40% систем управления промышленными процессами уязвимы для хакеров

Более 40% подключенных к интернету автоматизированных систем управления технологическим процессом (АСУ ТП), применяющихся на предприятиях в энергогенерирующей, нефтеперерабатывающей и других отраслях, уязвимы для простейших хакерских атак, в результате чего целые заводы могут быть выведены из строя, говорится в исследовании российской компании Positive Technologies, опубликованном в среду.

Системы АСУ ТП в настоящее время применяются практически в каждой отрасли: начиная с транспортной (скоростные поезда «Сапсан», метрополитен), заканчивая атомными и гидроэлектростанциями, и даже сетями распределения электроэнергии и водоснабжения. Последствия успешной хакерской атаки на любую из таких систем могут оказаться катастрофическими, однако, как выяснили специалисты Positive Technologies, безопасность современных АСУ ТП оставляет желать лучшего, сообщает digit.ru.

«Как минимум 42% доступных через интернет систем АСУ ТП содержат уязвимости, которыми без труда может воспользоваться злоумышленник. Доля систем, безопасность которых была достоверно подтверждена в ходе исследования, составляет всего лишь 17%», — говорится в тексте исследования.

Специалисты отмечают рост числа именно подключенных к сети систем (еще несколько лет назад такие примеры были редкостью и АСУ ТП в основном работали автономно). США и Европа лидируют по числу доступных из интернета систем АСУ ТП, при этом 54% доступных извне систем в Старом Свете и 39% в США уязвимы и могут быть взломаны. На третьей позиции — Азия (32%). В России уязвима половина интернет-доступных систем АСУ ТП.

Большинство проблем безопасности IT-систем управления связаны с ошибками конфигурации (например, со стандартными паролями) и отсутствием обновлений. В подобных ситуациях системы могут быть взломаны даже непрофессиональными хакерами. В настоящий момент 35% всех представленных уязвимостей АСУ ТП имеют эксплойты (готовые средства для использования уязвимости), которые свободно распространяются в виде отдельных утилит, входят в состав программных пакетов для проведения тестов на проникновение, либо описаны в уведомлениях об уязвимости, отмечают исследователи.

Отчасти в подобной ситуации виноваты сами производители систем АСУ ТП. По данным исследователей, примерно каждая пятая уязвимость «закрывалась» с серьезной задержкой, а в некоторых случаях так и не была устранена. Например, Siemens устранил и выпустил обновления для 92% уязвимостей, тогда как Schneider Electric ликвидировал только чуть больше половины (56%). Исследование охватило период с 2005 года до 1 октября 2012 года. В период с 2005 года по 2010 год было обнаружено всего 9 уязвимостей в системах АСУ ТП. Однако после появления червя Stuxnet в 2010 году, который, предположительно, атаковал ряд ядерных объектов Ирана, за 2011 год было найдено уже 64 уязвимости.

За первые восемь месяцев 2012 года появились сообщения о 98 новых уязвимостях: это больше, чем за все предыдущие годы. При этом около 65% уязвимостей относятся к высокой и критической степени риска. «Этот показатель значительно превышает аналогичный показатель в прочих IТ-системах, что свидетельствует о низком уровне развития информационной безопасности систем АСУ ТП», — отмечают эксперты Positive Technologies.

Наибольший интерес для злоумышленников представляют такие составляющие АСУ ТП, как системы SCADA (системы сбора и анализа информации о работе производства) и интерфейсы управления Human Machine Interface, в которых обнаружено 87 и 49 уязвимостей соответственно. В программируемых логических контроллерах (устройствах, контролирующих работу оборудования) различных производителей за отчетный период найдены 20 уязвимостей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

MaxPatrol SIEM способен выявить горизонтальное перемещение атакующих

В MaxPatrol SIEM загружен второй пакет экспертизы, выявляющий атаки с применением одной из тактик модели MITRE ATT&CK для операционной системы Windows. Теперь пользователи MaxPatrol SIEM могут детектировать активность злоумышленников не только с использованием тактик «Выполнение» и «Обход защиты», но и тактики «Горизонтальное перемещение». Это позволяет обнаружить попытки расширения присутствия атакующих в сети до того, как они получат контроль над инфраструктурой.

Злоумышленники используют техники горизонтального перемещения для получения доступа и управления удаленными системами в сети, установки вредоносных программ и постепенного расширения присутствия в инфраструктуре. Основная цель атакующих — определение администраторов в сети, их компьютеров, ключевых активов и данных, чтобы в конечном счете получить полный контроль над инфраструктурой. В пакет экспертизы вошли 18 правил корреляции, которые помогают выявить наиболее актуальные техники.

«Критически важно детектировать активность атакующего на начальных этапах горизонтального перемещения, — комментирует Антон Тюрин, руководитель отдела экспертных сервисов PT Expert Security Center. — Если он завладеет административными привилегиями, то сможет получить доступ к любым учетным записям и серверам и таким образом быстро расширить свое присутствие вплоть до контроля над инфраструктурой. Для пользователей MaxPatrol SIEM мы разработали набор правил, который позволяет выявлять самые распространенные шаги злоумышленников».

Загруженный в MaxPatrol SIEM пакет экспертизы позволяет выявить следующие действия злоумышленников в рамках горизонтального перемещения:

  • Нелегитимное подключение к системам по протоколу удаленного рабочего стола Remote Desktop Protocol (RDP).
  • Попытки перехвата сеанса пользователя по протоколу RDP.
  • Использование учетных записей уровня администратора для удаленного доступа к системам через протокол Server Messаge Block (SMB), с тем чтобы передавать файлы и запускать их.
  • Удаленное копирование файлов на систему жертвы для развертывания хакерских инструментов и удаленного их выполнения.
  • Использование связующего программного обеспечения Distributed Component Object Model (DCOM). С его помощью злоумышленники, работающие от имени пользователя с соответствующими привилегиями, могут удаленно выполнять команды.
  • Применение механизма администрирования Windows Remote Management (WinRM) для работы с удаленными системами, например для запуска исполняемого файла, изменения системного реестра или приложений Windows.

Дополнительно в пакет включены правила, которые выявляют техники атакующих, относящиеся по матрице ATT&CK к тактике «Выполнение». Практика расследований, проводимых командой PT Expert Security Center, показывает, что такие техники применяются и для горизонтального перемещения. Например, удаленное создание задач, применение утилиты администрирования WinExec для выполнения команд и расширения присутствия, использование Windows Management Instrumentation (WMI) для управления и доступа к удаленным системам, попытки доступа к файловым ресурсам на удаленных системах.

Это второй пакет экспертизы из специальной серии, в создании которой участвует команда PT Expert Security Center — для покрытия всех 12 тактик матрицы MITRE ATT&CK. Каждый пакет из серии будет направлен на выявление атак с применением одной или нескольких тактик. До конца 2019 года серия пакетов экспертизы дополнится пакетами для выявления тактик закрепления (Persistence), получения учетных данных (Credential Access) и разведки (Discovery).

Пакеты экспертизы, уже загруженные в MaxPatrol SIEM, пополняются правилами по мере появления новых техник, тактик и процедур атак. Так, одновременно с выходом пакета экспертизы для выявления горизонтального перемещения первый пакет из серии дополнен двумя правилами корреляции.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru