【专家博客】不要再咯咯叫了——开始解决SCADA安全问题吧

       在最近的一篇博客—— Chicken, Egg, and Chicken Omelette with Salsa 一文中，Dale Peterson像只公鸡一样大喊大叫。没什么新意，相反他这次的言论还很杂乱。他又一次提到我是SCADA辩护者，尽管我在1月30号的博客已经回应过他的观点，我仍然愿意再次讨论这一尖锐的话题。

 当讨论到SCADA安全问题时总是有很多争论。图片来自于Warner Bros.

       同Dale一样，我们也相信ICS系统是需要防护的。我们的分歧在于如何实现。

清理系统，重新开始？

       举个例子，我们现在正与一家大型油气公司密切合作，他们的近海平台上有几百套老式PLC5控制器来管理天燃气涡轮机。这些老式控制器有20年了，明显不能达到最新安全要求。而只要每台5000到10000美金，他们就能买到新式的ControLogix CPU。理论上讲，淘汰并更换整套设备只需两百万美金。对于一个大公司来说，这点费用微不足道，对吗？

       但是别着急…

       只更换CPU是不够的：若更换了CPU，整个涡轮机控制系统就需要更换，并重新调试。每套系统将花费250,000到350,000美金。所以对于Dale提出“淘汰更换”策略，200套系统总共需要花费7,000万美金。尽管控制器供应商们很乐意推进这一举措，但恐怕很难说服公司的董事会。

       但其实资金并不是最大的问题。关键在于你不能在同一天既更换CPU又启动汽轮机。在上面这个客户的例子中，近海平台上一项重大的更换项目需要系统停车数月之久。因而更换所有的PLC将使公司遭受数年的生产损失。
       此外当有人发现那些新控制器上存在漏洞时又会怎样呢？难道我们再把这批也更换掉，重新开始吗？

不要把鸡蛋放在一个篮子里

       Dale清楚对于SCADA安全防护问题没有唯一的答案，包括替换所有的设备这一措施。好的安全防护需要纵深防御。而这意味着需要运用多种安全解决方案。我们应该现实地对待并探究所有可用的解决方案。

       针对淘汰更换策略是有备选方案的。其中一个选择就是打补丁。另一个是针对安全漏洞采用补偿控制。这里有几种可选措施，其中一个是深度包检测（DPI）防火墙，这是自从我在BCIT实验室工作以来，我个人非常认可的一种方案。这些设备，包括多芬诺产品，都旨在清理从SCADA/ICS到PLC的通讯。

       购买和安装含有合适DPI模块的多芬诺产品组的总花费在250,000美金以下。我不得不说这比7,000万的花费要划算的多——而且你也可以很容易地说服公司审批资金的那些人。最重要的是，像多芬诺这样的SCADA技术在设计上达到了可以在不停车的情况下安装。这对于石油天然气这样的行业来说非常重要。

既然我们讨论到了鸡…

       假设你的ICS系统是一个鸡笼。如果你觉得狐狸要来了，你可能考虑着把现在的笼子拆了然后建一个更安全的笼子。无疑，你将面临的问题是在你重建的这段时间你如何安置这些鸡。那么你为什么不让鸡还待在原来的笼子里，然后简单地修补一下你的笼子呢？或者你可以采用补偿性控制（比如说狗）！没有唯一的答案——每个选择都应该经过深思熟虑。

 Dale在寻求ICS安全问题的解决方案时是不是找错地方了？

图片来源：Warner Bros.

       我很高兴看到Dale关注SCADA和ICS安全问题。就像公鸡打鸣预示着一天的开始那样，Dale的言论挑起了话题。这是解决问题必要的一步。然而，如果企业继续忽视安全对话并为他们的不作为找借口，那么控制系统安全防护就不可能实现，而且针对控制系统的威胁也会不断增加。

       尽管Dale支持我所说的“替换掉整个关键基础设施需要几十年的时间”，但他没有提到我论点的另外一半内容：我们现在必须采取措施。这是不同的意思。

       是时候停止关于安全防护的无谓争论并开始寻求有效的解决方案了。

更多行业资讯及技术资料，关注我们的官方网站和工控网更新。