工業(yè)網(wǎng)絡(luò)安全公司Dragos發(fā)布了一份針對(duì)工業(yè)控制系統(tǒng)（ICS）和操作技術(shù)（OT）系統(tǒng)漏洞利用態(tài)勢(shì)的白皮書(shū)。這個(gè)題為《考查ICS/OT漏洞利用：從超過(guò)十年的數(shù)據(jù)中洞察》的報(bào)告表示，這些發(fā)現(xiàn)可以幫助防御者優(yōu)先考慮補(bǔ)救和緩解措施。在過(guò)去的十年里，Dragos一直在跟蹤超過(guò)3000多個(gè)ICS/OT漏洞，不出所料，此類漏洞的披露呈上升趨勢(shì)。

　　概述

　　報(bào)告共有5部分，首先是概要總結(jié)；其次是對(duì)公開(kāi)的ICS/OT漏洞利用的定義；第三部分對(duì)研究的數(shù)據(jù)集進(jìn)行說(shuō)明；核心的第四部分，首先介紹為什么要對(duì)公開(kāi)的ICS/OT漏洞給予重視，接著是漏洞公開(kāi)趨勢(shì)，受影響的廠商，按Purdue模型統(tǒng)計(jì)各層漏洞數(shù)量（影響的漏洞利用和不受影響的漏洞利用），漏洞利用工具/程序作者的情況，第一個(gè)公開(kāi)發(fā)布的漏洞利用的時(shí)間，在野利用情況；最后兩部分是結(jié)論建議。

　　Dragos目前跟蹤了自2010年以來(lái)發(fā)布的超過(guò)3000個(gè)cve（常見(jiàn)漏洞和暴露），這些漏洞影響工業(yè)控制系統(tǒng)和操作技術(shù)（ICS/OT）網(wǎng)絡(luò)。在這些cve中，超過(guò)400個(gè)具有公開(kāi)的漏洞利用程序。

　　漏洞利用是一種工具，它允許對(duì)手繞過(guò)軟件或硬件中的安全邊界。漏洞利用有很多種形式。漏洞利用可以是curl命令、URI、HTTP數(shù)據(jù)塊，甚至是合理的書(shū)面描述。Dragos認(rèn)為，任何允許低技能的對(duì)手在知情的情況下迅速繞過(guò)安全邊界的行為都是一種漏洞利用。

　　某些漏洞有多個(gè)公開(kāi)的利用程序，這導(dǎo)致Dragos跟蹤近600個(gè)公開(kāi)的ICS/OT漏洞利用。公開(kāi)的漏洞利用大大降低了利用漏洞所需的技能和努力。正如普渡模型所描述的那樣，Dragos跟蹤的公開(kāi)漏洞利用程序影響到工業(yè)環(huán)境的每一個(gè)層面，為對(duì)手提供了能夠通過(guò)ICS網(wǎng)絡(luò)滲透和傳播的預(yù)打包工具。在ICS網(wǎng)絡(luò)上惡意使用公開(kāi)的漏洞利用并不是理論上的。Dragos跟蹤多個(gè)使用公開(kāi)漏洞利用的威脅行為組織（AG）。

　　Dragos跟蹤的公開(kāi)ICS/OT漏洞利用是由數(shù)百人開(kāi)發(fā)的。它們影響著一百多個(gè)供應(yīng)商開(kāi)發(fā)的產(chǎn)品，而且它們對(duì)工業(yè)流程的影響是全方位的。利用這些漏洞的知識(shí)，然后使用報(bào)告中的指南，將幫助ICS操作人員更好地確定需要修復(fù)哪些漏洞。

　　自2007年至2021年公開(kāi)的ICS/OT漏洞利用數(shù)量統(tǒng)計(jì)

　　2020年披露的漏洞數(shù)量低于前兩年。然而，比漏洞數(shù)量更重要的是確定哪些漏洞對(duì)組織構(gòu)成真正的風(fēng)險(xiǎn)，在評(píng)估它們構(gòu)成的風(fēng)險(xiǎn)時(shí)，有幾個(gè)因素應(yīng)該考慮進(jìn)去。

　　關(guān)鍵的發(fā)現(xiàn)

　　Dragos不僅一直在跟蹤漏洞的披露，而且還跟蹤相關(guān)漏洞的公開(kāi)可利用性，公開(kāi)可利用性使得低技能的威脅行為者更容易利用安全漏洞。

　　該公司指出，在2020年披露的漏洞中，只有8%是公開(kāi)可利用漏洞。一種可能的解釋是，趨勢(shì)科技的零日倡議（ZDI）獲得了許多ICS漏洞，而ZDI可以阻止研究人員公開(kāi)他們的漏洞概念驗(yàn)證（PoC）。

　　ZDI收購(gòu)了許多ICS漏洞，這也可以解釋為什么在2020年披露的漏洞更少——ZDI有一個(gè)120天的披露政策，這通常是延長(zhǎng)的，這使得在2020年發(fā)現(xiàn)的漏洞可能只在2021年披露。

　　Dragos知道有近600個(gè)針對(duì)110多個(gè)供應(yīng)商產(chǎn)品的公開(kāi)的ICS漏洞利用。然而，七家主要供應(yīng)商占據(jù)了所有已公布的漏洞利用的40%左右，包括Advantech、羅克韋爾自動(dòng)化及其艾倫-布拉德利品牌、Moxa、微軟、西門子和施耐德電氣。微軟也在這個(gè)列表之中，因?yàn)樵S多ICS/OT系統(tǒng)運(yùn)行在Windows之上，并且由于Windows漏洞而暴露在攻擊之下。

