الضوابط الصناعية الضعيفة مباشرة متصلا بالإنترنت؟ لما لا؟

سيمنز

بالأمس ، أصدرت شركة Siemens تحديثًا لمنتج عمره عام تحذير الثغرة الأمنية الخاصة به SIM – S7-300 و S7-400 عائلات وحدات تحكم المنطق القابلة للبرمجة (PLCs) – الصناعية أنظمة التحكم المستخدمة لمراقبة وتشغيل التصنيع عن بعد معدات. التنبيه ، الذي صدر أصلا في ديسمبر من عام 2016 ، كان تم تحديثها يوم الأربعاء لتشمل إصدارًا آخر من خط S7-400. وزارة الأمن الداخلي دفعت في حالة تأهب من خلال نظم التحكم الصناعي في حالات الطوارئ الحاسوب فريق الاستجابة (ICS-CERT) اليوم. النظم في كلتا العائلات الجهاز عرضة للهجمات عن بعد التي قد تسمح لشخص ما للحصول عليها بيانات اعتماد تسجيل الدخول إلى النظام أو إعادة تعيينه في وضع “عيب” ، إيقاف تشغيل وحدة التحكم – بشكل أساسي هجوم رفض الخدمة على أي جهاز متصل به إلى.

قراءة متعمقة

بعض البيرة ، والغضب من صاحب العمل السابق ، والوصول إلى الجذر إضافة ما يصل إلى عام في السجنقد لا تعتقد أن الضوابط الصناعية المصنع سيكون الوصول مباشرة من الإنترنت. لكن مسح سريع من الأجهزة المفتوحة على منفذ الشبكة المذكورة في الاستشارية (TCP المنفذ 102) باستخدام محرك بحث Shodan كشف أكثر من 1000 أجهزة Siemens يمكن الوصول إليها مباشرة على الإنترنت (بالإضافة إلى عدد معين من مصائد مخترقي الشبكات المصممة لاكتشاف الهجمات).

العديد من الأجهزة ضعيفة بناءً على تنبيهات Siemens و ليس لديك تحديثات البرامج الثابتة اللازمة لتخفيف التهديد. والخبر السار الوحيد ، كما الباحث الأمني ​​كيفين Beaumontsaid في تبادل مع آرس على تويتر ، هو ذلك “لم أر أي دليل على محاولة أي شخص محوهم ، إلخ ، بعد.”

تكبير / أكدت شركة Siemens PLCs الفعلية أنها متصلة بالإنترنت ، من باب المجاملة Shodan.Shodan

ومن المفارقات أن الضعف سرقة أوراق الاعتماد قد لا حتى يكون مشكلة في بعض الحالات ، لأن عددا كبيرا من الأجهزة التي شملها البحث في Shodan لم يكن لديها مصادقة تكوينها على الإطلاق. السبب الوحيد أن هذه النظم قد لا يكون تعرضت للهجوم حتى الآن هو أن أحدا لم يكتشف كيفية صنع مهاجمتهم في مؤسسة مربحة – أو أنهم لم يقرأوا كتيبات Siemens (القابلة للتنزيل) حتى الآن.

كما قال بومونت ، “إنه هدف مفتوح.” وهذا خاص الاستشارية لا تتوقف مع PLCs. بعض الشركات المصنعة PLC لم تفعل ذلك وردت حتى على استفسارات الأمن السيبراني الوطني في وزارة الأمن الوطني مركز تكامل الاتصالات (NCCIC) الثغرات المكتشفة مؤخرًا ، مثل الثغرات الموجودة في ناري PCS-9611 Feeder Relay ، نظام تحكم يستخدم لإدارة البعض شبكات الكهرباء. مشكلة عدم الحصانة ، التي أبلغ عنها اثنان من Kaspersky Labs الباحثين ، “يمكن أن تسمح للمهاجم عن بعد التعسفي القراءة / الكتابة قدرات على النظام. ”

بينما لم يكشف بحث Shodan السريع عن أي وحدة تغذية Nari التبديلات على وجه التحديد ، تحقق من واحدة من الدولية بروتوكولات اللجنة الكهربائية المستخدمة من قبل PCS-9611 وغيرها الأجهزة الأخرى التي تتحكم في أنظمة توزيع الطاقة الموجودة 14000 أنظمة متصلة مباشرة بالإنترنت ، إلى حد كبير عن طريق 3G أجهزة المودم الخلوية. وكانت نتائج العديد من هذه فرزهم من قبل آرس يدل على الأجهزة الكهربائية ICS.

