聊聊CWE 4.14 与 ISA/IEC 62443中，如何保障工业软件的安全性
内容提要
本文介绍了CWE 4.14版本和ISA/IEC 62443标准，重点讨论了瞬态执行漏洞和瞬态执行攻击。ISA/IEC 62443是工业自动化和控制系统的安全标准，包括通用、政策和程序、系统、组件四个系列。文章还介绍了ISA/IEC 62443与国家标准的对应关系以及ISA/IEC 62443与CWE的映射。ISA/IEC 62443的要求解决的弱点视图可以提高规范遵从的可度量性和工业软件的安全性。
延伸解读
瞬态执行漏洞：硬件微架构的安全盲点
CWE 4.14新增了4个与硬件微架构相关的瞬态执行漏洞，这些漏洞源于处理器为提升性能而采用的流水线、乱序执行和分支预测等优化。在瞬态执行期间，敏感信息可能通过隐蔽通道泄露，即使指令集架构层面没有异常。自2018年Spectre和Meltdown披露以来，此类攻击已影响英特尔、AMD、Arm等多家供应商。对于工业控制系统，若采用存在此类漏洞的处理器，可能导致关键数据泄露，因此需关注硬件层面的安全评估与缓解措施。
ISA/IEC 62443：工业自动化控制系统的安全框架
ISA/IEC 62443系列标准由ISA99委员会与IEC联合制定，旨在解决工业自动化和控制系统（IACS）全生命周期的安全问题。该标准分为通用、政策和程序、系统、组件四个系列，涵盖术语模型、安全管理、风险评估、安全等级及产品开发要求。它适用于所有自动化控制系统，不仅限于工业，为资产所有者、系统集成商和产品供应商提供了统一的安全实践指南，有助于弥合运营技术与信息技术之间的安全差距。
CWE-1424视图：连接62443标准与弱点管理
CWE 4.14新增的CWE-1424视图，通过XPath筛选出与ISA/IEC 62443要求相关的弱点，目前映射了39个CWE，分布在访问控制、资源生命周期管理、加密问题等类别。该视图并非直接定义关联关系，而是利用CWE节点的Taxonomy_Mapping属性。映射工作由CWE ICS/OT SIG小组完成，部分映射仍在审查中。这一视图增强了规范遵从的可度量性，为工业软件的安全设计和缺陷检查提供了明确指导。
国家标准映射：ISA/IEC 62443的本地化实施
中国作为ISA/IEC 62443标准的制定参与者，已将大部分标准映射到国家标准（GB），如GB/T 40211-2021对应术语概念模型，GB/T 42457-2023对应产品安全开发生命周期要求等。这种本地化实施促进了标准在国内工业领域的应用，有助于企业依据国标开展安全建设和合规评估。读者在参考ISA/IEC 62443时，可同时关注对应的GB标准，以便更贴合国内监管和行业实践。
Q&A
CWE 4.14版本主要更新了哪些内容？
CWE 4.14版本主要更新了4个与硬件微架构相关的弱点和一个新视图CWE-1424，涉及ISA/IEC 62443标准要求解决的弱点。
瞬态执行漏洞是什么？
瞬态执行漏洞是指在瞬态执行期间暴露敏感信息的弱点，包括共享微架构导致的信息泄露等。
ISA/IEC 62443标准的主要目的是什么？
ISA/IEC 62443标准旨在提高工业自动化和控制系统的安全性，涵盖整个生命周期的安全问题。
CWE与ISA/IEC 62443的映射工作有什么意义？
CWE与ISA/IEC 62443的映射工作强调了安全设计的重要性，并显示出39个对应的CWE弱点，提升了规范遵从的可度量性。
瞬态执行攻击的组成部分有哪些？
瞬态执行攻击由瞬态执行本身和用于实际过滤信息的隐蔽通道组成。
中国如何实施ISA/IEC 62443标准？
中国将ISA/IEC 62443标准映射到国家标准中，促进了标准的本地化实施。
