操作和功能发生变化或对现有控制配置进行调整。对ICS发起攻击的复杂性取决于不同的因素，从系统的安全性到预期的影响（例如，破坏目标ICS的拒绝服务攻击比操纵服务和隐藏更容易实现它的直接效果来自控制器）。虽然攻击者已经有很多方法来破坏ICS，但随着更多设备被引入每个ICS环境，新的策略将继续出现。ICS中有哪些漏洞被利用？由于所有ICS都涉及信息技术(IT)和运营技术(OT)，因此按类别对漏洞进行分组有助于确定和实施缓解策略。美国国家标准与技术研究院(NIST)ICS安全指南将这些类别划分为与政策和程序相关的问题，以及在各种平台（例如，硬件、操作系统和ICS应用程序）和网络中发现的漏洞。1.政策和程序漏洞的安全架构和设计不足；很少或没有对ICS环境的安全审计；ICS的安全策略不足；缺乏特定于ICS的配置变更管理；没有正式的ICS安全培训和意识计划；缺乏安全执法管理机制；没有特定于ICS的运营连续性计划；没有为ICS环境的安全策略开发特定的或记录的安全程序。2.平台配置漏洞数据在便携设备上不受保护；使用默认系统配置；不存储或备份关键配置；不维护操作系统和应用程序安全补丁；操作系统和应用程序安全补丁是在没有进行详尽测试的情况下实施的；访问控制策略不足，如ICS用户权限过多；发现安全漏洞后，可能不会开发操作系统和供应商软件补丁；缺乏足够的密码策略、意外密码泄漏、未使用的密码、使用默认密码或使用弱密码。3、平台硬件漏洞安全变更测试不充分；关键部件缺乏冗余；对ICS组件的不安全远程访问；缺乏发电机或不间断电源(UPS)的备用电源；连接到网络的双网络接口卡；人身保护不足；未连接的资产连接到ICS网络；未经授权的人员可以物理访问设备；失去环境控制会导致硬件过热；无线电频率和电磁脉冲(EMP)会导致电路中断和损坏。4、平台软件漏洞针对ICS软件的拒绝服务（DoS）攻击；没有安装入侵检测/防御软件；默认情况下不启用已安装的安全功能；ICS软件可能容易受到缓冲区溢出攻击；错误处理未定义、定义不当或“非法”的网络数据包；操作系统中未禁用且可能被利用的不必要服务；没有适当的日志管理，这使得跟踪安全事件变得困难；OLEforProcessControl(OPC)communicationprotocoleasy受远程过程调用(RPC)和分布式组件对象模型(DCOM)漏洞的影响；使用不安全的全行业ICS协议，例如DNP3、Modbus和Profibus；配置和编程软件的身份验证和访问控制不足；许多ICS通信协议通过传输介质以明文形式传输消息；ICS软件和协议的技术文档很容易获得，可以帮助攻击者计划成功的攻击；日志和端点传感器没有得到实时监控，安全漏洞也无法快速识别。5.恶意软件防护漏洞未安装杀毒软件；防病毒检测签名未更新；安装在ICS环境中的防病毒软件未经过详尽测试。6.网络配置漏洞网络安全架构薄弱；密码在传输过程中未加密；网络设备配置未正确存储或备份；网络设备上的密码不会定期更改；不使用访问控制列表(ACL)等数据流控制；防火墙、路由器等网络安全设备配置不当，规则配置不正确。7.网络硬件漏洞关键网络缺乏冗余；网络设备的物理保护不足；失去可能导致硬件过热的环境控制；非关键人员访问设备和网络连接；不安全的USB和PS/2端口，可用于连接未经授权的拇指驱动器、键盘记录器等8.未定义网络安全边界的网络边界漏洞；防火墙不存在或配置不正确；用于非控制流量的ICS控制网络，例如网页浏览和电子邮件；不在ICS控制网络内的控制网络服务，例如DNS、DHCP通过控制网络使用，但通常安装在公司网络上。9.通信漏洞不识别关键监控路径；用户、数据或设备的身份验证不合标准或不存在；许多ICS通信协议没有内置完整性检查，因此攻击者可以轻松操纵未检测到的通信；标准的、记录良好的协议用于纯文本，例如嗅探Telnet，并且可以使用协议分析器分析和解码FTP流量。10.无线连接漏洞客户端和接入点之间的身份验证不充分；客户端和接入点之间的数据保护不足。11.网络监控和日志漏洞没有对ICS网络进行安全监控；防火墙和路由器日志不足会使跟踪安全事件变得困难；每个ICS环境都可能包含漏洞，具体取决于其配置和用途。ICS环境的大小也是一个因素。环境越大，发生错误的可能性就越大。用现代系统替换旧系统并引入工业物联网(IIoT)设备等工具的ICS环境也可能给威胁参与者留下额外的漏洞。工业物联网及其对ICS的影响随着ICS不断现代化，越来越多的物联网(IoT)设备被引入以提高生产力和增强系统控制。与相关的物联网设备；过程控制、数据监控以及与其他系统的通信变得更加简单。但是，将智能设备用于此类任务时存在风险。IIoT包括机器学习和大数据分析。它还利用了以前存在于工业环境中的传感器数据、机器对机器(M2M)通信和自动化技术。IIoT可以执行数据聚合、预测分析、规范分析、数据增值甚至创建新业务模型等任务。类似于智能手机的推出之后平台相关漏洞和恶意软件的兴起，集成人类物联网(HIoT)和IIoT设备可能会产生类似的问题。事实上，在ICS环境中管理物联网设备可能会带来重大的安全挑战，因为每个设备都必须得到适当的保护和保护。如果不采取足够的安全措施，整个ICS生态系统将非常脆弱。使用IIoT还需要克服一些独特的挑战：技术碎片化使网络流程复杂化。当使用具有不同独立操作系统的设备时，可能很难考虑不同的补丁计划。这方面的一个例子是ICS使用旧系统和新软件的组合。两者不仅无法正常通信，威胁参与者还可以利用未修补的遗留系统中发现的漏洞来访问ICS网络。机器对机器(M2M)和物联网应用程序开发很困难。与大规模生产的制造HIoT不同，为ICS开发M2M和IoT应用程序需要硬件和软件开发、IT和通信方面的特殊技能。遗留系统和遗留通信协议仍在工业环境中广泛使用。遗留系统的一个例子是Windows3.1，它仍然运行程序DECOR。此外，还有传统的通信协议，包括今天仍在广泛使用的PROFIBUS。这些系统必须通过基于标准的协议网关进行集成，以便更轻松地发送和接收数据和命令。虽然入侵IoT设备可能具有挑战性，但目标攻击背后的威胁行为者知识渊博且坚持不懈，这可能导致目标网络中的成功攻击。除此之外，设备丢失也是数据泄露的主要原因。一个放错地方的设备可能会给网络罪犯提供必要的访问权限，以渗透目标的网络。网络攻击后对ICS组件的潜在影响网络攻击对使用ICS的行业的影响取决于目标的操作性质或网络犯罪分子进行攻击的动机。目标公司的内部和外部客户都可能感受到下面列出的每种影响。系统、操作系统或应用程序配置的更改。当系统被篡改时，可能会出现不需要的或不可预测的结果。这样做可以掩盖恶意软件行为或任何恶意活动。这也可能影响威胁行为者目标的输出。更改可编程逻辑控制器(PLC)、远程终端单元(RTU)和其他控制器。与系统更改类似，控制器模块和其他设备的更改可能会导致设备或设施损坏。这也可能导致过程失败并禁用对过程的控制。向操作报告的错误消息。由于信息不正确，这种情况可能会导致执行不需要或不必要的操作。此类事件可能会导致可编程逻辑发生变化。这也有助于隐藏恶意活动，包括事件本身或注入的代码。篡改安全控制。阻止故障保险装置和其他保护措施的正常运行会使员工甚至外部客户的生命处于危险之中。
