昨天下午，我接到了另一位安全專(zhuān)家的通知，這讓我有一點(diǎn)吃驚。像大家一樣，我也認為如果修補了SCADA或ICS系統上的Windows電腦，那么所有可以被修補的存在漏洞的服務(wù)都會(huì )被修補。但實(shí)際上仍有可能存在一些被Windows更新服務(wù)遺漏的漏洞。更可怕的是，你又做不了什么。
現場(chǎng)不運行Microsoft Office等微軟產(chǎn)品的計算機無(wú)法自動(dòng)接收針對此次兩個(gè)關(guān)鍵漏洞的更新。
圖片來(lái)源：Lewis Technical Engineering LLC
歡迎來(lái)到Windows通用控件世界
為了理解存在這種可能的原因，了解一些Windows通用控件的知識會(huì )很有幫助。通用控件是微軟提供的可執行例程，使不同開(kāi)發(fā)商的應用程序有一個(gè)統一的外觀(guān)和感受。例如，當你將光標放在某個(gè)按鈕或選項卡上并等待幾毫秒時(shí)，工具提示控件就會(huì )創(chuàng )建小的矩形窗口來(lái)顯示幫助文本。 通用控件從微軟早期就開(kāi)始使用了。像Word、SQL Server等應用程序都普遍使用了通用控件，許多第三方應用程序的開(kāi)發(fā)商也使用了通用控件。在SCADA和ICS領(lǐng)域，估計多數在Windows平臺上的工業(yè)服務(wù)器或客戶(hù)端的應用程序軟件也都使用了通用控件。
什么情況下你可以打補丁
當微軟公司公布MSCOMCTL.OCX的ActiveX控件存在兩個(gè)嚴重漏洞 （MS12-027和MS12-060）時(shí)，問(wèn)題就出現了。
根據通用漏洞披露（CVE）數據庫可知，在2012年4月這些漏洞被利用進(jìn)行針對性攻擊，攻擊方式是通過(guò)郵件發(fā)送特制的惡意RTF文件。
不久微軟公司就在其4月和8月的程序補丁發(fā)布中提供了修補這些漏洞的補丁。此時(shí)，有趣的事情開(kāi)始了。
似乎只有檢測到經(jīng)過(guò)授權的微軟產(chǎn)品如MS Office時(shí)，Windows才提供這些補丁。如果你的電腦沒(méi)有運行MS Office, Microsoft SQL Server 或 Microsoft BizTalk Server等微軟產(chǎn)品，就接收不到補丁。如果你的電腦上的某個(gè)關(guān)鍵SCADA應用程序使用了存在漏洞的OCX文件，那你就太不幸了。
更糟的是，除非檢測到合格的微軟產(chǎn)品，否則即使是獨立更新，安裝也會(huì )失敗。微軟基準安全分析器（MBSA）之類(lèi)的工具也會(huì )遺漏這一點(diǎn)，因為一旦MBSA確認你沒(méi)有安裝授權的應用程序（如MS Office），它就不會(huì )費心去檢查MSCOMCTL.COM文件是否是最新的，就直接退出了。
怎樣檢查電腦是否有漏洞
1.搜索C盤(pán)，查找文件MSCOMCTL.OCX。
2. 注意文件的日期戳。
3. 如果C:\Windows32\System下的文件副本是2012年5月之前的，那么你的電腦就沒(méi)打過(guò)補丁。
上面的屏幕截圖中，文件日期是2012年6月，表明該計算機已經(jīng)打過(guò)補丁了。
4. 如果其他副本是2012年5月之前的，那么即使該電腦已經(jīng)打了補丁，相關(guān)的應用程序使用的也有可能是存在漏洞的版本，上面的截圖中就有一個(gè)可能存在漏洞的應用程序（Lotus Notes）。
像我之前指出的一樣，這些Windows通用控件被廣泛用在SCADA和ICS產(chǎn)品中。但是，工業(yè)自動(dòng)化環(huán)境中卻只有很少的電腦使用了Microsoft Office等應用程序。只有少數運行Microsoft SQL Server的計算機可以得到修補，但是99%的SCADA和ICS電腦都無(wú)法獲取此關(guān)鍵補丁。
根據MS12-060的常見(jiàn)問(wèn)答，獨立軟件供應商（ISVs）的產(chǎn)品如果使用了Windows通用控件應該使用最近的更新對其產(chǎn)品進(jìn)行重新打包。但是會(huì )有多少I(mǎi)CS供應商這樣做呢？又有多少控制系統用戶(hù)會(huì )及時(shí)安裝這些更新呢？
記住，這很可能不僅僅牽扯到一個(gè)單獨文件的自動(dòng)更新-而是需要安裝一個(gè)新的程序包。即使可以獲取補丁，也需要對補丁進(jìn)行測試和認證。我認為SCADA/ICS領(lǐng)域正面臨這樣一種情況：接下來(lái)的一兩年內，運行關(guān)鍵系統的計算機會(huì )出現大量的沒(méi)有打過(guò)補丁或存在漏洞的情況。我認為這不是個(gè)好消息。
修補ICS和SCADA安全失敗了
對我來(lái)說(shuō)，這是修補SCADA和ICS安全的整體策略失敗的另一個(gè)例子。供應商不愿意提供許多控制產(chǎn)品（尤其是舊產(chǎn)品）的補丁，而用戶(hù)獲取補丁后，又不愿意安裝補丁。
接下來(lái)的幾個(gè)月我打算談?wù)撘幌驴商娲a丁的可選方案。
根據這一信息，對于廠(chǎng)里的Windows電腦，你有何打算？歡迎分享一切竅門(mén)！
聯(lián)系客服
