美國國土安全部：超過3成弱點是脆弱身分驗證機制

美國國土安全部（DHS）所屬工業控制系統緊急應變小組（ICS-CERT），日前彙整2013年美國關鍵基礎建設的各種系統弱點發現，最常見的是脆弱的身分驗證機制（33％）；其次為DoS（阻斷式攻擊）弱點，占14％；第三名為Buffer Overflow（緩衝區溢位），占10％。

ICS-CERT分析2013年，來自52個廠商的181個弱點通報，其中177個弱點都會對關鍵基礎建設造成損害，有87％的弱點是可以遠端操控的，其餘13％則需要本地端存取權限才可以利用。根據ICS-CERT經驗，若要降低遠端控制弱點的危害，必須降低該弱點連網的機會，例如，透過各種設定或是部署閘道端防火牆，避免工控系統直接連上公眾網路，一旦發現任何漏洞，必須在最短時間內進行弱點修補（Patch）和系統升級。

從統計數據來看，脆弱的身分驗證機制是2013年最普遍的工控系統弱點，例如工廠系統核心的憑證，或是脆弱的身分驗證機制等，因為駭客可以最少的心力取得系統管理員權限。不過，有關鍵基礎建設研究員在2013年發現，40多個醫療設備廠商的300多個醫療設備有核心系統漏洞，相關設備包括：手術和麻醉設備、呼吸器、藥物輸液泵、外部心臟去顫器，以及實驗室和分析設備等。若依照CVSS（通用弱點評分系統），2013年危害的177個弱點中，有65％屬高風險，其餘35％屬中度風險。