Az elmúlt héten némiképp alacsonyabb volt a megjelent ICS sérülékenységek száma.

Sérülékenység Cisco ipari berendezésekben

A Cisco bejelentése szerint egy DoS-sérülékenységet azonosítottak a Cisco ipari Ethernet switch-ek IOS firmware-ében használt PROFINET Discovery and Configuration Protokoll-ban (PN-DCP).

A sérülékenység a Cisco IOS Software, C2951 Software (C2951-UNIVERSALK9-M), Version 15.5(2)T1, RELEASE SOFTWARE (fc1)-nél korábbi verziók esetén van jelen, ha a be van kapcsolva a PN-DCP.

A Cisco kiadta a hibát javító szoftververziót, egyéb intézkedéssel (workaround-dal) a gyártó szerint nem lehet csökkenteni a sérülékenység jelentette kockázatokat.

A sérülékenységről bővebb információkat a Cisco publikációjában lehet olvasni.

Sérülékenység Siemens termékekben

A Siemens nem megfelelő hozzáférés-vezérlésből adódó sérülékenységet fedezett fel és publikálta az ICS-CERT-en keresztül. A hiba az alábbi termékeiket érinti:

- RUGGEDCOM ROS RSL910 berendezések esetén: Minden, ROS v5.0.1-nél korábbi verzió;
- RUGGEDCOM ROS minden más berendezés esetén: Minden, ROS v4.3.4-nél korábbi verzió;
- SCALANCE XB-200/XC-200/XP-200/XR300-WG: Minden, v3.0-nál újabb verzió;
- SCALANCE XR-500/XM-400: Minden, v6.1-nél újabb verzió.

A RUGGEDCOM ROS-t használó termékei esetén a Siemens a hibát a ROS firmware v4.3.4-es, v.5.0.1-es verzióiban és a RUGGEDCOM Explorer v1.5.2-es verziójában javította. A SCALANCE termékek esetén a javításon jelenleg is dolgoznak.

A sérülékenységgel kapcsolatban további információkat az ICS-CERT publikációjában lehet találni: https://ics-cert.us-cert.gov/advisories/ICSA-17-271-01

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Az idei ITBN-re időzítve egy új posztert publikált a KIBEV, az Önkéntes Kibervédelmi Összefogás. A korábbi, általános IT biztonsági kontrollokkal foglalkozó poszterek után ezúttal az ICS rendszerek kiberbiztonságának javítását célzó intézkedéseket gyűjtötték össze egy poszterre.

Az Önkéntes Kibervédelmi Összefogás Egyesület felajánlásaként a poszter 3 példányát az ITBN második napján ki is sorsolták a résztvevők között, információim szerint a MÁV-nál, BKV-nál és a Telenornál dolgozó kollégák lettek az új poszterek első tulajdonosai.

Az intézkedésgyűjtemény posztere PDF-formában szabadon letölthető a KIBEV weboldaláról.

Sérülékenység Saia Burgess Controls PCD kontrollerekben

Davide Fauri, az Eindhoveni Műszaki Egyetem munkatársa egy információszivárgásból adódó sérülékenységet azonosított a Saia Burgess Controls PCD kontrollereinek 1.24.69-nél és 1.28.16-nál korábbi fimware-verzióiban.

A gyártó a hibát a 1.24.69-es és a 1.28.16-os firmware verziókban javította.

A sérülékenységgel kapcsolatban további részleteket az ICS-CERT publikációja tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-17-234-05

iniNet Solutions SCADA Webserver sérülékenység

Matthias Niedermaier és Florian Fischer, az Augsburgi Egyetem munkatársai egy nem megfelelő authentikációból adódó sérülékenységet fedeztek fel az iniNet Solutions SCADA Webserver termékének V2.02.0100-nál korábbi verzióiban. A hibát kihasználó támadó hozzáférhet HMI oldalakhoz és akár PLC változókat is módosíthat.

A hibát a gyártó a V2.02.0100 verzióban javította.

