Встроенные веб-серверы подвергают организации атакам

Исследователь, который сканирует Интернет на протяжении последних месяцев в поисках незащищённых веб-серверов, обнаружил массу незащищённых сканеров, офисных принтеров, устройств хранения данных и другого оборудования, подверженных атакам.

Майкл Саттон, вице-президент по исследованиям в области безопасности Zscaler Labs, продемонстрирует на конференции Black Hat USA 2011 в следующем месяце свои находки: копиры Ricoh и Sharp, сканеры HP и VoIP-телефоны Snom оказались наиболее часто встречаемыми устройствами, к которым можно получить доступ через Интернет. «Это просто шокировало меня: определённо, ни одно из этих устройств не должно обнаруживаться через Интернет. Нет ничего хорошего в том, что сканеры HP видны в Сети», – сказал Саттон.

Вот в чём беда: встроенные веб-серверы с недостаточной защитой или вообще без оной устанавливаются с неверными настройками. Наиболее вероятно, потенциальными жертвами являются малый и средний бизнес, а также потребители, которые не имеют большого технического опыта, которые выставляют неправильные настройки для своих устройств и даже не представляют себе, что они видны онлайн. «Они берут устройство, подключают его, а затем делают ошибку при настройке роутера или создают точку доступа … и в результате открывают доступ через веб», – говорит он.

Саттон использовал Amazon EC2 (Amazon Elastic Compute Cloud, веб-сервис, предоставляющий вычислительные мощности в облаке), чтобы непрерывно сканировать большие блоки адресов и определять любые встроенные веб-серверы. Копиры Sharp и Ricoh сохраняют в электронном виде последние копии, заметил он, и если эта функция включена, а копир подключён к Сети, ничем не защищённый, атакующий может получить доступ к копировавшимся документам. Даже функция пересылки факсов в некоторых сканерах HP может быть использована в злонамеренных целях, если сканер подключён к Интернету: атакующий может получить доступ к любым документам, которые получает пользователь через факс, перенаправляя их на собственный факс, например.

VoIP-системы Snom, которые Саттон обнаружил во время своего интернет-сканирования, могут быть уязвимы к прослушиванию и краже информации у звонящего. «Некоторые из их VoIP-систем содержат нечто вроде средства отладки/перехвата пакетов. И в случае если [VoIP-система] доступна, вы можете подключиться, включить этот функционал, перехватить трафик, загрузить PCAP’ы … и с помощью Wireshark (программа для анализа сетевого трафика) вы можете прослушивать организации», – говорит Саттон.

Саттон планирует выпустить бесплатную новую утилиту, которую он разработал, чтобы помочь организациям сканировать в своих сетях устройства на наличие таких уязвимостей. Названная BREWS, она основана на автоматизированной версии скриптов, которые он написал для сканирования заголовков серверов в вебе.

Он не считает, что Google-хакинг (техника, использующая Поиск Google и другие приложения Google для определения уязвимостей системы безопасности в конфигурации и коде, которые используют веб-сайты) – это лёгкий и эффективный способ обнаружить встроенные сервера. По его словам, сканирование заголовков подходит лучше. «Это работает очень хорошо, потому что большинство таких устройств имеют уникальные заголовки. Фото-копиры Canon возвращают заголовок, содержащий в себе подстроку ‘canon’», - говорит он. «Данные встроенных веб-серверов отличаются от стандартных веб-серверов и не имеют склонности к изменению. Это относится к ряду заголовков серверов в принтерах и сканерах HP», – привёл он пример.

«Утилита BREWS, которую я собираюсь выпустить … автоматизирует то, что я делал, так что вы сможете сканировать свою сеть на наличие встроенных веб-серверов, о которых не догадывались», – говорит Саттон.

Утилита также позволяет собирать и составлять глобальный отпечаток данных с этих встроенных веб-устройств. «У нас нет достаточной информации о том, как искать эти устройства. Обычные сканеры безопасности фокусируются на программных веб-серверах, а не на встроенных», – говорит он.

«Нам нужно стимулировать людей сканировать их сети … в итоге это позволит создать централизованную базу данных, и тогда мы сможем предоставить доступ к этим отпечаткам данных». Снятие отпечатков с таких устройств – достаточно сложная задача, потому что многие из них расположены в локальных сетях и не могут быть просканированы извне.

Риск уязвимости встроенных систем изучался и до этого, например, почётный доктор наук Мур изучал VxWorks, операционную систему, которая используется во множестве встроенных систем. Доктор Мур, руководитель службы безопасности Rapid7 и главный архитектор Metasploit, в прошлом году на конференциях Defcon и BSides показал, как он нашёл сотни устройств, подключённых к Сети, содержащие в себе функционал диагностики, который делал их подверженными к взлому. Среди этих устройств были VoIP-оборудование и свитчи, DSL-концентраторы, промышленные автоматизированные системы для SCADA-окружений, а также оптоволоконные свитчи.

Это тоже является следствием неправильных настроек, выставленных разработчиками, которые используют VxWorks. Диагностический функционал для разработчиков может быть скомпрометирован атакующим, если он специально или по неосторожности будет оставлен во включённом состоянии. «Этот функционал позволяет считывать содержимое памяти, осуществлять запись в память, или даже перезагружать устройство. Всё вместе это позволяет осуществлять кражу данных, прописывать бэкдоры в образ программного обеспечения, другими словами, получить контроль над устройством», – сказал Мур в прошлом году в интервью по поводу своего исследования. «Этот функционал не должен быть включён» в боевом режиме, он должен быть обязательно отключён, сказал он.