为什么要用补丁?
为什么要关心在制造区中的计算机使用补丁?一个简单的原因是：没有使用缓冲区。在制造企业参考架构中使用了隔离区(DMZ)的概念，它为用户的自动化系统提供了一个完善的安全解决方案。现实是为了使工厂正常运行，数据和人员需要在企业和制造区之间流动。随着这些流动的发生，无意或者有意会携带一些病毒、蠕虫或者其他不良载荷。这些载荷会影响制造系统的正常运行。最糟糕的情况，它们为攻击者执行一个“回呼”指令，为攻击者提供浏览用户企业或者制造区的能力。
为了降低这种事件发生的可能性，用户首先要明白这样的事件为什么会发生。安装和配置一个DMZ，提供了一面良好的屏障，可以阻止来自外部的直接攻击。设计良好的DMZ可以强迫所有的通信都始于或者终于DMZ，这样做的结果是使攻击者很难与制造区直接通信。仅有的其他可能是攻击者使用更多的间接路由。攻击者要实现这样的路由是要在企业内(特洛依木马的情形)获得一个固定的立足点，或者部署这样一个点。这使攻击者能在较少的防护层上获取企业内部的资源。
这种立足点的最常见目标就是企业网络中的计算机。控制了这样的计算机可使攻击者使用已经安装的工具，或者安装其他工具，帮助他从这里浏览企业。一旦这样，攻击者有可能获取一台在DMZ中正在通信计算机的资源。通过这个线索，下一步就是控制这台在DMZ中的计算机，最后，攻击者获得对制造区内计算机的控制。
保持计算机补丁更新，同时对操作系统和应用软件的安全更新是防止这类攻击的最佳方法。刚发布的安全漏洞很容易被流行易用的免费工具所利用。这些工具已经非常先进，先进到足以能够完成复杂的攻击，而入侵者不需要很多的知识和技能。发布漏洞到使用可能性的时间在缩短，结果是实施攻击人数在不断增加。
在一台计算机操作系统或者应用软件中，对发布漏洞的使用是攻击者在企业内获得立足点位列第一的方法。
在这个领域里多项完成的研究表明：几乎所有成功的攻击都是利用著名的漏洞，而且是已经存在补丁保护的情况下。比如，用于某个漏洞的补丁已经存在了6个月。一个难忘的例子是在2002年的SQL“监狱”(Slammer)。
在世界范围内对企业网络造成严重破坏的“监狱”， 用于这款漏洞的补丁已经在6个月前就发布了。由于这个原因，保持对企业和制造区的计算机，用最新的安全补丁进行更新是一种可以采用的最简单、最高效和最低廉的安全防御策略。然而，给制造区的计算机打补丁不是没有风险。这些挑战包括：
• 需要保持在24/7/365的时间里，生产能够正常连续运行;
• 计算机宕机会导致审计记录的丢失和随后的产品损失;
• 需要对缺乏技能的人员进行补丁管理的培训;
• 宕机与没有进行测试的补丁相关联;
• 需要测试补丁，但会使应用补丁产生延时。
补丁管理程序
由于上面的原因(和很多其他因素)，给制造区的计算机打补丁需要建立一个用于管理补丁详细规范和严格程序。
一些研究表明：很多制造过程宕机是由于不良或者丢失补丁管理程序造成的，最后被已有的漏洞钻了空子。有种概念非常可怕：治愈比灾难更糟。这也就是为什么有人把禁用“自动补丁更新”认为是一种在制造区推荐的“最佳实践”。多数情况下，如果遵从设计良好的补丁管理程序，宕机就不会发生。
微软推荐企业的IT系统采用一种“四步法”模型，用于补丁管理。这些步骤包括：
1：评估;2：确定;3：评价;4：实施。
我们面对的挑战是要考虑制造区的情况对这个程序进行更改和增强。下面的章节我们将对每个步骤提供一个概述和最佳实践的推荐，目标是可以把它应用于制造区。
评估
第一步始于对所有管理的资产进行一个评估，诸如安装在企业和制造区联网的计算机。这一步的重点是建立一个计算机资产的总量清单，应用软件和现在使用的操作系统。微软已经提供许多极好的工具和其他产品帮助用户顺畅地完成这个过程。用户还需要建立一张非管理资产的清单，诸如独立运行的计算机，防火墙，路由器和其他基础设施产品。
做为设计程序的一部分，为了做出一个设施现存安全状态基线，用户需要复审安全策略，并做一次安全评估。这包括复审密码策略、加密标准、反病毒方案、行政策略和其他等等。
用户还需要对这些资产的产品功能进行描述，这样就可以决定它们是否需要更新，因为还有其他的约束条件：如第三厂家确认、规则遵从、正常运行时间等。这个过程最重要的部分是决定用于安全更新的一个可接受的时间表，使得对生产和其他关键设施的影响最小化。另外，用户需要假定在一次安全更新中会发生不好的事情。这意味着需要有一个所有加载软件的映像备份，一旦所有关键系统崩溃，实施灾难恢复预案，返回到任何更新内容之前，使系统快速回到正常的运行状态。做为一种备选方案，使用高可用性解决方案可以大大减少风险和减轻补丁管理的负担。使用高可用性方案，当生产系统要打补丁时，可以切换到备份系统，在补丁更新完了之后，再把生产系统切换回正常状态。
这一步的下一个部分是决定所有安装的软件是否有更新的资源。一个这样类型的数据来自微软的安全公告栏。
这个知识库文件包括问题、原因、解决方案、安装说明和针对特定问题的软件更新代码。
第一步的最后部分是确认每个人员有了赋予了角色、责任、工具和执行软件更新所需要的培训。
确定
第二步的重点是确定是否有必要对已经安装的应用软件或者操作系统进行更新。多数软件供应商采用某种类型的更新通知系统。微软的视窗服务器更新服务(WSUS)和微软系统中心配置管理器(MSCCM)对确定和通知过程提供帮助。罗克韦尔自动化提供一种使用知识库(上面已经讨论)的电子邮件订阅服务，告诉你关于特定应用软件的更新信息。
这一步的后面部分是决定这些更新是否与生产系统相关。很多时候它们对安全状态或者系统可靠性仅有一点点或者没有影响。
评价
评价步骤是程序中最关键、最重要部分。用户需要评价按照程序更新软件的决定对于商业的价值。更新带来的商业收益与实施带来的风险损失进行比较是非常重要的。商业的收益可以包括降低相关的安全威胁风险、增加的生产率、增加的可靠性、更好的产品质量等。商业的风险可以包括实施成本、宕机时间、系统稳定性、功能的失去等。
在这步中，用户还需要决定每项可以更新的缓急等级。在某些情况下，如果认定漏洞相关的风险很低，更新可以在将来某个方便的时候实施。在某些情况下，风险非常高，需要马上实施更新作业。这个程序可能是非常主观的，所以要非常谨慎，在考虑所有事实后，与有经验的人员取得意见一致后再做决定。要记住的是：安全漏洞被马上利用的情况很少，所以评价和计划规程是恰当的。如果用户已经实施制造企业架构这是特别正确的。
评价程序的最后部分是测试每个更新补丁，确保不会给计算机的操作和应用软件带来负面影响。罗克韦尔自动化在这方面帮助客户，证明所有微软的安全更新对于常用的罗克韦尔自动化的应用软件是合格的。这种资格服务提供一个报告，覆盖了所有可能影响我们软件产品的微软更新。在安全更新发布的7-14天后，这些报告都会贴在知识库上。图6是一个报告的例子，表示对微软2009年7月的更新发布。
强烈建议不要把微软的软件更新直接用于制造区，而应该等到它们经过罗克韦尔自动化的资格证明。全部合格意味着罗克韦尔自动化已经测试了微软的软件更新，在安装软件的相关区域实现了基本功能。这包括微软操作系统、微软办公室产品、因特网浏览器和微软的SQL服务器的更新资格。
除了罗克韦尔自动化资格证明，我们推荐所有软件更新先在非生产环境下进行测试，或者在设施没有运行时，以确保没有意外事故或者其他影响。这可以帮助确定在自动化应用软件和其他安装的软件之间，在实施前没有任何其他交互。
实施
这步的目标是在制造区的计算机上成功实施合格的软件更新。这步的第一部分是事先与用户和行政沟通关于待定的更新，使得每人在安装时出现意外后果做好准备。它包括一个详细的时间表和程序，用于实施包括任何生产宕机或者需要的离线时间。
这步的第二部分是对影响的计算机发送更新软件。这包括把更新软件发送到各个计算机(但不安装它们)，然后告知用户对更新做好准备。有许多自动发送工具，像微软视窗服务器更新服务(WSUS)和微软系统中心配置管理器(SCCM)，它们可以自动完成发送过程。
这步的最后部分是更新的安装和应用。这应该使用人工处理，而不是自动化。自动化更新应用应该在制造资产中禁用。有些更新需要计算机重启，这有可能产生宕机和生产损失。安装应该按照时间表的时间进行，使这个时间生产的损失最小化，安装应该由经过培训的人员执行，一旦设备和过程失效，他们能尽快处理马上恢复。这还确保设备在安装开始前处于安全运行状态。
结论
制造和企业网络的融合已经为访问制造数据、帮助制造企业做出商业决定提供更大灵活性。制造商采用融合的方案已经占有了竞争的先机。
然而，网络融合也暴露了制造资产面临安全威胁，传统上这在企业层才能找到。在过去，在制造区使用的计算机不用补丁更新，因为它们与企业和因特网完全隔离。增加的威胁来自这种融合，这意味着现在：比以往任何时候，制造区的计算机需要进行相同等级的安全更新，与用于企业使用的计算机一样严格。
厦门兴锐达自动化设备有限公司整理发布，本公司专营DCS系统，机器人系统，大型伺服控制系统，更多行业专业知识及分析，请点击：http://www.xrdzidonghua.com |
次