A sérülékenységről bővebben az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-17-264-04

Digium Asterisk GUI sérülékenység

Davy Douhine, a RandoriSec munkatársa egy operációs rendszer szintű parancs-befecskendezést lehetővé tevő hibát talált a Digium Asterisk GUI 2.1.0 és korábbi verzióiban. A hibát kihasználva egy támadó tetszőleges kódfuttatási lehetőséghez juthat.

A gyártó az Asterisk GUI támogatásával már felhagyott, így ezt a hibát sem fogják javítani. A sérülékenység által érintett ügyfeleiknek azt javasolják, hogy váltsanak a SwitchVox nevű termékükre.

A sérülékenység részleteit az ICS-CERT publikációjában lehet megtalálni: https://ics-cert.us-cert.gov/advisories/ICSA-17-264-03

Sérülékenység Ctek SkyRouter eszközökben

Maxim Rupp egy nem megfelelő authentikációból adódó sérülékenységet azonosított a Ctek SkyRouter 4200-as és 4400-as sorozatú eszközeinek V6.00.11-nél korábbi verzióiban. A hibát egy speciális URL-lel lehet kihasználni és ezzel az URL-lel mindenfajta authentikáció nélkül lehet hozzáférést szerezni az alkalmazáshoz.

A gyártó a hibát a V6.00.11-es verzióban javította, amit a jelenleg gyártásban lévő modellekre (Z4500, Z4550 és Z4400) lehet telepíteni.

A sérülékenység részleteit az ICS-CERT bejelentésében lehet megtalálni: https://ics-cert.us-cert.gov/advisories/ICSA-17-264-02

Nulladik napi sérülékenységek Eaton ELCSoft berendezésekben

A ZDI 6 különbözó nulladik napi sérülékenységet publikált, amiket egy axt néven hivatkozott személy talált az Eaton ELCSoft PLC programozó szoftverében. A sérülékenységeket puffer-túlcsordulásból és memóriakezelési hibákból adódó távoli kódfuttatási lehetőséget adó hibák okozzák.

Nulladik napi sérülékenységek lévén jelenleg még nincs elérhető javítás a hibákra.

Részletesebb információkat a ZDI bejelentései tartalmaznak:
http://www.zerodayinitiative.com/advisories/ZDI-17-813/
http://www.zerodayinitiative.com/advisories/ZDI-17-815/
http://www.zerodayinitiative.com/advisories/ZDI-17-816/
http://www.zerodayinitiative.com/advisories/ZDI-17-817/
http://www.zerodayinitiative.com/advisories/ZDI-17-818/
http://www.zerodayinitiative.com/advisories/ZDI-17-819/

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Ezen a héten szerdán egy figyelemre méltó tartalmú és igen hosszú (90 diából álló) prezentáció jelent meg a SCADA Strangelove blogján, amiben a vasúti vezérlőrendszerek biztonságát boncolgatják. Az elmúlt években láttam már néhány elképesztően durva hibát a különböző ipari és folyamatvezérlő rendszereknél, de ez a prezentáció még nekem is tartogatott újdonságokat. Mindenkinek csak ajánlani tudom.

Philips IntelliView orvosi berendezések sérülékenysége

A Philips két sérülékenységet azonosított az IntelliVue MX40-es sorozatú, betegek által viselhető, vezeték nélküli kapcsolatra képes megfigyelő berendezéseinek B.06.18-nál korábbi verzióiban.

A gyártó a hibát a B.06.18-as verzióban javította.

A sérülékenységekről további részleteket az ICS-CERT publikációja tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSMA-17-255-01

Sérülékenység mySCADA myPRO rendszerekben

Karn Ganeshen egy tetszőleges kódvégrehajtást lehetővé tevő hibát fedezett fel a mySCADA myPRO HMI/SCADA menedzsment platformjának 7.0.26 és korábbi verzióiban.

A gyártó a weboldalán elérhetővé tette a hibát javító új verziót.

