211service.com
Industriālo sistēmu uzlaušana ir vienkārša
Plānots, ka notiks trīs prezentācijas Black Hat datordrošības konference Lasvegasā šodien tiks atklātas vājās vietas kontroles sistēmās, ko izmanto, lai pārvaldītu enerģētikas infrastruktūru, piemēram, gāzes vadus. Šīs ir tikai jaunākās pazīmes, ka šādas sistēmas joprojām ir bīstami uzņēmīgas pret datoru uzbrukumiem, kam var būt postošas sekas; un, lai gan pētnieki ierosināja labojumus katram konstatētajam trūkumam, viņi brīdina, ka kopumā rūpnieciskā infrastruktūra joprojām ir nožēlojami neaizsargāta.
Ievainojamības papildina pieaugošo problēmu sarakstu, kas konstatētas sakarā ar neseno rūpniecisko sistēmu drošības pētījumu pieaugumu. Šādu drošības problēmu novēršana ir bijusi lēna, daļēji tāpēc, ka esošās sistēmas ir sliktas, un daļēji tāpēc, ka trūkst spēcīgu stimulu ātri novērst trūkumus.
Vienā šodienas demonstrācijā skatītāji tiks izsmidzināti ar ūdeni no ūdens auga komponenta kopijas, kas ir spiesta paaugstināt spiedienu. Citā tiks parādīts, kā bezvadu sensori, ko parasti izmanto naftas cauruļvadu un citu rūpniecisko iekārtu temperatūras un spiediena uzraudzībai, var radīt nepatiesus rādījumus, kas krāpj automātiskos kontrolierus vai cilvēku operatorus veikt postošas darbības. Trešajā sarunā tiks detalizēti aprakstīti trūkumi bezvadu tehnoloģijās, kas tiek izmantotas 50 miljonos enerģijas skaitītāju visā Eiropā, kas ļauj izspiegot mājas vai uzņēmuma enerģijas patēriņu un pat radīt strāvas padeves pārtraukumus.
ASV amatpersonas bieži ir brīdinājušas, ka rūpnieciskās kontroles sistēmu ievainojamība var pieļaut postošus uzbrukumus publiskajai infrastruktūrai, izraisot strāvas padeves pārtraukumus, kaitējumu videi vai pat cilvēku bojāeju (skatiet sadaļu U.S. Power Grids a Hacking Target).
Visiem šodien pieminētajiem uzbrukumiem ir nepieciešams ievērojami mazāk resursu un prasmju, nekā bija nepieciešams, lai izmantotu vispazīstamāko uzbrukumu rūpnieciskai sistēmai, ASV un Izraēlas atbalstīto Stuxnet operāciju pret Irānas kodolprogrammu (skatiet Jauna ļaunprātīga programmatūra, kas ienes kiberkaru vienu soli Tuvāk).
Mēs esam parādījuši dažus scenārijus, kas izraisīs katastrofālu bojājumu — caurule pārplīsīs vai tvertne pārplūdīs —, vienlaikus nosūtot kontrolierim pilnīgi atšķirīgu skatījumu, saka Braiens Meiksels no Teksasas apsardzes uzņēmuma. Citēšana , kurš atnesa ūdens augu komponenta repliku, lai parādītu viņa atklātās ievainojamības.
Kopā ar kolēģi Ēriku Forneru Meixell izmantoja protokolu Dbus, kas tika izmantots rūpniecisko iekārtu vadīšanai kopš 1970. gadiem un joprojām tiek plaši izmantots ierīcēs, kuras bieži ir tieši savienotas ar internetu. Publisko IP adrešu skenēšana atklāja, ka vismaz 90 000 rūpniecisko vadības ierīču ir tiešsaistē un ir neaizsargātas pret šāda veida uzbrukumiem, saka Forners (skatiet sadaļu Kas notika, kad viens cilvēks piesēloja visu internetu). Dbus ir nedrošs, jo neviens no nozares pārstāvjiem, kas to izmanto, neuzskatīja, ka tā drošība ir prioritāte, saka Meixell.
Lūkass Apa, pētnieks ar IOActive , saka, ka šī attieksme arī pamato trūkumu, ko viņš un kolēģis Karloss Mario Penagoss atrada bezvadu sensoros, ko izmanto naftas, ūdens, kodolenerģijas un dabasgāzes infrastruktūras uzraudzībai. Trīs vadošie šo sensoru piegādātāji ir izstrādājuši tos tā, lai tos varētu radīt viltus rādījumus vai pat tos izslēgt ar salīdzinoši lētu 40 jūdžu diapazona radioraidītāju, saka Penagoss. Mēs varam parādīt pilnīgu rūpnīcas izslēgšanu, viņš saka.
Pateicoties Iekšzemes drošības departamenta vadītajai datu apmaiņas programmai, šī problēma, ko atklāja Cimation komanda, tagad ir zināma uzņēmumiem, kas ražo aprīkojumu, kā arī rūpniecības un infrastruktūras uzņēmumiem, kas tos iegādājas. Šī programma, ko sauc par ICS-CERT, rūpnieciskās kontroles sistēmas kiberneatliekamo situāciju reaģēšanas komandai, koplieto nesen publicētos datus par ievainojamībām ar ietekmētajiem uzņēmumiem un rūpniecības operatoriem.
Tomēr tas, ka ICS-CERT izceļ problēmu, nenozīmē, ka tā tiek nekavējoties novērsta.
Apa saka, ka, neskatoties uz ICS-CERT darbību, daudzi sensori joprojām būs neaizsargāti pret viņa bezvadu uzbrukumu, jo, lai to labotu, ir nepieciešams fizisks savienojums ar sensoriem, lai atjauninātu to programmatūru. Tā kā ierīces tiek izmantotas bīstamās vietās, var būt ļoti grūti tās satvert, viņš saka, un dažiem uzņēmumiem būs simtiem vai vairāk sensoru.
Samērs Bhalotra, bijušais Obamas Baltā nama vecākais kiberdrošības direktors un tagad tīmekļa drošības uzņēmuma galvenais operators Impērijs , stāstīja MIT tehnoloģiju apskats lai gan ICS-CERT darbojas labi, tas nepaātrina progresu rūpnieciskās drošības jomā. Turpretim programmatūras uzņēmumi, piemēram, Microsoft, ir kļuvuši lietpratīgi, lai ātri novērstu ievainojamības, līdz brīdim, kad lielas nepilnības tagad ir reti sastopamas, saka Bhalotra. Uzņēmumiem, kas ražo rūpnieciskās vadības iekārtas un programmatūru, nekad nav bijis īpaši jāuztraucas par drošību, un tāpēc tie nevar ātri ģenerēt ielāpus vai veikt būtiskas dizaina izmaiņas. Viņš saka, ka šodien nekas labi organizēts nenotiek. Pārdevējiem vienkārši būs jākļūst ātrāk un labāk lāpīšanai, un tas prasīs kādu laiku.
Viens no iemesliem, kāpēc process ir tik lēns, ir skaidru stimulu trūkums, saka Bhalotra. Pašreizējie tiesību akti neuzliek enerģētikas operatorus vai vadības sistēmu ražotājus atbildīgus par sliktas drošības sekām, piemēram, bojājumiem, ko izraisījis sprādziens vai ilgstoša elektroenerģijas padeves pārtraukums. Tikai jaunu tiesību aktu ieviešana, lai noskaidrotu atbildības jautājumu, visticamāk, paātrinās drošāku rūpnieciskās kontroles sistēmu attīstību, saka Bhalotra.