监控和数据采集（SCADA）系统（尤其是其人机界面（HMI））已成为了恶意攻击者垂涎的目标，而根据趋势科技和零日计划（ZDI）新发布的一项报告，服务提供商平均要花费150天来修补这类产品的漏洞。

通过对ICS-CERT和ZDI在2015-2016年期间收集的数百条漏洞记录的分析，研究者们最终于上周二发布了这份报告。

研究人员指出，攻击者之所以可能选择监控和数据采集系统的人机界面作为攻击对象的原因有几个。由于HMI管理是工业系统中的一个关键组件，包含关键的基础设施，因此攻击它能获取对复杂攻击很有用的信息。

一旦攻击者入侵了人机交互界面，他们甚至可以对监控和数据采集设备进行物理攻击。此外，恶意攻击者可以利用人机界面来禁用警报和通知，让运营商无法察觉危险的配置或值。

因为人机界面大多是Windows环境下的程序，而不是基于网络的程序，利用跨站点脚本（XSS）和跨站点请求伪造（CSRF）的攻击较少见。过去两年里攻击者最喜欢利用的漏洞是相关认证/授权缺乏、默认配置疲软（23%）、内存泄露错误（20%）、凭证管理漏洞（19%）和代码注入（9%）。

在过去的四年里，漏洞从披露到公布的平均时间并没有得到改善。虽然有一些供应商能一周内处理被披露的监控和数据采集系统漏洞，2015-2016期间的该类漏洞的平均处理时间大约为150天。

专家指出，一些规模较小的供应商（比如Cogent Real-Time Systems和Trihedral Engineering）修补漏洞的速度高于平均值，而规模较大的公司（如ABB公司和通用电气）的平均响应时间则超过220天。

从厂商披露漏洞到各供应商补丁发布间隔时间

与其他行业相比，监控和数据采集的服务供应商修补漏洞的速度和网络安全公司大致持平。流行的软件供应商，如微软、苹果、甲骨文和Adobe的响应时间都在120天左右，而商务软件的开发人员明显要慢一些，平均修补速度为189天。

趋势科技的报告包括了对影响监控和数据采集系统的美中漏洞的案例分析。内存崩溃漏洞的案例研究中描述了Advantech WebAccess的人机界面中的一个缓冲区溢出问题，它可以被攻击者利用从而以更高权限执行任意代码。

针对证书管理问题，比如硬编码密码和凭证保护不足，这家安全公司分享了对通用电气（GE）的MDS PulseNET产品的案例分析。

案例研究部分也包含了对Cogent DataHub的代码注入问题、Advantech WebAccess和西门子的SINEMA服务器的身份验证及相关缺陷的研究。

报告下载：

https://documents.trendmicro.com/assets/wp/wp-hacker-machine-interface.pdf