A sérülékenységről bővebb információkat az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-17-255-01

LOYTEC rendszerek sérülékenységei

Davy Douhine, a RandoriSec munkatársa négy sérülékenységet fedezett fel a LOYTEC LVIS-3ME típusú érintőkijelzős HMI paneljeinek 6.2.0-nál korábbi verzióiban.

A gyártó a sérülékenységeket a V6.2.0 verzióban javította.

A sérülékenységek részleteit az ICS-CERT weboldalán lehet megtalálni: https://ics-cert.us-cert.gov/advisories/ICSA-17-257-01

PHOENIX CONTACT mGuard Device Manager sérülékenység

A PHOENIX CONTACT egy nem megfelelő hozzáférés-kezelésből adódó sérülékenységet fedezett fel az mGuard Device Manager szoftverében, amit az Oracle Java SE alkalmazására lehet visszavezetni.

A gyártó a hibával kapcsolatban minden ügyfelének azt javasolja, hogy frissítse a Java SE verzióját legalább 1.8.0.1-re.

A sérülékenység részleteiről az ICS-CERT bejelentése tartalmaz további információkat: https://ics-cert.us-cert.gov/advisories/ICSA-17-262-01

Sérülékenységek Schneider Electric termékekben

A Schneider Electric által a weboldalán közzétett bejelentés szerint Aaron Portnoy két termékükben, az InduSoft Web Studio v8.0 SP2 és korábbi verzióiban, illetve az InTouch Machine Edition v8.0 SP2 és korábbi verzióiban egy kritikus funkciónál hiányzó authentikáció okozta sérülékenységet azonosított.

A sérülékenységet a Schneider Electric az InduSoft Web Studio v8.0 SP2 Patch 1 és az
InTouch Machine Edition v8.0 SP2 Patch 1 verzióiban javította.

A sérülékenységről bővebb információkat a Schneider Electric bejelentésében lehet találni: http://software.schneider-electric.com/pdf/security-bulletin/lfsec00000121/

A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Augusztus végén egy nagyon érdekes cikk jelent meg Lucas Apa tollából az IOActive Labs blogján.

A téma az új generációs, emberekkel együttműködő ipari robotok (collaborative robots, cobots) biztonsági hiányosságaival kapcsolatos kutatások eredményeit mutatja be mélyen a technikai részletekbe menően.

A kutatás során több gyártó termékeit is vizsgálták és minden esetben számos olyan sérülékenységet találtak, amik nem jelentenek újdonságot az ICS rendszerek sérülékenységeivel kapcsolatos publikációk megjelenéseit figyelemmel követők számára. Az azonban nagyon súlyos megállapítás, hogy ezek közül a sérülékenységek közül egyet vagy egymás után többet kihasználva előidézhetőek akár személyi sérüléssel járó incidensek is, ez pedig az ICS rendszerek világában a legfontosabb biztonsági szempontnak, az emberélet biztonságának (safety) a sérülését jelenti, ami semmilyen körülmények között nem elfogadható. Mivel a safety a legfontosabb szempont az ICS rendszerek esetén, a kutatás is e köré épült.

Részleteket az IOActive Labs blogján megjelent cikkben lehet olvasni: http://blog.ioactive.com/2017/08/Exploiting-Industrial-Collaborative-Robots.html

A mai posztban az elmúlt héten nyilvánosságra került ICS sérülékenységeket fogom áttekinteni.

Sérülékenységek Smith Medical orvosi eszközökben

Scott Gayou, független biztonsági kutató 8 különböző sérülékenységet fedezett fel a Smith Medical vezeték nélküli kommunikációra képes Syringe infúziós berendezésének alábbi verzióiban:

- Medfusion 4000 Wireless Syringe Infusion Pump, 1.1-es verziója;
- Medfusion 4000 Wireless Syringe Infusion Pump, 1.5-ös verziója és
- Medfusion 4000 Wireless Syringe Infusion Pump, 1.6-os verziója.

A hibák között klasszikus puffer-túlcsordulás, nem megfelelő hozzáférés-kezelés, beégetett felhasználói azonosítók és jelszavak, nem megfelelő tanúsítvány-ellenőrzés, és konfigurációs fájlban olvasható formában tárolt jelszavak is találhatóak.

