'안전하지 않은 설계' 보안 문화는 버그가 많은 운영 기술 장치의 발견에서 인용됩니다.
연구원들은 56개 OT(운영 기술) 공급업체의 장치에 영향을 미치는 10개의 취약점을 발견했으며, 대부분이 수십 년 동안 업계를 괴롭혀온 장비의 고유한 설계 결함과 보안 및 위험 관리에 대한 느슨한 접근 방식 때문이라고 밝혔습니다.
유명 벤더인 Honeywell, Emerson, Motorola, Siemens, JTEKT, Bentley Nevada, Phoenix Contact, Omron, Yogogawa 및 익명의 제조업체에서 발견한 취약점은 특성과 위협 행위자가 수행할 수 있는 작업에 따라 다양합니다. Forescout의 Vedere Labs의 연구에 따르면
그러나 전반적으로 "각 취약점의 영향은 각 장치가 제공하는 기능에 따라 크게 달라집니다." 블로그 게시물 화요일에 발표된 결함에 대해.
연구원들은 각 제품에서 발견한 결함 유형을 XNUMX가지 기본 범주로 분류했습니다. 안전하지 않은 엔지니어링 프로토콜; 약한 암호화 또는 깨진 인증 체계; 안전하지 않은 펌웨어 업데이트; 또는 기본 기능을 통한 원격 코드 실행.
위협 행위자가 영향을 받는 장치의 결함을 악용하여 참여할 수 있는 활동에는 다음이 포함됩니다. 장치를 완전히 오프라인 상태로 만들거나 특정 기능에 대한 액세스를 차단할 수 있는 서비스 거부(DoS) 공격자가 장치의 중요한 측면을 변경할 수 있도록 하는 파일/펌웨어/구성 조작; 장치 기능에 대한 액세스를 허용하는 자격 증명 손상 또는 공격자가 대상 장치에서 원하는 기능을 호출할 수 있도록 하는 인증 우회가 있다고 연구원들은 말했습니다.
시스템 문제
연구원들이 에베레스트 산과 산악 장치 제조업체가 보안 측면에서 등반해야 하는 것을 참조하여 집합적으로 OT:ICEFALL이라고 명명한 결함이 자체적으로 중요한 인프라를 제어하는 네트워크의 핵심 장치에 존재한다는 사실은 충분히 나쁩니다.
그러나 더 나쁜 것은 취약점의 영향을 받는 제품군의 74%가 일종의 보안 인증을 받았기 때문에 시장에 출시되기 전에 검증되었기 때문에 결함을 피할 수 있었다는 것입니다. 게다가 대부분은 "심층적인 취약점 발견 중에 비교적 빨리" 발견되어야 한다고 그들은 지적했다.
취약한 제품에 제공한 이 무료 패스 OT 공급업체는 보안 및 위험 관리와 관련하여 업계 전체가 지속적으로 부진한 노력을 기울이고 있음을 보여줍니다. 연구자들은 이 문제를 조명하여 변경하기를 희망한다고 말했습니다.
연구원들은 게시물에서 “이러한 문제는 보안 인증 제품의 지속적이고 안전하지 않은 설계 관행부터 제품에서 벗어나려는 수준 이하의 시도에 이르기까지 다양합니다. "[우리 연구의] 목표는 이러한 시스템의 불투명하고 독점적인 특성, 시스템을 둘러싼 차선의 취약성 관리 및 인증에서 제공하는 종종 잘못된 보안 감각이 OT 위험 관리 노력을 얼마나 복잡하게 하는지를 설명하는 것입니다."
보안 패러독스
실제로 보안 전문가들은 중요한 인프라를 실행하는 시스템을 생산하는 분야에서 벤더의 느슨한 보안 전략의 역설에 주목했습니다. 공격 이는 제품이 존재하는 네트워크뿐만 아니라 전 세계에 재앙이 될 수 있습니다.
“어떤 사람은 산업 제어 및 운영 기술 장치가 산업에서 가장 중요하고 민감한 작업을 수행한다고 잘못 가정할 수 있습니다. 중요 인프라 Cerberus Sentinel의 솔루션 아키텍처 부사장인 Chris Clements는 Threatpost에 보낸 이메일에서 "환경은 세계에서 가장 보안이 철저한 시스템 중 하나지만 현실은 정반대인 경우가 많습니다."라고 말했습니다.
실제로 연구에서 알 수 있듯이 "이러한 역할을 하는 너무 많은 장치에 공격자가 장치를 완전히 제어하기 위해 무시할 정도로 쉽게 무력화하거나 우회하는 보안 제어 기능이 있습니다."라고 그는 말했습니다.
연구원들의 발견은 OT 산업이 "오랫동안 기한이 지난 사이버 보안 계산을 경험하고 있다"는 또 다른 신호라고 Clements는 관찰했습니다.
그는 “민감한 운영 기술 장치 제조업체는 설계 프로세스의 맨 처음부터 시작하여 최종 제품에서 결과 구현을 검증할 때까지 계속되는 사이버 보안 문화를 채택해야 합니다.”라고 말했습니다.
위험 관리에 대한 도전
연구원들은 제조업체가 신속하게 해결할 것을 제안하는 OT 장치의 보안 설계 및 위험 관리에 내재된 문제에 대한 몇 가지 이유를 설명했습니다.
하나는 장치 간 기능 면에서 균일성이 부족하다는 것입니다. 즉, 고유한 보안 부족도 다양하고 문제 해결을 복잡하게 만듭니다. 예를 들어, 기본 기능(논리 다운로드, 펌웨어 업데이트 및 메모리 읽기/쓰기 작업)을 통해 레벨 1 장치에서 RCE를 얻는 세 가지 주요 경로를 조사하면서 연구원은 개별 기술이 이러한 경로를 다르게 처리한다는 것을 발견했습니다.
분석된 시스템 중 어느 것도 논리 서명을 지원하지 않으며 50% 이상이 논리를 기본 기계 코드로 컴파일한 것으로 나타났습니다. 또한 시스템의 62%가 이더넷을 통한 펌웨어 다운로드를 허용하는 반면 이 기능에 대한 인증은 51%에 불과합니다.
한편, 때때로 장치의 고유한 보안은 제조업체의 직접적인 잘못이 아니라 공급망의 "안전하지 않은" 구성 요소의 잘못으로 인해 제조업체가 위험을 관리하는 방법을 더욱 복잡하게 한다고 연구원들은 밝혔습니다.
"OT 공급망 구성 요소의 취약성은 영향을 받는 모든 제조업체에서 보고하지 않는 경향이 있어 위험 관리의 어려움에 기여합니다."라고 그들은 말했습니다.
긴 도로 앞두고
실제로 OT 및 IT 장치 및 시스템에서 위험 관리를 관리하려면 "위험에 대한 공통 언어"가 필요합니다. 이는 공급업체와 업계의 보안 및 생산 전략 간에 불일치가 너무 많기 때문에 달성하기 어려운 것입니다. 위험렌즈.
이를 해결하기 위해 그는 공급업체에 재정적 측면에서 위험을 정량화할 것을 제안했습니다. 이를 통해 위험 관리자와 공장 운영자는 "취약점에 대한 대응(패치, 통제 추가, 보험 증가)"에 대한 의사 결정의 우선 순위를 정할 수 있습니다. IT와 운영 자산 모두."
그러나 벤더가 OT:ICEFALL 시나리오를 만든 근본적인 문제를 해결하기 시작하더라도 보안 문제를 포괄적으로 완화하기 위해서는 매우 긴 여정에 직면해 있다고 Forescout 연구원은 말했습니다.
"OT:ICEFALL에 대한 완벽한 보호를 위해서는 공급업체가 장치 펌웨어 및 지원되는 프로토콜의 변경으로 이러한 근본적인 문제를 해결하고 자산 소유자가 자체 네트워크에서 변경 사항(패치)을 적용해야 합니다."라고 그들은 적었습니다. "현실적으로 그 과정은 매우 오랜 시간이 걸릴 것입니다."
