Komponentit

Computer Threat para sa Industrial Systems Ngayon Higit pang Malubhang

System Security #1: Threats

System Security #1: Threats
Anonim

Ang software ay nai-publish huli Biyernes gabi ni Kevin Finisterre, isang mananaliksik na nagsabing gusto niyang itaas ang kamalayan sa mga kahinaan sa mga sistemang ito, ang mga problema na sinabi niya ay madalas na nalalabi ng mga vendor ng software. "Ang mga vendor na ito ay hindi gaganapin responsable para sa software na sila ay gumagawa," sinabi Finisterre, sino ang pinuno ng pananaliksik sa security testing firm Netragard. "Sinasabi nila sa kanilang mga customer na walang problema, samantala ang software na ito ay tumatakbo kritikal na imprastraktura."

Inilabas ni Finisterre ang kanyang code sa pag-atake bilang isang module ng software para sa Metasploit, isang malawakang ginagamit na tool sa pag-hack. Sa pamamagitan ng pagsasama nito sa Metasploit, ang Finisterre ay ginawa ang kanyang code na mas madaling gamitin, sinabi ng mga eksperto sa seguridad. "Ang pagsasanib sa pagsasamantala sa Metasploit ay nagbibigay ng malawak na spectrum ng mga tao na makaka-access sa pag-atake," sabi ni Seth Bromberger, tagapamahala ng seguridad ng impormasyon sa PG & E. "Ngayon ang lahat ng kinakailangan ay pag-download ng Metasploit at maaari mong ilunsad ang pag-atake."

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Ang code ay nagsasamantala ng isang kapintasan sa Citect's CitectSCADA software na orihinal na natuklasan ng Core Security Technologies at ginawang pampubliko noong Hunyo. Inilabas ng Citect ang isang patch para sa bug kapag ito ay unang isiwalat, at ang software vendor ay nagsabi na ang isyu ay nagdudulot ng isang panganib lamang sa mga kumpanya na kumonekta sa kanilang mga sistema ng direkta sa Internet nang walang firewall proteksyon, isang bagay na hindi kailanman gawin sinadya. Ang isang biktima ay dapat ding paganahin ang isang partikular na tampok sa database sa loob ng produkto ng CitectSCADA para sa pag-atake upang gumana.

Ang mga uri ng pang-industriya SCADA (pangangasiwa control at data acquisition) proseso ng control ng mga produkto tradisyonal na naging mahirap upang makakuha at pag-aralan, ginagawa ito mahirap para sa mga hacker na suriin ang mga ito para sa mga bug sa seguridad, ngunit sa mga nakaraang taon higit pa at higit pang mga SCADA system ay binuo sa itaas ng mga kilalang operating system tulad ng Windows o Linux paggawa ng mga ito ng parehong mas mura at mas madali upang tadtarin.

IT seguridad eksperto ay ginagamit sa mga patching system nang mabilis at madalas, ngunit ang mga pang-industriya computer system ay hindi tulad ng mga PC. Dahil ang isang downtime na may isang planta ng tubig o sistema ng kapangyarihan ay maaaring humantong sa sakuna, ang mga inhinyero ay maaaring mag-aatubili upang gumawa ng mga pagbabago sa software o kahit na dalhin ang mga computer off-line para sa patching. tingnan ang mga kahinaan sa seguridad na downplayed, at mga inhinyero ng industriya na sisingilin sa pagsunod sa mga sistemang ito na tumatakbo. "Nagkakaroon kami ng isang maliit na kultura ng pag-aaway na nangyayari sa ngayon sa pagitan ng mga inhinyero ng control process at IT folks," sabi ni Bob Radvanovsky, isang independiyenteng tagapagpananaliksik na nagpapatakbo ng listahan ng talakayan ng online na talakayan ng SCADA na nakakita ng ilang mga pinainit na talakayan tungkol dito topic.

Sinabi ni Citect na hindi ito narinig ng anumang mga customer na na-hack dahil sa kapintasan na ito. Ngunit ang kumpanya ay nagpaplano na lalabas sa lalong madaling panahon ang isang bagong bersyon ng CitectSCADA na may mga bagong tampok sa seguridad, sa isang pahayag, (pdf) na inilabas Martes.

Ang paglabas na iyon ay darating na wala masyadong madali, dahil naniniwala ang Finisterre na may iba pang katulad na, coding pagkakamali sa software ng CitectSCADA.

At habang ang mga sistema ng SCADA ay maaaring ihiwalay mula sa iba pang mga network ng computer sa loob ng mga halaman, maaari pa rin silang mapawalang-bisa. Halimbawa, noong unang bahagi ng 2003, ang isang kontratista ay iniulat na nahawahan ang Davis-Besse nuclear power plant na may SQL Slammer worm.

"Maraming tao na nagpapatakbo ng mga sistemang ito ang nararamdaman na hindi sila nakatali sa parehong mga patakaran tulad ng tradisyonal IT, "sabi ni Finisterre. "Ang kanilang industriya ay hindi masyadong pamilyar sa pag-hack at mga hacker sa pangkalahatan."