　　許多公開(kāi)的ICS漏洞利用瞄準(zhǔn)了“現(xiàn)場(chǎng)操作”級(jí)別的目標(biāo)設(shè)備，這可以作為進(jìn)入工業(yè)網(wǎng)絡(luò)的初始接入點(diǎn)。一旦惡意行為者到達(dá)工業(yè)網(wǎng)絡(luò)（包括現(xiàn)場(chǎng)、控制和監(jiān)控設(shè)備），他們就可以使用數(shù)百種公開(kāi)可用的漏洞利用程序。

　　在Purdue模型各層上漏洞利用的數(shù)量統(tǒng)計(jì)

　　對(duì)于大多數(shù)級(jí)別的訪問(wèn)，遠(yuǎn)程代碼執(zhí)行是最有可能的影響，但拒絕服務(wù)（DoS）在針對(duì)控制設(shè)備的攻擊中起主導(dǎo)作用。對(duì)于這個(gè)級(jí)別上的控制器和其他設(shè)備，DoS漏洞利用可能更容易開(kāi)發(fā)，與遠(yuǎn)程代碼執(zhí)行相比，它在現(xiàn)實(shí)世界環(huán)境中可能有更大的影響。

　　Dragos指出，某些類型的漏洞不太可能被用于真正的攻擊。例如，針對(duì)可編程邏輯控制器（PLC）的跨站請(qǐng)求偽造（CSRF）和跨站腳本（XSS）漏洞利用。

　　例如，針對(duì)PLC的[CSRF]不太可能在野外使用，因?yàn)樗笫芎φ叩卿浀絇LC的web界面，并導(dǎo)航到一個(gè)惡意網(wǎng)站（或點(diǎn)擊一個(gè)惡意鏈接）。它還要求攻擊者能夠制作指向受害者PLC的url。這是不太可能發(fā)生的情況，“報(bào)告中解釋道。

　　至于是誰(shuí)公開(kāi)了這些漏洞利用，Dragos發(fā)現(xiàn)，在近一半的情況下，漏洞利用程序的作者隸屬于一家公司或大學(xué)。占到一半以上的三家公司是Rapid7（通過(guò)Metasploit項(xiàng)目）、思科的Talos研究和情報(bào)部門以及Tenable公司。

　　大約有三分之一的漏洞利用在第三方的建議中可用，其次是Metasploit, exploit - db漏洞數(shù)據(jù)庫(kù)，個(gè)人GitHub或Bitbucket存儲(chǔ)庫(kù)，以及各種其他來(lái)源，如Twitter，白皮書(shū)，bug trackers, Full Disclosure, and Packet Storm。

　　在許多情況下，研究人員在公開(kāi)他們發(fā)現(xiàn)的漏洞以幫助其他人更好地理解他們的工作時(shí)，就會(huì)釋放漏洞的PoC。如果這些漏洞利用沒(méi)有被考慮在內(nèi)，Dragos確定漏洞被披露后，漏洞利用被公開(kāi)的平均時(shí)間是24天。

　　”ICS/OT網(wǎng)絡(luò)防御者可以合理地預(yù)期，平均而言，如果某個(gè)CVE出現(xiàn)公開(kāi)的漏洞利用，那么它是在該漏洞首次披露后的30天內(nèi)發(fā)布，“Dragos說(shuō)。

　　網(wǎng)絡(luò)安全公司跟蹤的ICS漏洞利用中，大約有10%被惡意攻擊者利用，而針對(duì)企業(yè)和站點(diǎn)運(yùn)營(yíng)水平的比例最高。針對(duì)站點(diǎn)操作的攻擊對(duì)攻擊者來(lái)說(shuō)是有利可圖的，因?yàn)樗麄兛梢酝ㄟ^(guò)使用合法的功能來(lái)控制較低級(jí)別的設(shè)備，例如監(jiān)視和控制設(shè)備，而不需要利用漏洞。

　　在Purdue模型各層上ICS/OT相關(guān)CVE被主動(dòng)利用的統(tǒng)計(jì)（2010-2021年）

　　建議

　　有關(guān)ICS/OT公開(kāi)的漏洞利用世界在過(guò)去十年一直很活躍，并將繼續(xù)如此。許多個(gè)人和組織正在積極開(kāi)發(fā)這些影響ICS/OT的漏洞利用，其中有一小部分是在野外被使用的。然而，發(fā)布的ICS/OT漏洞利用如此之多，以至于每隔幾個(gè)月左右，就會(huì)有一個(gè)漏洞利用被威脅行為者采用并在野外使用，這是合理的。因此，必須跟蹤公開(kāi)的漏洞利用，以幫助確定應(yīng)該糾正或緩解哪些漏洞。

　　Dragos對(duì)尋求優(yōu)先補(bǔ)救ICS漏洞的防守者提出了四個(gè)主要建議。

　　首先，他們應(yīng)該考慮到漏洞利用通常會(huì)在30天內(nèi)被公開(kāi)，那些沒(méi)有在30天內(nèi)得到攻擊的人可能有較低的優(yōu)先級(jí)。

　　第二，漏洞的來(lái)源也很重要，因?yàn)檠芯咳藛T披露的安全漏洞更有可能有該利用的PoC。

　　第三個(gè)建議，與漏洞利用的潛在影響有關(guān)——如果它只影響OT網(wǎng)絡(luò)，并且需要用戶交互或中間人的位置，那么它可以不被優(yōu)先考慮。

　　最后，在監(jiān)視和控制級(jí)別上影響設(shè)備的漏洞不應(yīng)該被完全忽視，因?yàn)榻M織通常在這些級(jí)別上沒(méi)有很好的可視性，無(wú)法知道這類漏洞利用是否被用于惡意攻擊。