Embed Size (px)
Citation preview
Безопасность АСУ ТП.
Добро пожаловать в прошлый век!
Евгений Зайцев
Ведущий консультант
Agenda или «неудобные вопросы»
Почему так важно защищать АСУ ТП/SCADA?
А взломать можете?
А при чем тут SAP?
А у вас есть позитивный опыт?
Еще вопросы…
Почему так важно защищать АСУ ТП/SCADA?
3-ИЙ УРОВЕНЬ Рабочие станции и
серверы
2-ОЙ УРОВЕНЬ Контроллеры
1-ЫЙ УРОВЕНЬ Измерительные
приборы
АСУ ТП/SCADA
АРМ оператора Мониторинг и управление технологическими
процессами
Их чего состоит 3-ий уровень?
АРМ инженера Конфигурирование и написание «рецептов» для
управления контролерами
Исторический сервер Хранение информации о работе контроллеров,
датчиков и другой служебной информации
А еще есть межсетевые экраны (периметр технологической сети)
Знаете ли вы?
Уровень ИБ в АСУ ТП отстает на 10-15 лет*!
В большинстве случаев причина в незащищенном дизайне АСУ ТП!
* По данным отчета
Используется распространенное ПО
Большинство протоколов для АСУ ТП были разработаны без учета требований ИБ
Недостатки By Design
Системы АСУ ТП подвержены тем же атакам, что и традиционные системы!
PC-совместимые контроллеры
Из чего состоит 2-ий уровень?
Универсальные программируемые контроллеры
Программируемые реле
Почему нужно контролировать защищенность 2-ого уровня?
Большинство современных контроллеров управляются ОС
Общие киберугрозы
Хищение конф.
информации Саботаж АСУ ТП
А дальше … «Mamma Mia!»
Июль 2010 г. Вирусом Stuxnet заражены 43 операторских станции одной крупной госкомпания США. Через месяц была полностью потеряна информация всей ИС.
Апрель 2010 г. Специалистами энергетической компании LCRA, обслуживающей более 1 млн. человек в штате Техас, зафиксировано свыше 4800 попыток получения доступа к их компьютерной системе.
Ноябрь 2011 г. Хакеры взломали SCADA-систему одной из американских ГЭС. Из строя выведен насос, который использовался для водоснабжения.
2000 г. Хакеры сумели получить контроль над сетью крупнейшего в мире газопровода ОАО «ГАЗПРОМ»
А взломать можете?
1. Внешний веб-сайт - BIA
Уязвимость: отсутствие процессов обеспечения безопасности веб-приложений -> множественные уязвимости
Угроза: получение НСД к сайту, ОС и СУБД
Заказчик: сайт не представляет бизнес-ценности
Риск: незначительный?
Ищем на ERIPP.COM
WinCC Flexible - default password Administrator/100
Ищем в Google
CoDeSys WebVisualization – Web сервер Codesys (Java)
Google hack : inurl:/plc/webvisu.htm *dsec
Ищем на shodanhq.com
http://www.shodanhq.com/search?q=QJ71WS96
MELSEC System Q – PLC
QJ71WS96 Web Module
User/Password: QJ71WS96/ MITSUBISHI
http://www.shodanhq.com/search?q=ewon
Gateway for EIP - DF1 Allen-Bradley PLC
User/Password: adm/adm
2. Рабочая станция - BIA
Уязвимости: • отсутствие ограничений сетевого доступа
• отсутствие контроля конфигураций и учетных записей рабочих станций
• неэффективный процесс управления обновлениями
Угроза: получение прав другого пользователя, удаленный доступ к рабочей станции
Заказчик: ситуация нетипична
Риск: незначительный????!!!!!!
История подключения устройств
Apple iPhone
Apple iPad
Флешка
Sony PSP
А причем тут SAP?
SAP и SCADA
SAP – основной потребитель данных с датчиков АСУ ТП
Частая интеграция со SCADA. В SAP передаются: • либо исходные данные
• либо агрегированные данные
SAPу безоговорочно верят
Данные могут быть изменены и на стороне SAP
От АСУ ТП до ERP не так далеко…
SAP
Необходим контроль на всех уровнях
предоставления информации!