A gyártó a hibákat a 2018 januárban kiadni tervezett 1.6.1-es firmware-verzióban fogja javítani, addig is az alábbi biztonsági intézkedéseket javasolja az érintett berendezéseket használók számára:

- Használjanak statikus IP címeket a Medfusion 4000 Wireless Syringe infúziós berendezéseknél;
- Ellenőrizzék a hálózatot nem engedélyezett DNS és DHCP szerverek működését figyelve;
- Biztosítsák, hogy a Medfusion 4000 Wireless Syringe infúziós berendezések hálózata legyen elkülönítve a többi kórházi hálózattól;
- Mérlegeljék a hálózat mikro-szegmentálását;
- A hálózatszegmentálásnál mérlegeljék a VLAN-ok használatát;
- Alkalmazzanak biztonságos és kellően bonyolult jelszavakat;
- Kerüljék a jelszavak ismételt felhasználását.

A sérülékenységgel kapcsolatban további részleteket az ICS-CERT bejelentésében lehet találni: https://ics-cert.us-cert.gov/advisories/ICSMA-17-250-02

i-SENS SmartLog vércukor-szint ellenőrző szoftver sérülékenysége

Mark Cross, független biztonsági kutató egy DLL-injection sérülékenységet fedezett fel az i-SENS SmartLog Diabetes Management Software 2.4.0 és korábbi verzióiban.

A gyártó a hibát a 2.4.1-es verzióban javította.

A sérülékenységről bővebben az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSMA-17-250-01

Sérülékenység Phoenix Contact mGuard eszközökben

A gyártó a német CERT@VDE-n keresztül jelentette az ICS-CERT-nek azt a Null Point Dereference hibát, ami az alábbi hálózatbiztonsági eszközöket érinti, ha 8.0.0 és 8.5.1 közötti verziójú firmware-t futtatnak:

- FL MGUARD RS4000 TX/TX VPN,
- FL MGUARD GT/GT,
- FL MGUARD GT/GT VPN,
- FL MGUARD RS4000 TX/TX,
- FL MGUARD SMART2 VPN,
- FL MGUARD SMART2,
- FL MGUARD RS2000 TX/TX VPN,
- FL MGUARD DELTA TX/TX,
- FL MGUARD DELTA TX/TX VPN,
- FL MGUARD PCI4000,
- FL MGUARD PCI4000 VPN,
- FL MGUARD PCIE4000 VPN,
- FL MGUARD RS2005 TX VPN,
- FL MGUARD RS4004 TX/DTX,
- FL MGUARD RS4004 TX/DTX VPN,
- FL MGUARD RS4000 TX/TX-P,
- FL MGUARD RS4000 TX/TX VPN-M,
- FL MGUARD CENTERPORT,
- FL MGUARD RS,
- FL MGUARD RS VPN ANALOG,
- TC MGUARD RS2000 3G VPN,
- TC MGUARD RS4000 3G VPN,
- TC MGUARD RS2000 4G VPN és
- TC MGUARD RS4000 4G VPN.

A hibát a gyártó szerint a 8.5.2 és újabb firmware-verziókat javították.

A hibával kapcsolatban további részleteket az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-17-250-02

SpiderControl SCADA Web Server sérülékenység

Karn Ganeshen egy nem megfelelő jogosultság-kezelésből adódó hibát talált a SpiderControl SCADA Web Server 2.02.0007 és korábbi verzióiban.

A gyártó a hibát a 2.02.0100-es verzióban javította.

A sérülékenységről bővebben az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-17-250-01

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

A GRID a SANS és a GIAC második ipari rendszerek kiberbiztonságával kapcsolatos minősítése és vizsgája (az első a GICSP, amiről korábban már írtam). Maga a vizsga és a minősítés nagyon új, 2017. július 7-e óta lehet egyáltalán vizsgázni, a poszt írásának időpontjában összesen 49 személy kapta meg a GRID minősítést.

