【51CTO.com 綜合消息】7月28日：最近剛剛呈現(xiàn)的Stuxnet 惡意軟件是說(shuō)明邁克菲為什么致力于保護(hù)要害基礎(chǔ)設(shè)施（如：能源部門）免遭攻擊的重要例證之一。Stuxnet是首個(gè)利用Windows零日漏洞、針對(duì)把持系統(tǒng)和公共事業(yè)機(jī)構(gòu)發(fā)動(dòng)攻擊的惡意軟件。Stuxnet 的設(shè)計(jì)者綜合應(yīng)用了漏洞知識(shí)、黑客伎倆以及潛在的物理安全漏洞，來(lái)發(fā)起針對(duì)重要基礎(chǔ)設(shè)施系統(tǒng)的攻擊。
Stuxnet 攻擊應(yīng)用的高級(jí)知識(shí)之所以“奇妙”，原因有二。首先，該惡意軟件通過(guò)利用先前未知的 Windows 漏洞實(shí)行攻擊和傳播。其次，該惡意軟件的組件包含兩個(gè)具有rootkit行動(dòng)、有數(shù)字簽名的驅(qū)動(dòng)程序，對(duì)于惡意軟件而言，這點(diǎn)很不尋常。
這兩點(diǎn)已被媒體廣泛報(bào)道。我盼望重點(diǎn)談一談遭遇攻擊系統(tǒng)存在的潛在風(fēng)險(xiǎn)、多種不同攻擊媒介協(xié)同“作戰(zhàn)”的復(fù)雜性，以及這對(duì)能源范疇意味著什么。
以下是我們目前懂得到的Stuxnet攻擊的運(yùn)行機(jī)制：
1.用戶將 USB 驅(qū)動(dòng)器（或任何移動(dòng)存儲(chǔ)介質(zhì)）連接到系統(tǒng)；
2.已沾染的驅(qū)動(dòng)器利用零日Windows Shell Code漏洞實(shí)行攻擊，運(yùn)行惡意軟件；
3.該惡意軟件在受攻擊系統(tǒng)中進(jìn)行搜索，試圖訪問(wèn)西門子Windows SIMATIC WinCC SCADA 系統(tǒng)數(shù)據(jù)庫(kù)。（萬(wàn)幸的是，該惡意軟件的一個(gè)簽名證書已被吊銷，另一個(gè)也即將被吊銷）
4.該惡意軟件應(yīng)用 WinCC 西門子系統(tǒng)中的硬編碼密碼來(lái)訪問(wèn)存儲(chǔ)在 WinCC 軟件SQL 數(shù)據(jù)庫(kù)中的把持系統(tǒng)運(yùn)行數(shù)據(jù)。
這一事件有何潛在影響？該惡意軟件的攻擊目標(biāo)是西門子SIMATIC WinCC 監(jiān)控與數(shù)據(jù)采集 (SCADA) 系統(tǒng)。該軟件可作為公用事業(yè)機(jī)構(gòu)工業(yè)把持系統(tǒng)的 HMI（人機(jī)交互界面）。HMI 以圖形方法管理并顯示負(fù)責(zé)重要發(fā)電和輸電設(shè)施運(yùn)行的電廠把持系統(tǒng)信息。
HMI 不間斷的監(jiān)控發(fā)電廠把持系統(tǒng)的正常運(yùn)行和整體運(yùn)行狀態(tài)。許多情況下，設(shè)置 HMI 的目標(biāo)是為了對(duì)把持系統(tǒng)間的流程加以把持。HMI供給的圖形化信息猶如一張地圖，類似于盤算機(jī)網(wǎng)絡(luò)的拓?fù)鋱D。惡意軟件可能將部分重要基礎(chǔ)設(shè)施的“地圖”提交給其他惡意實(shí)體。
把持系統(tǒng)安全與 IT 安全
把持系統(tǒng)與 IT系統(tǒng)之間存在許多不同。IT系統(tǒng)要確保傳輸?shù)臋C(jī)密性和可用性，而把持系統(tǒng)要保證全天候持續(xù)可用性。通常情況下，把持系統(tǒng)和IT 系統(tǒng)在相互獨(dú)立的網(wǎng)絡(luò)中運(yùn)行，并由相互獨(dú)立的團(tuán)隊(duì)進(jìn)行管理。
由于把持系統(tǒng)必須做到全天候持續(xù)可用，把持系統(tǒng)環(huán)境中傳統(tǒng)的管理流程變更非常耗時(shí)。因此，補(bǔ)丁程序更新、安全保護(hù)更新和修補(bǔ)程序或其他相干資源通常不會(huì)作為優(yōu)先考慮的事項(xiàng)。在此示例中，西門子在其利用程序中應(yīng)用硬編碼密碼，以供給對(duì)其 SQL 數(shù)據(jù)庫(kù)的訪問(wèn)。該公司曾警告更改此類密碼有可能危及系統(tǒng)的可用性。許多安全研究人員都曾對(duì)西門子這種明顯違背安全策略的做法提出過(guò)異議。但是，考慮到在該環(huán)境中優(yōu)先保證可用性的需求，上述做法是非常常見(jiàn)的。
美國(guó)能源部 (DOE)、美國(guó)國(guó)家標(biāo)準(zhǔn)技巧局和許多私營(yíng)機(jī)構(gòu)都曾呼吁彌合 IT 系統(tǒng)和把持系統(tǒng)在安全原則上的鴻溝。通過(guò)建立類似國(guó)家能源法規(guī)委員會(huì)（NERC）的傳統(tǒng)IT流程和法規(guī)服從框架，可以實(shí)現(xiàn)上述目標(biāo)。
有關(guān)把持系統(tǒng)的安全保護(hù)需求已經(jīng)討論了一段時(shí)間，但在得出結(jié)論之前，新要挾就呈現(xiàn)了。讓我們看一看在把持系統(tǒng)范疇已經(jīng)產(chǎn)生了什么：概念證明攻擊、意外實(shí)例、不滿員工的惡作劇、由于控制的證據(jù)太少而無(wú)法斷定其真實(shí)意圖的針對(duì)特定實(shí)例的攻擊。
2009年一切開(kāi)端轉(zhuǎn)變，4月7日NERC發(fā)布了一份公開(kāi)警告，提示某種來(lái)自境外實(shí)體的惡意軟件攻擊已在電網(wǎng)中露出苗頭。這就是目前申明大噪的Stuxnet攻擊。讓我們假設(shè)Stuxnet 意欲損壞電網(wǎng)、并將重要信息傳給不法分子，來(lái)懂得一下Stuxnet攻擊的復(fù)雜性。
毋庸置疑，在 Microsoft Windows 中尋找一個(gè)支撐代碼履行的零日漏洞需要相當(dāng)?shù)膶I(yè)知識(shí)，不過(guò)這樣的例子也屢見(jiàn)不鮮。懂得對(duì)把持系統(tǒng)的攻擊方法就能明晰這一攻擊異乎尋常的復(fù)雜性。
相關(guān)閱讀