内容摘要：先回顾一下2021年前半年情况，2021 年前 6 个月，影响 76 家供应商产品的 637 个 ICS 缺陷的存在被曝光，其中超过 70% 的漏洞被赋予了严重或高严重性等级。相比之下，2020 年下

先回顾一下2021年前半年情况  ，年上2021 年前 6 个月，半年百影响 76 家供应商产品的披露 637 个 ICS 缺陷的存在被曝光 ，其中超过 70% 的数洞漏洞被赋予了严重或高严重性等级。相比之下 ，年上2020 年下半年仅披露了 449 个漏洞。半年百

Claroty 进行的披露一项分析表明，2021 年上半年披露的数洞绝大多数安全漏洞不需要特殊条件即可利用，四分之三不需要任何特权 ，年上三分之二无需用户交互即可被利用。半年百

该公司表示，披露61% 的免费模板数洞漏洞可以被远程利用，其中 65% 的年上漏洞可以被用于拒绝服务 (DoS) 攻击，与 IT 系统相比 ，半年百这对 ICS 的披露影响可能更大 。

超过 80% 的漏洞是由外部研究人员报告给供应商的。在报告 2021 年上半年披露的缺陷的研究人员中，有 42 人是新研究人员 。

受影响最大的建站模板供应商是西门子（146 个漏洞）
、施耐德电气（65 个）、罗克韦尔自动化（35 个）、万可（23 个）和研华（22 个）。值得注意的是 ，受影响的供应商名单还包括 20 家公司，其产品未受到去年披露的任何缺陷的影响
。

大多数安全漏洞会影响运营管理级别的产品（历史学家 、OPC 服务器） ，服务器租用其次是基本控制（PLC、RTU）和监督控制（HMI、SCADA）级别。

2022年上半年 ，SynSaber 统计了 CISA 披露的 681 个漏洞，略高于2021 年上半年的637个漏洞。值得注意的是，CISA 并未针对所有公开披露的 ICS 缺陷发布公告 ，这意味着 1 月至 6 月期间披露的实际问题数量可能会更高 。源码下载

在 681 个 CVE 中，大约 13% 没有补丁并且可能永远无法修复——这些被称为“永久漏洞”  。

然而 ，在某些情况下
，即使漏洞确实有补丁 ，由于 SynSaber 所描述的“复杂的互操作性和保修限制” ，应用它可能不是一项简单的任务。组织可能需要等待受影响的 OEM 供应商批准补丁
，并且他们需要在采取任何步骤之前确定运营风险 。

CISA 在 2022 年上半年公开的漏洞中
，高防服务器超过 22% 的漏洞被评为“严重”严重性等级，42% 根据其 CVSS 评分被评为“高严重性”等级 。

然而，正如专家们经常强调的那样 ，在 ICS 的情况下，CVSS 分数可能会产生误导。SynSaber 建议组织查看某些指标 ，以确定漏洞是否可以在其环境中实际利用
。例如，如果利用需要用户交互
、本地/物理访问或目标系统上的提升权限 ，亿华云那么它就不太可能被利用 。

在这种特殊情况下，利用 46 个漏洞需要访问和用户交互 ，198 个需要用户交互。

在 681 个 ICS 漏洞中，超过一半需要软件补丁 ，34% 需要固件更新，12% 需要协议更新。

SynSaber 的一项评估表明，大约 40% 的漏洞应该立即解决 ，8% 的漏洞不容易解决，可能需要补偿控制以防止利用。

“仅查看报告的 CVE 的绝对数量可能会让资产所有者感到不知所措，但当我们了解 CVE 的相关性和可操作性的百分比，而哪些仍将是‘永远存在的漏洞’时 ，这些数字似乎就不那么令人生畏了 ，至少暂时，”SynSaber 在其报告中说 。