9、带虚拟教练和自动挑战评估的网络安全意识平台

带虚拟教练和自动挑战评估的网络安全意识平台

在数字化时代，工业控制系统面临的网络攻击日益增多，软件安全和安全软件开发在工业网络安全中起着至关重要的作用。本文将介绍一种旨在提高软件开发人员安全编码意识的平台，以及相关的技术和评估方法。

1. 安全编码意识的必要性

近年来，工业控制系统 - 计算机应急响应小组（ICS - CERT）每年发布的安全公告数量稳步增加。2014 年之前，每年发布的公告数量少于 100 个，而 2017 年至 2019 年，每年发布的公告数量超过 200 个。这与工业控制系统遭受的网络攻击数量和复杂性的增加密切相关。

例如，2017 年“影子经纪人”黑客组织发布的勒索软件 WannaCry，利用了服务器消息块（SMB）协议中的“永恒之蓝”漏洞，影响了众多工业控制系统，造成了超过 140 个国家的经济损失超过 40 亿美元。该漏洞是由整数溢出导致的缓冲区溢出，而缓冲区溢出的利用早在 70 年代末就已为人所知。

虽然并非所有的攻击和漏洞都能直接追溯到特定的软件漏洞，但与安全编码相关的漏洞数量却在不断增加。软件安全和安全软件开发在工业网络安全中，特别是在关键基础设施中，起着至关重要的作用。一项针对 4000 多名软件开发人员的调查显示，“不到一半的开发人员能够发现安全漏洞”。这种意识的缺乏对工业控制系统和关键基础设施的网络安全造成了严重影响。

本工作主要关注 C 和 C++ 编程语言。Whitehat 的一项研究表明，C 和 C++ 是工业环境中最常用的编程语言之一，但它们也是网络安全漏洞最多的语言之一。这意味着大多数漏洞是在这些编程语言中产生的。

2. 标准、行业和学术努力

为了