Бреши в защите ПЛК Schneider Electric грозят атаками на КИИ

Бреши в защите ПЛК Schneider Electric грозят атаками на КИИ

Бреши в защите ПЛК Schneider Electric грозят атаками на КИИ

В ПО EcoStruxure Machine Expert и прошивке контроллеров M221 производства Schneider Electric найдено по одной уязвимости, позволяющей скомпрометировать ПЛК и развить атаку на критически важный объект. Соответствующие патчи уже доступны, их рекомендуется установить в кратчайшие сроки.

Проблема CVE-2020-7566 в программном решении EcoStruxure Machine Expert версии 1.0, предназначенном для автоматизации жизненного цикла оборудования, позволяет получить несанкционированный доступ на чтение и запись к защищенному приложению ПЛК. Уязвимость CVE-2020-7568 в контроллере M221 сборки 1.10.2.2 предоставляет альтернативный способ обхода защиты таких приложений. 

В первом случае злоумышленник может перехватом сетевого трафика получить закрытый ключ для расшифровки хешированного пароля, открывающего доступ к приложению. Этот ключ уникален для каждой логин-сессии; он создается на основе одноразового кода (nonce-параметра) по алгоритму, зерно которого тоже генерируется случайным образом.

Исследователи из Trustwave обнаружили, что и nonce, и закрытый ключ можно получить из сетевых пакетов, которым обмениваются EcoStruxure Machine Expert и ПЛК в ходе сессии. Из-за оплошности разработчиков эти данные передаются в открытом виде. Кроме того, размер зерна алгоритма составляет всего 2 байта, то есть число возможных комбинаций равно 65 535, и правильный вариант найти можно тривиальным брутфорсом.

Вторая проблема защитного механизма Schneider позволяет получить доступ на чтение к приложению посредством прямого обращения к ПЛК. Исследование показало, что сторонний запрос на вывод данных приложения в этом случае не требует авторизации. Более того, требуемая информация будет выдана в открытом виде. Злоумышленники, таким образом, получают возможность провести разведку перед атакой на промышленную сеть.

Ввиду высокой опасности атак на КИИ эксперты рекомендуют не только установить патчи, но также заблокировать соответствующие порты средствами файрвола или отключить используемый ими протокол передачи данных. Администраторам сетей на основе решений Schneider также следует разграничить пароли при обращении к средствам защиты приложений и ужесточить контроль доступа к ПЛК.

Чтобы избежать критических нарушений в работе контроллера, Schneider Electric просит придерживаться ниже приведенных рекомендаций:

  1. Настройте сегментацию сети и установите брандмауэр для блокировки любого неавторизованного доступа к порту 502 / TCP.
  2. В приложении Modicon M221 пользователю необходимо:
    • отключить все неиспользуемые протоколы, в частности протокол программирования. Это действие предотвратит непреднамеренный удаленный доступ к программированию;
    • установите пароль для защиты проекта;
    • установите пароль для доступа к считыванию информации на контроллере;
    • установите новый пароль для доступа к записи на контроллере.

Schneider Electric также настоятельно рекомендует придерживаться общих мер предосторожности, обеспечивающих кибербезопасность вашего объекта. Более подробную информацию вы найдете в документе.

Компания Schneider Electric совместно с профильными специалистами работает над устранением выявленных уязвимостей и дополнительно проинформирует всех пользователей данного оборудования о решении инцидента.

Schneider Electric заботится о безопасности своих клиентов и регулярно работает над устранением уязвимостей и инцидентов в области кибербезопасности.

По всем вопросам, пожалуйста, обращайтесь в службу поддержки клиентов компании Schneider Electric на сайте или по телефону: +7 495 777 99 88 (для России), 8 800 200 64 46 (для стран СНГ).

Наталья Касперская: ИИ нельзя пускать в образование и госуправление

ИИ нельзя превращать в универсальный ответ на все вопросы — особенно там, где на кону люди, данные и здравый смысл. Об этом заявила Наталья Касперская, президент группы компаний InfoWatch и председатель правления ассоциации «Отечественный софт», в эфире радио «Комсомольская правда».

В большом разговоре она прошлась по самым болезненным темам — от импортозамещения и утечек данных до мошенников, дипфейков и рисков тотальной цифровизации.

По словам Касперской, санкционное давление продолжает усиливаться: зарубежные вендоры отказываются подписывать сертификаты, и в какой-то момент софт, работающий на иностранных операционных системах, может просто перестать функционировать.

Но катастрофы, по её мнению, нет. В реестре отечественного ПО — более 29 тысяч продуктов, а среди операционных систем уже есть проверенные варианты: Astra Linux, ALT Linux, «РЕД ОС» и ROSA, а для мобильных устройств — KasperskyOS и «Аврора». Крупные компании начали массово переходить на них после 2022 года.

Полной замены иностранного промышленного ПО пока нет, но и критической зависимости, при которой «станок нельзя перевезти», тоже уже не наблюдается.

Одна из самых тревожных тем — мошенничество. Несмотря на принятый закон о борьбе с аферистами, 2025 год снова может стать рекордным по сумме украденных средств. Причина проста: старые схемы перестают работать, зато появляются новые — сложные и многоходовые.

Сегодня мошенники активно используют:

Главное правило, которое напомнила Касперская: наши ведомства не звонят. Любой «срочный звонок от государства» — повод насторожиться.

По оценкам, за прошлый год утекло более 1,5 млрд записей персональных данных. Это значит, что информация о каждом россиянине «утекала» в среднем не один раз. И ситуация, по мнению Касперской, будет только ухудшаться.

Она резко раскритиковала идею расширения государственных регистров, в том числе регистра заболеваний, где будут фигурировать психиатрические диагнозы, беременность и онкология. Такие базы, уверена она, практически гарантированно станут добычей мошенников.

«Чем больше данных — тем больше утечек. А человеческий фактор не победить никакими техническими мерами», — подчеркнула Касперская.

Касперская призвала не демонизировать искусственный интеллект, но и не обожествлять его. По её словам, генеративный ИИ опасен там, где нужна стопроцентная точность.

Под запрет, по её мнению, должны попасть образование, госуправление и законотворчество. Причина проста: генеративный ИИ всегда выдаёт вероятностный ответ и может «галлюцинировать». В образовании это приводит к тому, что дети перестают думать, а просто копируют ответы, не понимая смысла.

Зато в технических и прикладных сферах ИИ действительно незаменим: промышленная безопасность, предотвращение аварий, мониторинг инфраструктуры, сельское хозяйство и прогнозирование.

Главный вывод Касперской звучит предельно ясно: бояться стоит не искусственного интеллекта, а людей, которые используют его во вред.

ИИ — всего лишь инструмент. И вопрос не в том, сколько процентов процессов им «оцифровать», а в том, где он действительно уместен, а где его появление может обернуться новыми рисками — для общества, безопасности и здравого смысла.

RSS: Новости на портале Anti-Malware.ru