0 引言
典型的工业控制系统(ICS)网络资产和企业网络资产之间存在着关键的差异[1-2]，这导致漏洞修复的流程在ICS网络中与企业网中也存在明显的不同。应用安全补丁是网络安全既定计划的一部分，也是风险管理的一个重要步骤。企业的目标不是拥有完全修复补丁的网络资产，而是将风险管理到一个可接受的水平。当安全补丁是将风险降低到可接受水平的最有效率和最有效果的方法时，应该安装这些补丁。
工业控制系统的漏洞修复因其自身的特点，在实践中面临复杂性和可行性的挑战。首先ICS资产存在天然的安全缺陷。许多ICS网络资产缺少安全设计，漏洞频出，应用安全补丁通常会降低风险。其次，ICS资产处于严格隔离的网络。对于攻击者来说，ICS网络资产通常比企业网络的资产更难访问。第三，ICS的攻击可能导致极其严重的物理后果。许多ICS控制的物理过程有可能对人的生命造成损害，对环境造成破坏。第四，ICS资产的生命周期相对较长。大多数ICS网络资产和ICS本身都有静态的特点，与典型的企业网络资产和企业网络相比，很少发生变化。
然而，数字化转型的加速，网络连接泛在化、工业设备数字化、生产流程智能化、大容量、低时延、高速率等数字时代的新兴技术特征，正在加速变革传统的漏洞管理态势。补丁应用作为ICS漏洞管理过程的关键环节，相比传统IT漏洞的修复面临更大的困难和更严峻的考验。
本文的主要贡献是总结了当前CVSS评估系统在工业场景下的不足，梳理了当前围绕ICS漏洞补丁应用研究的四种主要决策方法，最后结合工作实践，提出了实践中可行的ICS漏洞管理方法。
本文详细内容请下载：http://www.chinaaet.com/resource/share/2000003767
作者信息：
周 磊，姜双林，饶志波
(北京安帝科技有限公司，北京100125)
