На PHDays студенты нашли уязвимости в АСУ ТП

На PHDays студенты нашли уязвимости в АСУ ТП

Студент первого курса Северо-Кавказского федерального университета Михаил Елизаров (г. Невинномысск, Ставропольский край) и студент из Минска Арсений Левшин стали победителями конкурса по анализу защищенности АСУ ТП, который проходил во время международного форума Positive Hack Days III.

АСУ ТП используются для управления объектами в сферах энергетики, транспорта и многих других. К примеру, такие системы устанавливаются на атомных электростанциях и скоростных электропоездах. Нарушение работоспособности АСУ ТП может привести к серьезным сбоям и значительному ущербу, однако разработчики таких систем все еще уделяют недостаточно внимания защищенности своих продуктов, что и было доказано результатами конкурса.

В ходе соревнования под названием Choo Choo Pwn участники должны были найти и воспользоваться уязвимостями промышленного оборудования, отвечающего за управление и автоматизацию технологических процессов. Цель соревнования — получить доступ к системе управления моделью железной дороги и погрузки контейнеров, а также, в качестве дополнительного задания, нарушить работоспособность автоматического железнодорожного переезда

Конкурс состоял из нескольких этапов. На первом этапе участникам необходимо было получить контроль над краном для погрузки контейнеров, система управления которым была реализована с использованием продуктов фирмы Siemens (Simatic WinCC flexible 2008) и ICP DAS (устройство удаленного ввода-вывода), работающих на протоколе Modbus TCP.

Получить доступ и захватить управление краном специалистам по безопасности удалось уже буквально через час после начала соревнования. В целом же выполнить задание удалось практически всем участникам конкурса. Возникали ситуации, когда за контроль над краном, мешая друг другу, боролись сразу несколько конкурсантов, что приводило в том числе и к отказам в работе оборудования.

На втором этапе соревнования участникам нужно было получить доступ к системе управления моделью железной дороги, которая контролировалась с использованием продуктов компании Siemens (WinCC SP2) и контроллером S7-1200 v3.0 (протоколы S7 и PROFINET).

Это задание оказалось более сложным, однако уже к концу первого дня была найдена уязвимость, с помощью которой конкурсанты смогли добраться до управления веб-интерфейсом SCADA-системы, а в дальнейшем получить и полный доступ.

К концу второго дня форума система управления железной дорогой практически не функционировала, так как промышленные контроллеры и машины со SCADA-системами постоянно находились под атаками специалистов по информационной безопасности, принявших участие в конкурсе.

Одному из соревнующихся даже удалось отправить системе ложные сигналы, но это достижение не было засчитано т. к. к этому моменту конкурс уже был завершен ввиду неработоспособности системы.

Третий этап многие участники просто не успели пройти из-за нехватки времени, однако несколько попыток использования различных утилит и спуфинга SCADA-системы все же были предприняты. В результате функционирование системы периодически нарушалось, но она быстро возвращалась в рабочий режим. Отметим, что на данном этапе соревнования участникам необходимо было анализировать защищенность SCADA-системы Invensys Wonderware InTouch 10.6, OPC-сервера KEPServerEX и промышленного контроллера Rockwell Automation RSLogix 1400 (протокол DNP3).

Разработкой модели железной дороги и АСУ ТП, представленных на соревновании, занимались эксперты по информационной безопасности Positive Technologies Илья Карпов, Глеб Грицай, Александр Тиморин, Дмитрий Ефанов и Роман Ильин.

Михаил Елизаров рассказал о ходе выполнения задания: «Сначала мы пытались получить контроль над системой погрузки контейнеров, которая работала на протоколе Modbus. Нам удалось найти в сети программу, которая эмулировала работу этого протокола, что помогло подобрать управляющие биты и передать его системе, получив управление над краном для погрузки. Мы успели обнаружить уязвимости не во всех представленных на конкурсе протоколах: нам просто не хватило времени».

По словам Елизарова, в SCADA-системах содержится большое количество уязвимостей, поскольку разработчики рассчитывают на то, что эти системы не будут иметь непосредственного соединения с Интернетом, и поэтому не уделяют должного внимания безопасности.