A vizsga során 8 nagyobb témakörbe tartozó tudásanyagról kell számot adniuk a vizsgázóknak, ezek az alábbiak:

- Aktív védelmi koncepciók és alkalmazások;
- Biztonsági események észlelése és elemzése ICS környezetekben;
- Eszközleltár és hálózati monitoring ICS környezetekben;
- ICS-fókuszú digitális nyomrögzítés;
- ICS-fókuszú incidenskezelés;
- Malware-elemzési módszerek;
- Fenyegetés-elemzés ICS-környezetekben;
- A fenyegetésekkel kapcsolat információgyűjtés alapjai.

A vizsgán maximum 2 óra alatt 75 kérdésre kell válaszolni (jelenleg a Pearson VUE vizsgarendszerben), a sikeres vizsgához minimálisan 74%-os eredményt kell elérni.

AzeoTech DAQFactory sérülékenységek

Karn Ganeshen két sérülékenységet jelentett az ICS-CERT-nek, amik az AzeoTech DAQFactory 17.1-nél korábbi verzióit érinti. Az első hiba a jogosultságkezelésben van és nem adminisztrátori jogosultságú felhasználóknak is lehetőséget ad az alkalmazás fájljainak módosítására. A második hiba a rendszer DLL-kezelését érinti.

A gyártó a hibákat a 17.1-es verzióban javította.

A sérülékenységekkel kapcsolatos további részletek az ICS-CERT bejelentésében olvashatóak: https://ics-cert.us-cert.gov/advisories/ICSA-17-241-01

Sérülékenységek az Advantech WebAccess rendszerében

Több különböző független biztonsági kutató és a Tenable Network Security illetve az ADLab munkatársai 9 különböző hibát találtak az Advantech WebAccess V8.2_20170817-nél korábbi verzióiban.

Az Advantech a hibák javítását a V8.2_20170817-es verzióban tette elérhetővé az ügyfelei számára.

A sérülékenységek részleteit az ICS-CERT, illetve a ZDI két bejelentésében találhatóak:

http://www.zerodayinitiative.com/advisories/ZDI-17-712/
http://www.zerodayinitiative.com/advisories/ZDI-17-713/

Abbott Laboratories egészségügyi rendszerek sérülékenységei

Az ICS-CERT bejelentése szerint 3 hibát fedeztek fel az Abbott Laboratories alább felsorolt, 2017. augusztus 28-a előtt gyártott rendszereiben:

- Accent/Anthem;
- Accent MRI;
- Assurity/Allure;
- Assurity MRI.

A hibákat a gyártó az alábbi firmware-verziókban javította:

- Accent/Anthem: F0B.0E.7E;
- Accent MRI/Accent ST: F10.08.6C;
- Assurity/Allure: F14.07.80;
- Assurity MRI: F17.01.49.

Az egészségügyi rendszerek biztonságával kapcsolatban az ICS-CERT és a Cybersecurity Medical Advisory Board az alábbi általános ajánlásokat fogalmazta meg:

- Az egészségügyi szolgáltatók és a páciensek minden esetben egyeztessék az egyes eszközök firmware-frissítésének kiberbiztonsági kockázatait és az egészségügyi előnyöket. Az egyeztetés során mindenképp figyelembe kell venni a páciensek egyedi körülményeit (a pacemaker szükségessége, az eszköz életkora, a páciens által előnyben részesített megoldás);
- Meg kell vizsgálni, hogy a firmware-frissítés megfelelő-e a páciens számára, ismerve a frissítés kockázatait - amennyiben igen, a frissítés során mindenben a gyártó előírásait kell követni;
- Amennyiben pacemaker-t igénylő pánciens eszközén kell firmware-frissítést végezni, azt olyan létesítményben kell végezni, ahol minden szükséges eszköz rendelkezésre áll akár a teljes eszköz cseréjéhez is.

