Эксперты «Ростелеком-Солар» выявили более сотни новых незакрытых уязвимостей в компонентах АСУ ТП

17:3219.11.2019Общество

В рамках SOC-Форума 2019, проходящего в Москве 19-20 ноября, «Лаборатория кибербезопасности АСУ ТП» компании «Ростелеком-Солар» представила первый регулярный аналитический отчет об уязвимостях, выявленных в популярных компонентах автоматизированных систем управления технологическими процессами (АСУ ТП). Почти три четверти (72%) всех выявленных уязвимостей относятся к высокому или критическому уровню опасности[1]. Основная масса уязвимостей имеет сетевой вектор, то есть для их эксплуатации нужен только сетевой доступ к атакуемой системе.

Специалисты «Лаборатории кибербезопасности АСУ ТП» проанализировали более 170 новых уязвимостей, выявленных в программном обеспечении и программно-аппаратных комплексах (ПАК), которые массово используются в электроэнергетике, нефтегазовой и химической промышленности, на производственных предприятиях, а также для автоматизации инженерных систем и домашней автоматизации.

«По нашим оценкам, по всему миру около 20% уязвимостей выявляются в промышленном сетевом оборудовании. При этом многие международные промышленные компании, в том числе Schneider Electric, в последнее время публикуют бюллетени по кибербезопасности, в том числе по уязвимостям, исключительно на собственных ресурсах или, в лучшем случае, передают их только в национальные CERT. Это приводит к снижению информированности предприятий о возможных векторах кибератак на технологические сегменты инфраструктуры и, как результат, к снижению общего уровня защищенности», – рассказал Владимир Карантаев, руководитель направления кибербезопасности АСУ ТП компании «Ростелеком-Солар».

Наиболее часто, в 28% случаев, в промышленном ПО и ПАК выявлялись уязвимости, связанные с управлением доступом — так, в большинстве исследованных решений были обнаружены проблемы с аутентификацией и авторизацией. Эксперты «Лаборатории кибербезопасности АСУ ТП» Евгений Дружинин и Илья Карпов нашли уязвимости, позволяющие повысить пользовательские привилегии, а в ряде случаев — полностью обойти механизмы аутентификации и авторизации.

С разглашением информации, в том числе критической, связаны 22% выявленных уязвимостей. В ряде решений данные учетных записей хранятся в открытом виде. В тех же случаях, когда они все-таки обладают необходимой защитой, аналогичные данные сторонних сервисов, например, VPN, OPC или почтовых сервисов, чаще всего также хранятся в открытом виде. Особенно актуальна эта проблема для сетевых устройств. Эксплуатация уязвимости такого типа дает злоумышленнику возможность выдавать себя за легитимного пользователя и, таким образом, долго время оставаться незамеченным для систем безопасности.

Кроме того, уязвимость класса «разглашение информации» подразумевает, что злоумышленники могут получить дополнительную информацию об устройстве и его конфигурации, так как в режиме просмотра она доступна без какой-либо авторизации. Многие разработчики не задумываются о том, что этот режим, помимо прочего, позволяет анализировать внутреннюю работу устройства для поиска слабых мест в защите.

Достаточно большая часть уязвимостей — 17% от общего числа — связана с подверженностью исследуемого ПО различным инъекциям, от XSS-инъекций в веб-интерфейсах до инъекций исполняемого кода с повышенными привилегиями. В случае успешной атаки в зависимости от типа инъекции злоумышленник может получить различные преимущества – от доступа к конфиденциальной информации до полного контроля над системой.

Отдельно аналитики отмечают частоту проблемы реализации криптографии. По данным экспертов «Лаборатории кибербезопасности АСУ ТП», ненадежные криптоалгоритмы присутствуют в трех четвертях исследованных устройств и ПО, то есть практически везде, где производители применяют криптографические методы защиты данных.

Доля уязвимостей, связанных с проблемами работы с памятью, составила всего 7%. Однако все они позволяют злоумышленнику выполнять произвольный код и были классифицированы как критические.

Производителям была направлена вся информация о выявленных уязвимостях, в данный момент они находятся на той или иной стадии исправления.

«Ростелеком-Солар» — компания группы ПАО «Ростелеком». Национальный провайдер сервисов и технологий для защиты информационных активов, целевого мониторинга и управления информационной безопасностью.

В основе наших технологий лежит понимание, что настоящая информационная безопасность возможна только при непрерывном мониторинге и удобном управлении системами ИБ. Этот принцип реализован в наших продуктах и сервисах.

[1] Оценка по шкале Common Vulnerability Scoring System v.3.0

Грибная радуга

Эфир Наше радио Курск

Мы в соцсетях

Грибная радуга

Эфир Наше радио Курск

previous arrow
next arrow
Slider

Архивы

<>
ПнВтСрЧтПтСбВс
21222324252627
282930    
       
      1
3031     
     12
       
  12345
6789101112
       
      1
3031     
    123
       
      1
30      
   1234
       
293031    
       
     12
       
  12345
       
    123
       
    123
25262728   
       
28293031   
       
   1234
567891011
       
293031    
       
     12
       
  12345
       
      1
3031     
    123
11121314151617
       
 123456
28293031   
       
      1
30      
   1234
567891011
       
   1234
262728    
       
1234567
293031    
       
    123
       
  12345
27282930   
       
      1
3031     
    123
       
28293031   
       
     12
31      
   1234
       
293031    
       
     12
       
  12345
       
  12345
2728     
       
      1
2345678
3031     
   1234
567891011
       
78910111213
282930    
       
     12
31      
   1234
       
293031    
       
    123
       
      1
3031     
    123
       
 123456
28293031   
       
29      
       
    123
45678910
       
 123456
78910111213
28293031   
       
      1
30      
   1234
567891011
       
 123456
78910111213
282930    
       
     12
31      
  12345
6789101112
       
891011121314
2930     
       
    123
45678910
11121314151617
       
  12345
6789101112
27282930   
       
      1
9101112131415
3031     
      1
232425262728 
       
   1234
567891011
       
293031    
       
     12
3456789
       
  12345
6789101112
       
22232425262728
2930     
       
    123
45678910
       
 123456
78910111213
28293031   
       
      1
30      
   1234
567891011
       
 123456
78910111213
282930    
       
     12
10111213141516
31      
     12
       
  12345
6789101112
       
      1
3031     
    123
45678910
       
 123456
78910111213
28293031   
       
      1
30      
   1234
567891011
       
293031    
       
     12
10111213141516
       
  12345
6789101112
       
2930     
       
    123
45678910
       
    123
45678910
25262728   
       
 123456
78910111213
28293031   
       
     12
31      
   1234
567891011
       
293031    
       
     12
       
  12345
6789101112
       
      1
3031     
    123
11121314151617
       
 123456
78910111213
28293031   
       
      1
30      
   1234
567891011
       
  12345
6789101112
20212223242526
272829    
       
      1
2345678
9101112131415
3031     
   1234
       
 123456
78910111213
282930    
       
     12
31      
   1234
567891011
       
293031    
       
    123
       
  12345
6789101112
13141516171819
27282930   
       
      1
2345678
9101112131415
3031     
    123
45678910
       
78910111213
28293031   
       
78910111213
21222324252627
28      
       
     12
3456789
31      
  12345
       
1234567
2930     
       
    123
45678910
       
  12345
6789101112
13141516171819
20212223242526
27282930   
       
      1
2345678
9101112131415
16171819202122
23242526272829
3031     
   1234
567891011
12131415161718
19202122232425
262728293031 
       
 123456
78910111213
14151617181920
21222324252627
282930    
       
     12
3456789
10111213141516
17181920212223
24252627282930
31      
   1234
567891011
12131415161718
19202122232425
2627282930  
       
1234567
891011121314
15161718192021
22232425262728
293031    
       
1234567
891011121314
15161718192021
22232425262728
       
       
 123456
78910111213
14151617181920
21222324252627
28293031   
       
      1
2345678
9101112131415
16171819202122
23242526272829
30      
   1234
567891011
12131415161718
19202122232425
262728293031 
       
 123456
78910111213
14151617181920
21222324252627
282930    
       
     12
3456789
10111213141516
17181920212223
24252627282930
31      
  12345
6789101112
13141516171819
20212223242526
2728293031  
       
1234567
891011121314
15161718192021
22232425262728
2930     
       
    123
45678910
11121314151617
18192021222324
25262728293031
       
  12345
6789101112
13141516171819
20212223242526
27282930   
       
      1
2345678
9101112131415
16171819202122
23242526272829
3031     
      1
2345678
9101112131415
16171819202122
232425262728 
       
1234567
891011121314
15161718192021
22232425262728
293031    
       
     12
3456789
10111213141516
17181920212223
24252627282930
       
1234567
891011121314
15161718192021
22232425262728
2930     
       
    123
45678910
11121314151617
18192021222324
25262728293031