最近超过三分之一的ICS漏洞仍然没有供应商补丁

最新研究显示，在2022年下半年发布的工业控制系统(ICS)中，35%的CVE仍然没有可用的补丁，这让他们的供应商感到失望。

SynSaber的2022年下半年ICS漏洞报告分析了2022年下半年通过网络安全和基础设施安全局(CISA) ICS咨询报告报告的926个CVE。

它发现，ICS资产所有者不仅不得不应对已公布的CVE的增加，其结果是比今年上半年报告的681个增加了36%。而且在许多情况下，由于缺乏供应商更新，他们的系统暴露了。

SynSaber认为，延迟通常是由于原始设备制造商(OEM)供应商通常有严格的补丁测试、批准和安装流程。然而，即使补丁可用，ICS资产所有者也很难及时更新系统。

报告指出:“除了等待下一个维护周期外，运营商必须考虑环境范围内变化的互操作性和保修限制。”

从更积极的方面来看，SynSaber声称，在2022年下半年发布的CVE中，只有五分之一(22%)应该优先进行补丁，低于前六个月的41%。

这在一定程度上归因于被利用的可能性。据称，在2022年下半年发布的CVE中，约11%需要本地和用户交互才能成功利用，而25%需要用户交互，无论网络可用性如何。

Nozomi Networks在一份新报告中称，制造业和能源是2022年下半年最脆弱的行业，其次是水/废水、医疗保健和运输系统。

该公司表示，在每年的7月、10月和12月，其蜜罐检测到针对运营技术(OT)和物联网系统的5000次攻击。

供应商的OT/物联网安全研究传道者Roya Gordon解释说：“铁路尤其容易受到攻击，导致实施了旨在保护铁路运营商及其资产的措施。”

随着网络威胁的发展和加剧，组织必须了解威胁行为者如何针对OT/物联网，以及保护关键资产免受威胁行为者攻击所需的行动。