A fenti hibákkal kapcsolatban bővebb információkat az ICS-CERT bejelentes tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSMA-17-241-01

Sérülékenység Automated Logic Corporation rendszerekben

Evgeny Ermakov, a Kaspersky Lab munkatársa egy XXE (XML External Entity) sérülékenységet fedezett fel az ALC alábbi, webes épületautomatizálásban használt rendszereiben:

- Liebert SiteScan Web Version 6.5 és korábbi verziói;
- ALC WebCTRL Version 6.5 és korábbi verziói;
- Carrier i-Vu Version 6.5 és korábbi verziói.

A gyártó a hibát az alábbi verziókban javította:

- WebCTRL 6.0, Cumulative Patch #11;
- WebCTRL 6.1, Cumulative Patch #4;
- WebCTRL 6.5, Cumulative Patch #5;
- i-Vu 6.0, Cumulative Patch #11;
- i-Vu 6.5, Cumulative Patch #5.

A sérülékenységgel kapcsolatban további részleteket az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-17-150-01

Moxa SoftCMS Live Viewer sérülékenység

Ziqiang Gu, a Huawei WeiRan Labs munkatársa egy SQL Injection hibát talált a Moxa SoftCMS Live Viewer 1.6-os és korábbi verzióiban.

A gyártó a hibát a SoftCMS Live Viewer 1.7-es verziójában javította.

A sérülékenység részleteiről az ICS-CERT bejelentésében lehet további információkat találni: https://ics-cert.us-cert.gov/advisories/ICSA-17-243-05

Sérülékenységek az OPW Fuel Management Systems rendszereiben

Semen Rozhkov, a Kaspersky Labs munkatársa két hibát fedezett fel az OPW Fuel Management Systems (OPW) SiteSentinel termékcsaládjának Integra 100-as, Integra 500-as és iSite ATG konzoljainak alábbi verzióiban:

- a V175-nél korábbi verziókban;
- a V175-V189 verziókban;
- a V191-V195 verziókban;
- a V16Q3.1-es verziók.

A hibák között kritikus funkció esetén hiányzó authentikáció és SQL Injection található.

A gyártó a hibát a 17Q2.1-es verzióban javította és mivel a hibákat kiemelten fontosnak tartja, a felhasználókat a Service Bulletin 462-ben illetve külön levélben is értesíti az esetről.

A sérülékenységekről részleteket az ICS-CERT bejelentésében lehet találni: https://ics-cert.us-cert.gov/advisories/ICSA-17-243-04

Sérülékenység egyes Siemens rendszerekben

Sergey Temnikov, Kaspersky Labs munkatársa egy XXE hibát fedezett fel azokban a Siemens rendszerekben, amik az OPC UA protokoll stack discovery service szolgáltatását használják. Az érintett termékek köre az alábbi:

- SIMATIC PCS 7
- V7.1 és korábbi verziók;
- V8.0 minden verziója;
- V8.1 minden verziója;
- SIMATIC WinCC:
- V7.0 minden verziója;
- V7.2 minden verziója;
- V7.3 minden verziója;
- V7.4: V7.4 SP1-nél régebbi verziók;
- SIMATIC WinCC Runtime Professional:
- V13 minden verziója;
- V14: V14SP1-nél régebbi verziók;
- SIMATIC NET PC Software minden verziója;
- SIMATIC IT Production Suite minden verziója.

A Siemens a hibával kapcsolatos javítást elérhetővé tette. A sérülékenység további részleteiről az ICS-CERT és a Siemens ProductCERT bejelentéseiből lehet tájékozódni.

Siemens LOGO! sérülékenységek

Maxim Rupp két sérülékenységet azonosított a Siemens LOGO!8 BM szoftverének összes verziójában. A sérülékenységek között nem megfelelően védett bejelentkezési adatok és Man-in-the-Middle támadást lehetővé tevő hiba található.

A Siemens a hibákat a LOGO!8 BM FS-05 V.1.81.2-es firmware-verziójában javította.

A sérülékenységekről további részleteket az ICS-CERT és a Siemens ProductCERT bejelentéseiből lehet megtudni.

