Egy 2020-ban megjelent tanulmány (én a LinkedIn-en találtam, a hivatkozás is az oda feltöltött dokumentumra mutat) szerint ennyi idő kell ahhoz, hogy egy támadó brute-force módszerekkel, két sérülékenységet kihasználva hozzáférést tudjon szerezni egyes Siemens HMI-okon, amik lehetővé teszik, hogy nem csak az Sm@rtClient alkalmazással, hanem VNC-vel is távoli hozzáférést lehessen felépíteni az érintett HMI-okon futó SM@rtServer funkcióhoz. Ráadásul ehhez elég az a Hydra nevű eszköz, amit a szabadon és ingyen letölthető Kali Linux nevű penteszter platformmal bárki használhat (még én is tudok így tesztelni, pedig még a legnagyobb jóindulattal is elég távol állok attól, hogy penteszternek vagy etikus hackernek lehessen nevezni).
Az említett sérülékenységek a CVE-2020-15786 (ez teszi lehetővé a brute-force jelszótörést) és a CVE-2020-15787, ami a VNC használatakor csonkolja a 8 karakternél hosszabb jelszavakat 8 karakteresre.
Mit lehet tenni az ilyen sérülékenységekkel és az általuk okozott kockázatokkal? Alapvető biztonsági szabályok betartásával jelentős kockázatcsökkentést lehet elérni:
- Ne csatlakoztassunk ipari folyamatirányító rendszereket publikus (pl. Internet) vagy irodai/IT hálózatokra. Ha mégis muszáj Interneten keresztül távkezelési lehetőséget biztosítani az OT szakterületen dolgozó kollégák számára, akkor mindenképp erős titkosítással konfigurált site-to-site VPN vagy erős titkosítással és több faktoros authentikációval védett SSL VPN kapcsolattal biztosítsuk, hogy csak az arra feljogosított felhasználók próbálhassanak meg authentikálni az érintett folyamatvezérlő rendszerekben.
- A folyamatirányító rendszerek hálózatát megfelelő szintű tűzfalazással válasszuk le a folyamatirányító rendszerek hálózatától. Amennyiben lehetséges, használjunk erős (több faktoros) authentikációt biztosító privilégizált felhasználó menedzsment rendszert az ipari rendszerek távoli hozzáférése során.
Az eset részleteiről a Bristol-i egyetem munkatársainak, Joseph Gardiner és Awais Rashid publikációjában lehet olvasni ami a fenti linken érhető el.