«Честно сказать, это был мой первый опыт работы с промышленными протоколами. На конкурсе была представлена вполне серьезная эмуляция SCADA, так что поучаствовать в соревновании по анализу защищенности системы было очень интересно», — сказал Арсений Левшин.

«После появления Stuxnet и целенаправленных атак на АСУ ТП защита промышленных систем стала горячей темой для публикаций, конференций и исследований. С другой стороны, во многом это направление является terra incognita и требует серьезных инвестиций. Подобные конкурсы помогают наглядно продемонстрировать насколько низок текущий уровень безопасности критически важных объектов информационной инфраструктуры», — прокомментировал результаты соревнования заместитель генерального директора Positive Technologies Сергей Гордейчик.

Отметим, что Михаил Елизаров также победил в конкурсе по взлому банкомата Leave ATM Alone, который проходил во время форума.

Победители получили призы от организаторов PHDays, компании Positive Technologies, — и от спонсоров мероприятия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ИБ-расходы растут: 83% инвестируют, но лишь 40% доверяют ИБ в стратегии

Институт изучения мировых рынков (ИИМР) представил результаты исследования «Взгляд топ-менеджеров: восприятие информационной безопасности – от понимания угроз до инвестиционных решений». Согласно выводам аналитиков, информационная безопасность больше не воспринимается исключительно как техническая задача.

Однако трудности с оценкой эффективности вложений в ИБ создают разрыв между осознанием значимости проблемы и готовностью инвестировать в защиту.

Исследование было представлено на Петербургском международном экономическом форуме. Как сообщают авторы, данные были получены в ходе глубинных интервью с руководителями российских компаний.

Ключевой вывод ИИМР: вопрос кибербезопасности перестал быть исключительно техническим, особенно в финансовом и медиасегментах. В производственной сфере такая трансформация выражена слабее. Тем не менее, российский рынок ИБ демонстрирует темпы роста, в 2–4 раза превышающие среднемировые. По данным исследования, 83% опрошенных компаний увеличили инвестиции в кибербезопасность.

«Раньше кибербезопасность была в большей степени теорией, а теперь мы сталкиваемся со сложными и серьёзными атаками. Понимание того, как правильно защищать активы, стало практическим вопросом», — отметил представитель ВТБ.

Основные факторы, влияющие на политику в области ИБ: геополитическая обстановка (100%), рост киберугроз (75%) и требования регуляторов (60%). Меньшее влияние оказывают собственный опыт, полученный в результате инцидентов (45%), и курс на импортозамещение (40%).

При этом сохраняется проблема взаимодействия между ИБ-подразделениями и руководством компаний. Это проявляется в разрыве между техническими подходами специалистов и бизнес-задачами. Только 40% респондентов считают, что руководитель ИБ-службы достаточно вовлечён в бизнес-процессы. Кроме того, отсутствует общее понимание, как оценивать эффективность инвестиций в безопасность.

«ИБ хочет всё максимально оградить, отключить любые внешние доступы, посадить сотрудников в защищённый периметр. Но бизнес не может эффективно работать в таких условиях: он просто становится неконкурентоспособным», — пояснил представитель одной из компаний.

Многие компании сталкиваются с трудностями при определении критериев эффективности работы ИБ-служб. Традиционные метрики вроде количества предотвращённых инцидентов или соотношения успешных атак к общему числу попыток считаются недостаточно показательными. Программы bug bounty на российском рынке пока остаются редкостью.

Дополнительную сложность создаёт и отчётность ИБ-подразделений: она часто не адаптирована под бизнес-язык и не содержит понятных метрик.

Авторы исследования выделили три сценария, которые приводят к заметному росту инвестиций в ИБ:

  • Ужесточение регуляторных требований, грозящее остановкой бизнеса,
  • Включение компании в перечень объектов критической информационной инфраструктуры,
  • Изменение бизнес-модели, например, выход на премиальные рынки.

Отрасли, в которых информация играет ключевую роль — финансы, телеком, электронная коммерция, — воспринимают защищённость как конкурентное преимущество. Для них инциденты вроде утечек данных или перебоев в работе являются серьёзным ударом по позиции на рынке.

В производственной сфере, напротив, кибербезопасность пока не считается приоритетной. Здесь на первый план выходят другие проблемы: нехватка кадров и сырья, регуляторное давление, падение спроса, конкуренция и санкции.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru