Inductive Automation обновления, закрывающие уязвимости в продукте Ignition

Inductive Automation обновления, закрывающие уязвимости в продукте Ignition

Проблемы безопасности были обнаружены экспертами Positive Technologies во время анализа защищенности АСУ ТП. В исследовании участвовали Евгений Дружинин, Алексей Осипов и Илья Карпов. Кроссплатформенный инструмент Ignition используется для автоматизации систем управления производственными процессами химических заводов, электростанций и других критически важных объектов.

Среди найденных исследователями уязвимостей: возможность обхода механизма защиты от подбора паролей к учетным записям, «неубиваемые» после выхода пользователя из системы сессии, хранение аутентификационных данных сервера OPC в незашифрованном виде, а также отображение конфиденциальной информации в сообщениях об ошибке. Вдобавок была обнаружена проблема безопасности, которая позволяет изменять JNLP-файлы и заставляет пользователей загружать произвольные Java-апплеты.

Уязвимостям подвержена платформа Inductive Automation Ignition 7.7.3 и более ранние версии. Пользователям рекомендуется установить последнюю версию приложения.

Positive Technologies регулярно проводит анализ защищенности продуктов, используемых в различных АСУ ТП. Компания сотрудничает с такими производителями систем управления, как Honeywell, Siemens, Schneider Electric и Invensys. В 2012 году специалисты PT представили масштабное исследование «Безопасность промышленных систем в цифрах». В 2013 году в лаборатории Positive Technologies был создан стенд Choo Choo Pwn: модель игровой железной дороги, все элементы которой — поезда, шлагбаумы, светофоры — контролируются с помощью АСУ ТП, собранной на основе трех SCADA-систем. Эксперты компании проводят тематические вебинары и выступают на ведущих международных конференциях по информационной безопасности.

Все необходимые проверки на наличие недостатков безопасности, выявленных в программном обеспечении Inductive Automation Ignition добавлены в базу знаний системы контроля защищенности и соответствия стандартам MaxPatrol. Часть этих проблем безопасности обнаруживается эвристическими механизмами MaxPatrol и без обновления базы знаний.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Частный бизнес не прошел и половины пути по импортозамещению ПО

Российский частный бизнес прошёл лишь около трети пути на пути к полному импортозамещению программного обеспечения, тогда как госсектор продвинулся значительно дальше. При этом эксперты оценивают ситуацию на российском ИТ-рынке как достаточно благоприятную: он насыщен зрелыми и качественными продуктами, способными полноценно заменить иностранные аналоги.

Такую оценку в интервью РИА Новости дал генеральный директор компании «Базис» Давид Мартиросов.

По его словам, «чемпионами импортозамещения» можно считать компании с государственным участием. Однако даже они пока далеки от полного завершения этого процесса. Что касается частного сектора, то он, по оценке Мартиросова, прошёл лишь около трети пути.

«Мы видим, как развивается российский ИТ-рынок: появляются новые команды, создаются продукты мирового уровня, привлекаются серьёзные инвестиции. Эти решения уже успешно внедряются в госструктурах и крупном бизнесе. ИТ-компании растут, выходят на биржу и становятся публичными. Всё это — результат программы импортозамещения. Её дальнейшая поддержка и станет самой эффективной мерой», — резюмировал Давид Мартиросов.

Согласно исследованию K2 Cloud, для 34% российских компаний импортозамещение остаётся в числе приоритетов. Это немного меньше по сравнению с 2024 годом. Основными сложностями при реализации таких проектов организации называют нехватку квалифицированных специалистов, трудности с интеграцией систем и ограниченность бюджетов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru