phoenix怎么读是什么意思 phoenix怎么读( 二 ) _云知道

由于缺乏CVE，风险管理变得复杂：仅知道设备或协议不安全是不够的。为了做出明智的风险管理决策，资产所有者需要知道这些组件是如何变得不安全的。不安全设计导致的问题并不总是能够分配CVE，因此经常被忽视。

存在设计不安全的供应链组件：OT供应链组件中的漏洞往往不会被每个受影响的制造商报告，这导致了风险管理的困难。

并非所有不安全的设计都是平等的：报告研究了通过本机功能在1级设备上获得RCE的三种主要途径：逻辑下载、固件更新和内存读/写操作。所分析的系统都不支持逻辑签名，并且大多数设备(52%)将其逻辑编译为本机机器代码。这些系统中有62%接受通过以太网下载固件，而只有51%具有此功能的身份验证。

攻击性能力的开发比想象的更容易达成：对单个专有协议进行逆向工程需要1天到2人工周，而对于复杂的多协议系统则需要5到6个人工月。这意味着，针对OT的恶意软件或网络攻击可以由一个规模小但技术娴熟的团队以合理的成本开发。

总结：工控安全威胁态势迅速恶化
报告揭示了当前工控安全的多层面问题：从安全认证产品中持续存在不安全设计，到拙劣的安全防御实践。糟糕的漏洞管理以及提供虚假安全感的安全认证正在使OT风险管理工作变得异常复杂和艰难。此外，行业的不透明性正在损害OT产品的安全性。许多不安全的设计问题并未分配CVE，因此经常被忽视并继续使用。
当前阶段，各种证据显示工控安全威胁态势正在快速恶化。通过将OT连接到物联网和IT设备，曾经因为不联网而被忽视的漏洞现在已经成为对攻击者非常有吸引力的目标。
参考链接：