今天的工業(yè)企業(yè)，都會(huì)定期為過程控制系統(tǒng)安裝補(bǔ)丁來移除安全隱患，而持續(xù)不斷的更新會(huì)帶來很多風(fēng)險(xiǎn)。安裝軟件之后可能會(huì)引起軟件回歸之類的重要問題，同時(shí)，如果補(bǔ)丁未被應(yīng)用，也可能會(huì)導(dǎo)致系統(tǒng)受損。
是否安裝補(bǔ)丁取決于安裝防御性補(bǔ)丁的風(fēng)險(xiǎn)和不安裝防御性補(bǔ)丁而受到入侵的風(fēng)險(xiǎn)兩者之間的權(quán)衡，而這兩者又是根本上相對(duì)立的。給關(guān)鍵的系統(tǒng)安裝補(bǔ)丁可能會(huì)使其“受損”——但是放任補(bǔ)丁不管又可能產(chǎn)生安全漏洞。
除了安全風(fēng)險(xiǎn)上的權(quán)衡，還涉及到更加務(wù)實(shí)的關(guān)于資源利用上的權(quán)衡。到底是自動(dòng)安裝補(bǔ)丁還是手動(dòng)安裝補(bǔ)丁，這兩種方式所消耗的資源不盡相同，必須根據(jù)所需安裝補(bǔ)丁的頻率從長(zhǎng)計(jì)議其效用和成本。
虛擬補(bǔ)丁是一種創(chuàng)新的技術(shù)，工業(yè)企業(yè)可以一邊改進(jìn)安裝補(bǔ)丁的過程，一邊提升系統(tǒng)的安全性。例如漏洞過濾器之類的組件能夠確保未安裝補(bǔ)丁的系統(tǒng)的安全性，更好地按照生產(chǎn)需求安排安裝補(bǔ)丁的過程。
當(dāng)下的安全風(fēng)險(xiǎn)
在生產(chǎn)制造企業(yè)的工廠和其他工業(yè)設(shè)施中，開放式的控制系統(tǒng)體系結(jié)構(gòu)和標(biāo)準(zhǔn)協(xié)議對(duì)于企業(yè)來說可為喜憂參半。一方面，從孤立的專用應(yīng)用程序向開放式技術(shù)的過渡擴(kuò)展了過程和商業(yè)信息的可用性。另一方面，開放式技術(shù)將生產(chǎn)制造企業(yè)暴露于各種安全隱患之下，隨著生產(chǎn)制造資產(chǎn)與企業(yè)資源規(guī)劃系統(tǒng)的整合，這種風(fēng)險(xiǎn)將更加巨大。
漏洞過濾器的作用就像一個(gè)虛擬補(bǔ)丁，確保未安裝補(bǔ)丁的系統(tǒng)的安全性，更好地按照生產(chǎn)需求安排安裝補(bǔ)丁的過程。
開放式體系結(jié)構(gòu)給企業(yè)帶來的漏洞越來越多，加上惡意軟件攻擊的數(shù)量也越來越多，使得在全球范圍內(nèi)網(wǎng)絡(luò)安全問題都是生產(chǎn)制造企業(yè)考量的重點(diǎn)之一。意外的或者惡意的攻擊會(huì)給員工的健康和安全、生產(chǎn)和企業(yè)聲譽(yù)等等帶來巨大的風(fēng)險(xiǎn)。
為了最小化工廠自動(dòng)化和信息系統(tǒng)的風(fēng)險(xiǎn)，安裝具有多個(gè)防護(hù)層級(jí)的深度防御策略是十分重要的。這樣的防護(hù)層級(jí)包括對(duì)服務(wù)器和工作站進(jìn)行補(bǔ)強(qiáng)。
在過程控制網(wǎng)絡(luò)中安裝補(bǔ)丁是一個(gè)十分耗時(shí)的過程，雖然補(bǔ)丁能夠恢復(fù)控制系統(tǒng)設(shè)備，使其能夠抵御惡意軟件的攻擊，但是它也會(huì)在補(bǔ)丁安裝的過程中提高失效的風(fēng)險(xiǎn)，安裝一個(gè)軟件補(bǔ)丁通常要求：
■ 與過程操作人員協(xié)調(diào)以確定適當(dāng)?shù)臅r(shí)間段安裝補(bǔ)丁;
■ 切實(shí)安裝補(bǔ)丁;
■ 交換主服務(wù)器和備用服務(wù)器的功能，使補(bǔ)丁能夠裝在備用服務(wù)器上;
■ 重啟設(shè)備激活修改過的軟件。
總的來說，上述要求會(huì)導(dǎo)致對(duì)服務(wù)器或者工作站安裝一個(gè)補(bǔ)丁的平均時(shí)間在1個(gè)小時(shí)到2個(gè)小時(shí)之間。由于補(bǔ)丁通常是按月發(fā)布，而且不同供應(yīng)商發(fā)布補(bǔ)丁的周期也不同，所以就導(dǎo)致這個(gè)安裝補(bǔ)丁的過程成本高昂。如果等待每個(gè)部件的補(bǔ)丁都到位再同時(shí)安裝，就會(huì)導(dǎo)致漏洞已經(jīng)公布但是系統(tǒng)尚未安裝補(bǔ)丁的窘境，所以程序入侵的風(fēng)險(xiǎn)反而會(huì)上升——大部分是感染網(wǎng)絡(luò)蠕蟲。
虛擬補(bǔ)丁技術(shù)
虛擬補(bǔ)丁技術(shù)，與傳統(tǒng)補(bǔ)丁不同，無需觸及應(yīng)用本身、庫(kù)文件或者操作系統(tǒng)就能夠?qū)ο到y(tǒng)進(jìn)行保護(hù)。而且，安裝虛擬補(bǔ)丁技術(shù)比安裝實(shí)際的軟件補(bǔ)丁更加迅速。在漏洞公開的幾天之后，虛擬補(bǔ)丁就能夠發(fā)揮作用，而應(yīng)用程序開發(fā)商可能需要數(shù)周或者數(shù)月進(jìn)行軟件的修改和測(cè)試。
使用虛擬補(bǔ)丁技術(shù)之后，考慮到微軟按月發(fā)布的安全補(bǔ)丁，負(fù)責(zé)維護(hù)的部門就可以降低DCS的修改頻率，同時(shí)仍舊實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊進(jìn)行防護(hù)。
此過程的設(shè)計(jì)原理是在控制網(wǎng)絡(luò)周圍架設(shè)一個(gè)屏蔽層，檢查已知漏洞的活動(dòng)，對(duì)所謂的“零日攻擊”實(shí)現(xiàn)良好的防護(hù)，而這種“零日攻擊”在殺毒軟件的保護(hù)機(jī)制中是未作定義的。漏洞過濾器并非以這種模式直接發(fā)揮效用，而是能夠?yàn)V除針對(duì)特定漏洞的入侵，而對(duì)于其他特征則不敏感。
在大多數(shù)情況下，工業(yè)網(wǎng)絡(luò)通訊的流量是可以預(yù)測(cè)的。流量上的變化可能預(yù)示著入侵。
