A „tervezés által nem biztonságos” biztonság kultúráját idézik a hibáktól hemzsegő működési technológiai eszközök felfedezése során.
A kutatók 56 sebezhetőséget fedeztek fel, amelyek 10 operációs technológia (OT) gyártó eszközeit érintik, amelyek többsége a berendezések tervezési hibáinak, valamint a biztonság és kockázatkezelés laza megközelítésének tulajdonítható, amelyek évtizedek óta sújtják az iparágat.
A sérülékenységek – amelyeket a neves Honeywell, Emerson, Motorola, Siemens, JTEKT, Bentley Nevada, Phoenix Contact, Omron, Yogogawa, valamint egy meg nem nevezett gyártó gyártók találtak az eszközökben – eltérőek a jellemzőik és a fenyegetés szereplői számára lehetővé tévő lehetőségek tekintetében. a Forescout's Vedere Labs kutatása szerint.
Összességében azonban „az egyes sérülékenységek hatása nagymértékben függ az egyes eszközök által kínált funkcióktól” – állítja egy blogbejegyzés a kedden közzétett hibákról.
A kutatók az egyes termékekben talált hibák típusát négy alapvető kategóriába sorolták: nem biztonságos mérnöki protokollok; gyenge kriptográfia vagy hibás hitelesítési sémák; nem biztonságos firmware-frissítések; vagy távoli kódfuttatás natív funkciókon keresztül.
Azok a tevékenységek, amelyeket a fenyegetés szereplői az érintett eszköz hibáinak kihasználásával végezhetnek, a következők: távoli kódvégrehajtás (RCE), a kód végrehajtása különböző speciális processzorokban és a processzoron belüli különböző környezetekben; szolgáltatásmegtagadás (DoS), amely teljesen offline állapotba hozhatja az eszközt, vagy blokkolhatja a hozzáférést egy bizonyos funkcióhoz; fájl/firmware/konfiguráció manipuláció, amely lehetővé teszi a támadó számára az eszköz fontos jellemzőinek megváltoztatását; hitelesítő adatok kompromisszuma, amely lehetővé teszi az eszköz funkcióihoz való hozzáférést; vagy hitelesítési kiiktatás, amely lehetővé teszi a támadó számára, hogy a kívánt funkciót hívja meg a céleszközön, mondták a kutatók.
Szisztémás probléma
Az, hogy a hibák – amelyeket a kutatók közösen OT:ICEFALL-nak neveztek el a Mount Everestre és a hegyi eszközök gyártóira utalva a biztonság terén – a hálózatok kulcsfontosságú eszközeiben léteznek, amelyek a kritikus infrastruktúrát önmagukban irányítják, az önmagában is elég rossz.
A legrosszabb azonban az, hogy a hibák elkerülhetőek lettek volna, mivel a sérülékenységgel érintett termékcsaládok 74 százaléka rendelkezik valamilyen biztonsági tanúsítvánnyal, így a piacra kerülés előtt ellenőrizték őket – állapították meg a kutatók. Sőt, a legtöbbjüket „viszonylag gyorsan a sebezhetőség mélyreható felfedezése során” kellett volna felfedezni.
Az OT-szállítók által a sérülékeny termékeknek nyújtott ingyenes belépő az iparág egészének kitartó, gyenge erőfeszítéseit mutatja a biztonság és a kockázatkezelés terén, amin a kutatók azt remélik, hogy a probléma megvilágításával változtatnak majd.
"Ezek a problémák a biztonsági tanúsítvánnyal rendelkező termékek tartósan nem biztonságos, tervezési gyakorlatától a tőlük való távolodási kísérletekig terjednek" - írták a kutatók a bejegyzésben. "Kutatásunk célja annak bemutatása, hogy ezeknek a rendszereknek az átláthatatlan és védett természete, az őket körülvevő, szuboptimális sebezhetőség-kezelés és a tanúsítások által kínált, gyakran hamis biztonságérzet jelentősen megnehezíti az OT-kockázatkezelési erőfeszítéseket."
Biztonsági paradoxon
Valójában a biztonsági szakemberek felfigyeltek a kritikus infrastruktúrát futtató rendszereket gyártó területen a szállítók laza biztonsági stratégiájának paradoxonára is, támadások amelyeken katasztrofális lehet nemcsak a hálózatok, amelyeken a termékek léteznek, hanem az egész világ számára.