Siemens 7KM PAC Ethernet switch sérülékenység

A Siemens munkatársai egy DoS-támadást lehetővé tevő hibát azonosítottak a 7KM PAC Ethernet switch-ek PROFINET moduljaiban. A hiba a V2.1.3-nál korábbi összes verziót érinti.

A gyártó a hibát a V2.1.3.[1]-es verzióban javította.

A sérülékenységről bővebben az ICS-CERT bejelentésében lehet megtudni: https://ics-cert.us-cert.gov/advisories/ICSA-17-243-03

Sérülékenységek Siemens ACUSON S1000/2000/3000 berendezésekben

A Siemens ProductCERT bejelentése szerint az ACUSON termékcsalád S1000/2000/3000 típusú berendezéseinek minden VC30, VC31, VD10 és VE10A verzióját érinti a most felfedezett, SMBv1-hez kapcsolódó sérülékenységek.

A hibajavítással kapcsolatban a Siemens ProductCERT bejelentése azt javasolja az érintett berendezéseket használó ügyfeleknek, hogy lépjenek kapcsolatba a Siemens Healthineers ügyfélszolgálatával.

A sérülékenységekkel kapcsolatban további részleteket a Siemens ProductCERT bejelentésében lehet olvasni: https://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-866217.pdf

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Idén július utolsó hetében kerültek megrendezésre a méltán híres Black Hat (július 22-27. között) és a Defcon (július 27-30. között) konferenciák, ahol idén számos elődás és egyéb program (pl. az ICS Village a Defcon-on) foglalkozott az ICS rendszer kiberbiztonságával.

A Black Hat egyik előadása például a szélerőmű-farmok biztonságával kapcsolatos tapasztalatokról szólt és sajnos még mindig olyan alapvető problémákról volt szó ebben az előadásban is, mint az alapvető biztonsági intézkedések (titkosított kommunikáció, alapértelmezett jelszavak helyett biztonságosabbnak tekinthető jelszavak használata, stb.), amik egy átlagos IT biztonsági vizsgálat során (és ne legyenek kétségeink, egy kibertámadás során is) az első 5 percben ellenőrzésre kerülnek.

A Defcon egyik előadását az általam igen nagyra tartott Joe Weiss tartotta, aki jellemzően minden alkalmat megragad, hogy az ICS rendszerek biztonságával kapcsolatban a kiberbiztonsági kockázatokra felhívja a figyelmet.

Ezúttal már nem az ICS rendszerek IT komponenseinek biztonságáról, hanem azoknak az ipari berendezéseknek (megszakítók, szelepek, mérőváltók, transformátorok, motorok, szenzorok, stb.) a biztonsági helyzetéről és az ezek elleni támadások kockázatairól beszélt.

A Black Hat keddi napján Marina Krotofil (aki 2015-ös Hacktivity-n is tartott előadást ICS biztonság témában) azt mutatta be, hogy egyes ipari szivattyúkban hogyan lehet digitális módszerekkel fizikai kárt okozni.

A fenti előadások nyomán megint felmerül a kérdés, hogy ha ilyen nagyon alacsony az ipari környezetek kiberbiztonsági szintje, mit lehet tenni a javulás érdekében? Csak ismételni tudom magamat, hogy a kulcs az IT üzemeltetők és az OT-ban dolgozó (villamos, gépész-, termelésirányító-, stb.) mérnökök közötti jobb kommunikáció és egymás feladatainak, kihívásainak és prioritásainak jobb ismeretében rejlik.

Saját tapasztalatom, hogy mióta jobb a személyes kapcsolatom egyes, az OT-ban dolgozó kollégáimmal, sokkal jobb hatásfokkal tudom végezni a munkámnak azt a részét, ahol az általuk használt (és gyakran általuk is üzemeltetett) ipari berendezések és hálózatok biztonságának javítása a feladatom.

Tegyünk azért, hogy az IT és OT szakemberek között általánosan meglévő kommunikációs és világnézeti szakadékot áthidaljuk, így javítva az ICS rendszerek kiberbiztonsági helyzetén!