Помимо свидетельств некоего анонимного хакера, хотелось бы, конечно, услышать и мнение о проблеме со стороны какого-нибудь авторитетного эксперта, известного среди специалистов. Чтобы получить примерное представление о том, к чему сводится защита современных компьютерных систем промышленного управления, можно процитировать недавнюю запись из блога Ральфа Лангнера, знаменитого специалиста в этой области. Именно Лангнеру в своё время удалось первым разобраться с вредоносной "начинкой" червя Stuxnet.
В последних числах сентября этого года Лангнеру довелось принимать участие в одной из специализированных конференций, где выступал некто Марти Эдвардс - нынешний глава ICS-CERT, организации, которая в составе правительства США отвечает за компьютерную безопасность индустриальных систем управления. Суть доклада этого чиновника сводилась к представлению нового подхода их ведомства к тому, как теперь надо смотреть на уязвимости систем - путём исключения всего, что не выглядит как баг (дефект программы), который может быть исправлен поставщиком продукта.
Иными словами, поясняет Лангнер, отныне вы просто не увидите от ICS-CERT никаких рекомендаций или предупреждений относительно "особенностей" программ, которые потенциально можно использовать для атак. Такой подход, по свидетельству эксперта, самым радикальным образом - примерно на 90 процентов - сокращает число уязвимостей в области промышленных систем управления, поскольку подавляющее большинство тех "моментов" в безопасности, которые индустрия сегодня имеет (называть их "уязвимостями" уже не принято), - это не баги программирования, а конструктивные дефекты системы.