„Tévesen feltételezhető, hogy az ipari vezérlő- és üzemtechnikai eszközök, amelyek a leglényegesebb és legérzékenyebb feladatokat látják el a kritikus infrastruktúra A környezetek a világ legszigorúbban védett rendszerei közé tartoznának, a valóság azonban gyakran ennek éppen az ellenkezője” – jegyezte meg Chris Clements, a Cerberus Sentinel megoldásarchitektúrájának alelnöke a Threatpostnak küldött e-mailben.
Valójában, amint azt a kutatás is bizonyítja, „túl sok ilyen szerepkörben működő eszköz rendelkezik olyan biztonsági ellenőrzésekkel, amelyeket a támadók félelmetesen könnyen legyőzhetnek vagy megkerülve átvehetik az eszközök teljes irányítását” – mondta.
A kutatók megállapításai egy újabb jele annak, hogy az OT-ipar „régen esedékes kiberbiztonsági számításokat él át”, amellyel a gyártóknak mindenekelőtt a biztonság integrálásával a termelés legalapvetőbb szintjén kell foglalkozniuk, mielőtt továbblépnének – jegyezte meg Clements.
„Az érzékeny működési technológiai eszközök gyártóinak át kell venniük a kiberbiztonsági kultúrát, amely a tervezési folyamat legelején kezdődik, de egészen a végtermékben az eredményes megvalósítás validálásáig tart” – mondta.
A kockázatkezelés kihívásai
A kutatók felvázolták az OT-eszközök biztonsági tervezésével és kockázatkezelésével kapcsolatos problémák néhány okát, amelyeket a gyártóknak javasolnak gyorsan orvosolni.
Az egyik az egységes funkcionalitás hiánya az eszközök között, ami azt jelenti, hogy az eredendő biztonsági hiányosságok is nagyon eltérőek, és bonyolítja a hibaelhárítást – mondták. Például az 1. szintű eszközökön natív funkciókon keresztüli RCE megszerzéséhez vezető három fő út – logikai letöltések, firmware-frissítések és memória olvasási/írási műveletek – vizsgálata során a kutatók azt találták, hogy az egyes technológiák eltérően kezelik ezeket az útvonalakat.
Az elemzett rendszerek egyike sem támogatja a logikai aláírást, és több mint 50 százalékuk natív gépi kódra fordította a logikáját. Ráadásul a rendszerek 62 százaléka elfogadja a firmware letöltését Etherneten keresztül, míg csak 51 százalékuk rendelkezik hitelesítéssel ehhez a funkcióhoz.
Eközben néha az eszköz benne rejlő biztonság nem közvetlenül a gyártó hibája volt, hanem az ellátási láncban lévő „tervezés szerint nem biztonságos” alkatrészeké, ami tovább bonyolítja a gyártók kockázatkezelését – állapították meg a kutatók.
"Az OT ellátási lánc összetevőinek sebezhetőségeit általában nem minden érintett gyártó jelenti be, ami hozzájárul a kockázatkezelés nehézségeihez" - mondták.
Hosszú út előtt
Valójában az OT és az IT-eszközök és -rendszerek kockázatkezeléséhez egyaránt szükség van a „kockázat közös nyelvére”, amit nehéz megvalósítani a szállítók és biztonsági és termelési stratégiáik közötti sok következetlenség miatt egy iparágban – jegyezte meg Nick Sanna, a vállalat vezérigazgatója. RiskLens.
Ennek orvoslása érdekében azt javasolta a szállítóknak, hogy pénzügyileg számszerűsítsék a kockázatot, ami lehetővé teheti a kockázatkezelők és az üzemek üzemeltetői számára, hogy prioritásként kezeljék a „sebezhetőségekre adott válaszokat – foltozást, ellenőrzések hozzáadását, biztosítás növelését – mindezt a veszteségnek való kitettség világos megértése alapján. informatikai és operatív eszközöket egyaránt.”
A Forescout kutatói szerint azonban még ha a gyártók elkezdenek is foglalkozni azokkal az alapvető kihívásokkal, amelyek az OT:ICEFALL forgatókönyvet létrehozták, nagyon hosszú út áll előttük a biztonsági probléma átfogó enyhítése érdekében.
„Az OT:ICEFALL elleni teljes védelem megköveteli, hogy a gyártók foglalkozzanak ezekkel az alapvető problémákkal az eszköz firmware-ének és a támogatott protokolloknak a változásaival, és hogy az eszköztulajdonosok alkalmazzák a változtatásokat (javításokat) a saját hálózatukon” – írták. "Reálisan ez a folyamat nagyon sokáig fog tartani."
