ICS-CERT Міністерства внутрішньої безпеки сша на цьому тижні опублікувало три рекомендації з безпеки щодо промислових комп'ютерних систем управління (ICS), знову підкресливши серйозні загрози безпеці, з якими сьогодні стикаються інфраструктура та промислові мережі.
У недавньому блозі, що підсумовує поточний ландшафт загрози для ICS, Ruchna Nigam з Fortinet підкреслив: «Більшість промислових систем управління походять від різних постачальників і керують власними операційними системами, додатками та протоколами (включаючи General Electric, Kwell, DNP3 та Modbus). Як наслідок, рішення для безпеки на базі хостів, розроблені для ІТ-відділів, майже повністю непридатні для ICS».
Це, безсумнівно, робить безпеку ICS ще слабшою, і це єдина відповідальність постачальника, щоб знайти і виправити дірки в безпеці. Всі виявлені уразливості, процитовані в трьох бюлетенях, були незалежно ідентифіковані і повідомлені продавцем - однак перевірити, що їх виправлення насправді вирішили проблему, складно.
Іван Санчес, який нещодавно виявив порушення безпеки Rockwell IAB, був досить шокований. У своїй повсякденній роботі він постійно шукає і виявляє нові вразливості безпеки ICS. Тільки в минулому році він опублікував звіт, в якому було виявлено понад 150 проблем ризику тільки з продуктами Rockwell. Взагалі кажучи, після повідомлення про супутніх питань відповідні компанії будуть проводити з ним подальші консультації.
"У 95% випадків бізнес попросить мене повторно протестувати, перш ніж зробити остаточне оголошення", - сказав Санчес в інтерв'ю. "Я думаю, що компанії повинні запитувати про конкретику про вразливості безпеки, а не просто говорити "спасибі" за те, що в даний час виявляється."
Бюлетень ICSA-16-056-01 описує помилку порушення доступу до пам'яті в програмі інтегрованого конструктора архітектури Rockwell Automation (IAB). Після успішної експлуатації це дозволить зловмиснику виконувати шкідливий код з тими ж привілеями, що і інструмент IAB. Він може бути використаний тільки місцевими користувачами і був виправлений. Однак перед установкою останньої версії все ж рекомендується користувачам уникати використання IAB.exe відкривати будь-які ненадійні файли проекту; Крім того, все програмне забезпечення має виконуватися як роль користувача, а не роль адміністратора.
Бюлетень ICSA-16-061-03 описує вразливість безпеки на основі файлів cookie, яка дозволяє віддаленому зловмиснику налаштувати EatonLightingSystems через EG2WebControl. Eaton виправив уразливість, але все одно потрібен час, щоб розгорнути її у всіх системах.
Бюлетень ICSA-16-096-01 описує чотири вразливості безпеки в програмному забезпеченні GP-ProEXHMI Pro-face: один призводить до витоку інформації, два переповнення буфера, а інший є жорстко закодованою проблемою облікових даних. Всі чотири помилки вже виправлені.
Існує сильний набір доказів того, що поточні питання безпеки ICS набагато страшніше, ніж заяви в блозі Fortinet.
Іван Санчес сказав в інтерв'ю: «Індустрія ICS повинна поліпшити якість власного коду та запровадити контроль безпеки та аудиту. Я опублікував 30% проблем, які були знайдені, і галузь не мала достатньо часу, щоб виправити їх усі - тому я повинен сказати, що це велика проблема".
Хоча об'єктивність проблеми стала консенсусом, вона все ще в значній мірі є потенційною проблемою на даний момент.
Патрік Койл, автор книги «Новини безпеки хімічних об'єктів», пояснив: «З одного боку, майже в кожній системі управління є багато дірок у безпеці, які нам потрібно ретельно оцінити і запобігти будь-яким вторгненням, спрямованим на них. З одного боку, ці системи управління ICS просто занадто складні, і організація ефективного плану атаки вимагає багатого досвіду, пов'язаного з ICS».
МПК Він очікує, що атакуюча діяльність буде продовжувати збільшуватися в майбутньому, але це збільшення в основному відбивається на рівні якості, а не кількості. "Я думаю, що ми побачимо більш неефективні атаки, спрямовані на ICS. Як і у випадку з вторгненням гідравлічної системи, про яке повідомила Verizon, зловмисник просто змінив задану точку за власним бажанням, але вона була швидко виявлена, і система безпеки або сигналізація Оператор легко вирішив проблему. По суті, це зловмисна діяльність, яка планувалася давно.
Однак він попередив: «Моє найбільше занепокоєння полягає в тому, що деякі зловмисники можуть використовувати вимагачі для блокування критичної інфраструктури. Це не вимагає глибокого досвіду, якщо вони можуть зламати систему.
