ICS-CERT Ministarstva domovinske bezbjednosti objavio je tri sigurnosna savjeta ove sedmice o industrijskim kompjuterskim kontrolnim sistemima (ICS), ponovo-naglašavajući ozbiljne sigurnosne prijetnje sa kojima se danas suočavaju infrastruktura i industrijske mreže.
U nedavnom blog postu koji rezimira trenutni pejzaž prijetnji za ICS, Fortinet-ov Ruchna Nigam je naglasio: „Većina industrijskih kontrolnih sistema dolazi od različitih proizvođača i pokreće vlasničke operativne sisteme, aplikacije i protokole (uključujući General Electric, Kwell, DNP3 i Modbus). Kao rezultat toga, sigurnosna rješenja zasnovana na hostu-a razvijena za IT odjele su skoro potpuno neprikladna za ICS."
Ovo nesumnjivo čini sigurnost ICS-a još slabijom, a isključiva je odgovornost dobavljača da pronađe i popravi sigurnosne rupe. Sve otkrivene ranjivosti navedene u tri biltena su nezavisno identifikovane i prijavljene od strane dobavljača -, međutim, teško je potvrditi da su njihove ispravke zaista riješile problem.
Ivan Sanchez, koji je nedavno otkrio Rockwell IAB sigurnosni proboj, bio je prilično šokiran. U svom svakodnevnom poslu stalno traži i otkriva nove ICS sigurnosne propuste. Samo prošle godine objavio je izvještaj u kojem je identificirano više od 150 problema rizika samo s Rockwell proizvodima. Uopšteno govoreći, nakon prijave povezanih pitanja, relevantne kompanije će obaviti dalje konsultacije sa njim.
"U 95 posto slučajeva, kompanija će tražiti od mene da ponovo testiram{1}} prije nego što dam konačnu najavu," rekao je Sanchez u intervjuu. "Mislim da bi kompanije trebale da se raspituju o pojedinostima o sigurnosnim ranjivostima, a ne samo da kažu 'hvala' za ono što se trenutno otkriva."
Bilten ICSA-16-056-01 opisuje grešku kršenja pristupa memoriji u aplikaciji Rockwell Automation Integrated Architecture Builder (IAB). Jednom uspješno iskorišten, omogućio bi napadaču da izvrši zlonamjerni kod sa istim privilegijama kao IAB alat. Mogu ga koristiti samo lokalni korisnici i popravljeno je. Međutim, prije instaliranja najnovije verzije, i dalje se preporučuje da korisnici izbjegavaju korištenje IAB.exe za otvaranje nepouzdanih projektnih datoteka; osim toga, sav softver bi trebao biti pokrenut kao 'korisnička' uloga, a ne 'administratorska' uloga.
Bilten ICSA-16-061-03 opisuje sigurnosnu ranjivost zasnovanu na kolačićima koja omogućava udaljenom napadaču da konfiguriše EatonLightingSystems putem EG2WebControl. Eaton je ispravio ranjivost, ali je i dalje potrebno vrijeme da se uvede na sve sisteme.
Bilten ICSA-16-096-01 opisuje četiri sigurnosne ranjivosti u Pro-face-ovom GP-ProEXHMI softveru: jedna vodi do curenja informacija, dvije su prekoračenje bafera, a druga je teško -kodirani problem vjerodajnice. Sve četiri greške su sada ispravljene.
Postoji jak skup dokaza da su trenutni bezbednosni problemi ICS-a daleko strašniji od izjava u postu na blogu Fortinet.
U stvari, Ivan Sanchez je u intervjuu rekao: "Industrija ICS-a mora poboljšati vlastiti kvalitet koda i uvesti sigurnosne i revizijske kontrole. Objavio sam 30 posto pronađenih problema, a industrija nije imala dovoljno vremena da popravi ih sve — — Tako da moram reći, to je veliki problem."
Iako je objektivnost problema postala konsenzus, on je za sada još uvijek u velikoj mjeri potencijalni problem.
Patrick Coyle, autor Chemical Facility Safety News, objasnio je: "S jedne strane, postoji mnogo sigurnosnih rupa u gotovo svakom kontrolnom sistemu koje moramo pažljivo procijeniti i spriječiti bilo kakve upade koji ih ciljaju. S jedne strane, ovi ICS kontrolni sistemi su jednostavno previše složeni, a organiziranje efikasnog plana napada zahtijeva obilje ICS{0}}stručnosti."
IPC On očekuje da će napadne aktivnosti nastaviti da se povećavaju u budućnosti, ali se to povećanje uglavnom ogleda u nivou kvaliteta, a ne kvantiteta. "Mislim da ćemo vidjeti više neefikasnih napada usmjerenih na ICS. Kao i kod upada u hidraulični sistem koji je prijavio Verizon, napadač je jednostavno promijenio zadatu tačku po želji, ali je to brzo otkriveno, a sigurnosni sistem ili alarm Operater je riješio problem lako." Zapravo, to su zlonamjerne aktivnosti koje su dugo planirane.
Međutim, upozorio je: "Moja najveća briga je da neki zlonamjerni akteri mogu koristiti ransomware da zaključaju kritičnu infrastrukturu. To ne zahtijeva nikakvu duboku stručnost, sve dok mogu provaliti u sistem.