AShodan search of systems using common electrical grid protocolsfound a few connected directly to the internet, mostly overcellular connections.

سد سوء الأمن

في حين أن وزارة الأمن الوطني ومختلف البائعين الأمن قد تم تحذير من مدى تعرض أنظمة التحكم الصناعية لـ “الحرب الإلكترونية” على مدى العقد الماضي ، قليل نسبيا السيطرة الصناعية الفعلية هجمات النظام قد وثقت ، وتلك التي كانت تم الإبلاغ مبالغ فيها إلى حد كبير. محاولة 2013 (منسوبة إلى الإيرانيون) إلى “اختراق” سد في ولاية نيويورك الفاشلة ، إلى حد كبير لأن أنظمة التحكم في الفيضان السد قد كسر لبعض زمن. تم تنفيذ هذا الهجوم من خلال الوصول إلى السد المحلي الشبكة عبر مودم خلوي واسع النطاق تم إعداده للسماح بالتحكم عن بُعد التمكن من.

الهجمات الأخرى الأكثر حداثة كانت من الداخل. يشملوا موظف سابق ربما في حالة سكر لنظام تحكم صناعي البائع الذي استخدم بيانات اعتماد تسجيل الدخول الافتراضية لإيقاف التشغيل عن بُعد محطات قاعدة بوابة البرج (TGBs) التي تجمع البيانات من الذكية عدادات المياه.

بعد بعض هذه الهجمات قد تذهب بدون وثائق ببساطة لأن الشركات المتأثرة بها ليس لديها سبب للإبلاغ لهم. في مؤتمر Black Hat USA الأمني ​​في عام 2015 ، مارينا كروتوفيل ، باحث في جامعة هامبورغ للتكنولوجيا أخبر الحاضرين أن المرافق قد تم ابتزازها بانتظام بواسطة ICS المتسللين على نطاق واسع منذ عام 2006 على الأقل. وعلى الرغم من الجهود لتأمين البنية التحتية لمراقبة الشبكة الكهربائية بشكل أفضل ، واصل الباحثون في العثور على أنه حتى الأجهزة الواقية المستخدمة في بعض الأنظمة عرضة للإساءة والهجوم.

في عرض تقديمي في مؤتمر الأمن RECON بروكسل الماضي يناير ، الباحثون Kirill Nesterov وألكسندر Tlyapov ناقش الغياب العام للأمن في بروتوكولات IEC المستخدمة في أنظمة محطات الشبكة الكهربائية ، بما في ذلك حماية التتابع محطات. العديد من هذه الأنظمة لها واجهات ويب خاصة بها لـ الإدارة عن بُعد ، غالبًا باستخدام كلمات مرور مشفرة الثابت اكتشفت عن طريق فحص البرامج الثابتة للتحميل من مواقع الويب الخاصة بالمصنعين.

من الواضح أن حماية هذه الأشياء أمر صعب. جزء من القضية هو أن العديد من هذه الأنظمة خارج المجال المعتاد لتكنولوجيا المعلومات الإدارات وتديرها منظمات منفصلة مع مختلف كثيرا نوع من روح الأمن. الاعتماد السريع للوصول عن بعد ل سمحت النظم الصناعية للعمال بتتبع التصنيع والأنظمة الكيميائية والكهربائية من مسافة بعيدة ، توفير المال والوقت. ولكن في كثير من الحالات ، أن الوصول عن بعد لديه تم تحقيقه مع القليل جدا من التخطيط الأمني ​​، إن وجد على الإطلاق. بعد كل شيء ، لماذا يحتاج أي شخص إلى شبكة خاصة افتراضية ل حماية PLC السيطرة على السد أو قطعة من المصنع معدات؟