典型的安全策略脆弱性体现哪几个方面

典型的安全策略脆弱性体现在以下几个方面:

• 经常使用默认配置:使用默认的配置通常会导致主机上那些不安全、不必要的端口，以及容易被利用的服务和应用程序等被开放。

• 关键性配置没有保存或备份:事故发生后可以对工业控制系统参数配置进行及时恢复，或者对系统进行重要配置时，可以继续保持系统的可用性并防止数据丢失。开发确保工业控制系统配置参数可用性的规范操作流程是非常重要的。

• 便携式设备的数据没有受到保护:如果敏感数据（如密码等）完整地存储在便携式设备中，并且此类设备遗失或被盗，将危及整个系统的信息安全。出现此类情况时，为保护敏感数据的安全性，需要设计配套的策略、过程和机制。

• 主机防火墙被关闭:由于OPC通信的需要，为了不影响工业控制系统应用软件的运行，自动化厂商的软件安装指导中通常会要求关闭主机防火墙，这给恶意代码的传播留下了安全隐患。

• 缺乏恰当的密码管理机制:当系统中需要使用密码时必须设计正确的密码管理策略，密码管理机制越健全，密码使用过程将受到越充分的保护。若缺乏恰当的密码管理机制，整个系统将不可能对密码进行合理的控制，极易引发对系统的非授权访问。密码管理机制必须作为整个工业控制系统信息安全体制的重要组成部分，并需要考虑工业控制系统处理复杂密码的能力。

• 不使用密码:工业控制系统的每种功能部件都需要密码来阻止非授权的访问，如果不使用密码将导致一些与密码相关的脆弱性。例如，系统登录过程（如果系统具有用户账号）；系统启动过程（如果系统没有用户账号）；系统屏幕保护（如果工业控制系统是无人值守的）。

• 口令破解:口令需要被秘密保存以防止非授权访问，口令破解的例子包括口令被简单记录在工业控制系统设备周围那些显眼的位置；将口令告诉每一个系统的使用者；以社会工程的途径将密码告诉恶意攻击者；通过未经过保护的通信信道传送未加密的口令。

• 口令猜测:未经过认真设计的口令很容易被攻击者或计算机算法猜测出来，并获得对系统的非授权访问，这方面的例子包括简短、简单（如使用相同字母）的口令，或者不满足常规安全长度的口令；使用设备供应商默认提供的口令。

• 未安装入侵检测/入侵防御软件:工业控制系统事故将导致系统失去可用性，造成系统数据的失窃、修改、删除，以及设备执行不正确的控制指令。入侵检测/入侵防御软件将阻止或防御多种不同类型的攻击，包括拒绝服务攻击，并可以定位已受到攻击的内网主机，例如那些已经感染病毒的主机。入侵检测/入侵防御软件必须在安装前经过严格测试，以确保安装后不会危及工业控制系统的正常运转。

• 没有定期维护日志:如果系统中没有正确和及时的日志，追查信息安全事故发生的原因将会变得困难，不能及时察觉安全事件，虽然安装了日志和其他信息安全检测工具，但它们并不能对系统进行实时监视，因而安全事件并不能被快速检测和处理。

• 未安装防病毒软件:恶意软件将导致系统性能下降、失去正常功能、系统数据失窃、遭受篡改、删除等后果。防病毒软件（如杀毒软件）可以用来保护系统不受病毒感染，而过时或失效的防病毒软件和策略将使系统容易遭受新病毒的攻击。防病毒软件在安装前未经过全面测试有可能影响工业控制系统的正常运转。

• 已经实施的信息安全技术措施被默认禁用:设备产品中安装的所有信息安全机制，如果被配置成禁用或在实际操作中受到限制时，将失去作用。