источники
агрегатор
SCADA
3. SAP - BIA
Уязвимости: • отсутствие защиты от MITM-атак
• использование незащищенных протоколов (SAP DIAG) без дополнительной защиты
Угроза: получение НСД к SAP с правами пользователя
Заказчик: большинство сотрудников имеют доступ к SAP, права ограничены
Риск: незначительный????!!!!!!
А у вас есть позитивный опыт?
Критичность и динамика обнаружения уязвимостей в АСУ ТП системах
1 3 5 12
59
95
2005 2007 2008 2010 2011 2012
Stuxnet
Duqu
Востребованность специалистов по АСУ ТП
STEP7 (Siemens)
22%
WinCC (Siemens)
18%
Intouch (Wonderware)
13%
PCS7 (Siemens)
8%
Genesis (Iconics)
5%
WinCC Flexible
(Siemens) 4%
iFIX (Intellution)
4%
Другие 26%
По данным www.hh.ru
Результаты наших исследований
>50 уязвимостей обнаружено • Client-side (XSS, CSRF etc)
• SQL/XPath injections
• Arbitrary file reading
• Username/passwords disclosure
• Weak encryption
• Hardcoded crypto keys
• …
Результаты • Частично устранены вендором
• Частично на этапе устранения в Siemens Product CERT
Спасибо Positive Technologies!
Мы пошли дальше!
Стандарт конфигурации SIMATIC WinCC
Поддержка SCADA в MaxPatrol
И дальше!
Поддержка протоколов: ModBus/S7/DNP3/OPC
Детект устройств
Schneider Electric SAS
TSXETY5203 V4.5
А так же
Поиск уязвимостей PLC/SCADA/MES
Встроенные (безопасные) профили для SCADA
Проверки конфигурации SCADA
Проверки HMI Kiosk mode
Проверки доступа в интернет
Черные/Белые списки
Антивирусы/HIPS проверки
Выводы
АСУ ТП отделена от сети: МИФ!
• Без постоянного контроля в этом нельзя быть уверенным
• Интеграция ERP и SCADA создают бизнес-мотивацию объединения сетей
SCADA и ERP слишком сложны, чтобы их так просто взломать: МИФ!
• Чем сложнее система, тем
больше в ней нюансов,
больше уязвимостей,
выше требования к персоналу
Windows управляет миром
SCADA, в большинстве случаев
– это ПО под ОС WINDOWS
АРМ используется для разных задач
Выводы
Нет незначительных уязвимостей!
• Эксплуатируются тривиальные и распространённые уязвимости
• Для принятия риска надо четко понимать возможные последствия и векторы атак
Все устранить невозможно!
• Но возможно:
понять и осознать текущий уровень защищенности,
выбрать наиболее эффективные защитные меры,
повысить уровень защищенности
Зачем это нужно?...
Федеральный закон Российской Федерации от 21 июля 2011 г. N 256-ФЗ "О
безопасности объектов топливно-энергетического комплекса"
…
Статья 11. Обеспечение безопасности информационных систем объектов топливно-
энергетического комплекса
1. В целях обеспечения безопасности объектов топливно-энергетического комплекса
субъекты топливно-энергетического комплекса создают на этих объектах системы
защиты информации и информационно-телекоммуникационных сетей от
неправомерных доступа, уничтожения, модифицирования, блокирования
информации и иных неправомерных действий и обеспечивают функционирование
таких систем. Создание таких систем предусматривает планирование и реализацию
комплекса технических и организационных мер, обеспечивающих в том числе
антитеррористическую защищенность объектов топливно-энергетического комплекса.
…
Распределенность и масштабирование
3-ИЙ УРОВЕНЬ Рабочие станции и
серверы
2-ОЙ УРОВЕНЬ Контроллеры
1-ЫЙ УРОВЕНЬ Измерительные
приборы
АСУ ТП и MaxPatrol
Контроль соответствия требованиям ИБ
