ICS: The SCADA Patch Problem

Industrial control systems (ICS) vendors are starting to patch security bugs, but actually installing the fixes can invite more trouble.

Quelle: Dark Security Reading vom 15.01.13 

If you think database patching is onerous and fraught with risk, then try patching a SCADA system that's running a power plant.

Timing is everything: The most realistic scenario today is these organizations patching semiannually or annually when they hold their regular maintenance shutdowns. "The best you can hope for is they do patching at an annual or semiannual shutdown," Byres says.

SCADA patching was a rarity before the discovery of Stuxnet. The U.S. government ICS-Computer Emergency Response Team (CERT) had published only five security advisories in 10 years before the July 2010 revelation of the sophisticated malware attack on Iran's nuclear facility. In 2011, US-CERT posted 104 advisories for 215 publicly disclosed security flaws affecting some 39 vendors, according to a report Byres recently authored on the relevance of patching SCADA systems.

Individuals wanting to attack a control system can download exploit tools and run them against a target with little understanding of control systems or the consequences of their actions. And download and attack they do - ISC-CERT reported over 20,000 reports of unauthorized internet access to control systems in the last half of 2012," according to Byres' report.

But a system that's not secure really can't be upgraded to be secure, anyway, says Chris Wysopal, CTO at Veracode. Writing cleaner and more secure code is the ultimate goal, he says. 

Eine zu große Komplexitätslücke zwischen interagierenden Systemen tendiert dazu, sich auszugleichen. Entweder wird das Missverhältnis korrigiert und angeglichen, oder es droht ein Systemkollaps, um das Gleichgewicht wieder herzustellen.

In Alltagssprache übersetzt heißt das: Wenn komplizierte Netzwerke mit einfach gestrickte Netzwerken verbunden werden, tentieren diese zum Ausgleich. Wenn dies nicht unterstützt wird besteht die Gefahr eines unfreiwilligen Ausgleichs, der bis zum Zusammenbruch des ganzen Gebildes führen kann.

Als Beispiel kann die jüngste Finanzkrise und Immobilienblase herangezogen werden. Die Produkte waren nicht einmal mehr für Insider durchschaubar - der Crash war unausweichlich. Eine Gefahr, die zunehmend auch im technischen Bereich droht.