SCADA安全防护采取“淘汰并更换”的策略是不合实际的

       作为本博客栏目的读者，无需多言你也清楚SCADA和ICS系统的安全防护亟需改善。实现这一目标有多种途径，我很高兴注意到工业安全业界已开始就此话题进行交流对话。这包括我与Digital Bond公司Dale Peterson的互动交流。

       在本月初我参加Digital Bond S4论坛的时候，我听到Dale提起“SCADA辩护者”；不过我不觉得他指的是我。然而，在昨天发布的一篇博客中，他表示“我非常遗憾的看到Eric也走上了SCADA辩护者的道路”。

       今天我写这篇博客是为了再次重申我的观点，即必须提高SCADA和ICS系统安全。我还将说明我们自己的多芬诺安全产品适用的范围。

如何改善SCADA安全的不同观点
       当我听到Dale用“SCADA辩护者”这个词儿时，我认为这个词是指那些声称解决SCADA安全问题非常困难，且现在也没有打算要优先解决这一问题的一群人。Dale在这方面特指自动化厂商。

       在我所有的公开演讲及文章中，我都明确说明了：

       ●自动化厂商应当提高自身产品的安全性
       ●他们应该立即开始这项工作
       ●最终，自动化设备都要拥有安全性能
       ●对于上述观点，Dale和我已达成共识。

       我们的分歧在于：

       ●实现这些目标的时间点
       ●如何将改善后的网络安全性能运用于现有的工厂设备中

Dale Peterson号召企业在今后三年内用安全性更高的产品“淘汰并更换”所有现有的工厂间设备，Eric Byres认为这是不切实际的。

请称我为SCADA现实主义者
       Dale的理想世界里，企业将会在一到三年的时间内用安全性更高的装置“淘汰并更换”他们所有现有的PLC、HMI、DCS、ICS和RTU等。这是不合情理的，原因是：

       ●单是使用中的控制器的价值就数以十亿计
       ●控制器通常的使用年限为10-20年

       这个数量的设备根本不可能在距此一至三年或一至四年的时间内被替换掉。你可以称我为SCADA现实主义者，且我对此问题的解决方案综合考虑了问题的严峻程度和经济实况。

       开发、配置和支持改善了网络安全的新自动化产品需要至少三年的周期。同样，开发和批准新的更安全的协议也需要时间。

       我提出的现实的方案是提供能够最大程度改善当今SCADA和ICS系统网络安全健壮性的产品。同时与自动化厂商密切合作，随着时间的推移将这项技术逐步融入他们的核心产品中。

多芬诺安全产品防护体系
       Dale最新的博客称使用多芬诺产品存在三个问题，下面是我对这三个问题的回应：

       多芬诺产品的防护使攻击端口设备的难度加大。

Dale的质疑	我的回应punch
多芬诺的产品不能弥补不安全协议所带来的安全隐患，所以仍然需要终端安全。	有了多芬诺产品，攻击终端设备的难度就会增加。正如Reid Wightman所言：“多芬诺公司提供了保护当前工业协议通讯的优秀的安全产品。它能出色地保护Modbus协议通讯安全，阻止不允许的功能码通过。
多芬诺产品无法防御隧道攻击	要想成功实施这类攻击，攻击者必须有访问防火墙两边的主机的权限。如果他们获得了这种权限，那么任何水平的防护措施都无济于事。即使更好的协议或加密解决方案也同样不能抵御攻击。        没有绝对完美的安全，我们推荐将我们的产品作为整个纵深防御策略的一部分。这并没有否定我们的产品所提供的安全价值。
“在每个关键基础设施的前端都部署Tofino防火墙似乎有点浪费时间和金钱。”	正如Reid Wightman在多芬诺防火墙演讲中指出的那样，多芬诺产品的费用仅是大多数PLC CPU价格的一半甚至更少。        不需要在每个PLC前端都安装多芬诺防火墙。用户通常在一个包含了多套控制器的机柜里安装一个多芬诺防火墙。        我们建议将多芬诺产品安装在一组设备前端，这组设备依据IEC62443安全标准，有相似的安全需求。

称赞Dale Peterson
       我非常赞赏Dale努力促进自动化系统供应商和客户优先考虑SCADA安全，在这方面我和他步调一致。

       然而，在实现SCADA安全这一蓝图的道路上还存在非安全设备和安全设备之间的过渡阶段。我的理念和多芬诺安全产品线的设计都考虑了这一过渡期。

       你怎么看？在未来三年内“淘汰并更换”的策略是否是改善SCADA和ICS安全的最佳途径呢？