211service.com
Co się stało, gdy jeden człowiek pingował cały Internet?
Prawdopodobnie nie słyszałeś o HD Moore, ale jeszcze kilka tygodni temu z każdym urządzeniem internetowym na świecie, być może nawet z niektórymi w twoim domu, kontaktował się mniej więcej trzy razy dziennie stos komputerów, które przegrzewają się w jego wolnym pokoju. . Mam dużo sprzętu chłodzącego, aby mieć pewność, że mój dom się nie zapali, mówi Moore, który prowadzi badania w firmie zajmującej się bezpieczeństwem komputerowym Szybki7 . W lutym ubiegłego roku postanowił jako hobby przeprowadzić osobisty spis wszystkich urządzeń w Internecie. To nie jest moja codzienna praca; to jest to, co robię dla zabawy, mówi.
Moore zawiesił tę zabawę. [To] przyciągnęło sporo skarg, nienawistnych listów i telefonów od organów ścigania, mówi. Zebrane dane ujawniły jednak pewne poważne problemy z bezpieczeństwem i ujawniły niektóre wrażliwe systemy biznesowe i przemysłowe używane do kontrolowania wszystkiego, od sygnalizacji świetlnej po infrastrukturę energetyczną.
Spis Moore'a polegał na regularnym wysyłaniu prostych, zautomatyzowanych wiadomości do każdego z 3,7 miliarda adresów IP przypisanych do urządzeń podłączonych do Internetu na całym świecie (Google z kolei zbiera informacje udostępniane publicznie przez strony internetowe). Wiele z odpowiedzi o wartości dwóch terabajtów (2 000 gigabajtów), które Moore otrzymał z 310 milionów adresów IP, wskazywało, że pochodzą one z urządzeń podatnych na znane błędy lub skonfigurowanych w sposób umożliwiający każdemu przejęcie nad nimi kontroli.
We wtorek Moore opublikował wyniki dotyczące szczególnie niepokojącego segmentu tych podatnych urządzeń: tych, które wydają się być używane w systemach biznesowych i przemysłowych. Ponad 114 000 z tych połączeń kontrolnych zostało zarejestrowanych jako będące w Internecie ze znanymi lukami w zabezpieczeniach. Do wielu można było uzyskać dostęp za pomocą domyślnych haseł, a 13 000 oferowało bezpośredni dostęp za pośrednictwem wiersza poleceń bez żadnego hasła.
Te wrażliwe konta oferują atakującym znaczne możliwości, mówi Moore, w tym ponowne uruchamianie serwerów firmowych i systemów IT, dostęp do dzienników urządzeń medycznych i danych klientów, a nawet uzyskanie dostępu do przemysłowych systemów kontroli w fabrykach lub infrastrukturze energetycznej. Najnowsze odkrycia Moore'a zostały poparte podobnym zbiorem danych opublikowane przez anonimowego hakera w zeszłym miesiącu , zebrane przez skompromitowanie 420 000 elementów sprzętu sieciowego.
Połączenia, których szukał Moore, są znane jako serwery szeregowe, używane do łączenia urządzeń z Internetem, które nie mają wbudowanej tej funkcji. Serwery szeregowe działają jak spoiwo między archaicznymi systemami a światem sieciowym, mówi Moore. [Oni] narażają wiele organizacji na atak. Moore nie wie, czy wykryte przez niego wady są już wykorzystywane, ale ujawnił szczegóły, w jaki sposób firmy mogą skanować swoje systemy w poszukiwaniu wykrytych przez niego problemów.
Joel Young, dyrektor ds. technologii w Digi International , producent wielu niezabezpieczonych serwerów szeregowych, które znalazł Moore, z zadowoleniem przyjął badania, mówiąc, że pomogły jego firmie zrozumieć, w jaki sposób ludzie korzystają z jej produktów. Niektórzy klienci, którzy kupują i wdrażają nasze produkty, nie przestrzegali dobrych zasad bezpieczeństwa lub praktyk, mówi Young. Musimy prowadzić bardziej proaktywną edukację dla klientów na temat bezpieczeństwa.
Young mówi, że jego firma sprzedaje usługę w chmurze, która może zapewnić swoim produktom prywatne, bezpieczne połączenie z dala od publicznego Internetu. Powiedział jednak również, że Digi będzie nadal dostarczać produkty z domyślnymi hasłami, ponieważ ułatwiło to początkową konfigurację, a to zwiększa prawdopodobieństwo, że klienci będą ustawiać własne hasła. Nie znalazłem lepszego sposobu, mówi.
Billy Rios, badacz bezpieczeństwa, który pracuje nad przemysłowymi systemami sterowania w firmie Cylance, startującej z branży zabezpieczeń, mówi, że projekt Moore'a dostarcza cennych danych do ilościowego określenia skali problemu, który jest dobrze znany ekspertom takim jak on, ale jest niedoceniany przez zagrożone firmy.
Rios mówi, że z jego doświadczenia wynika, że systemy używane przez bardziej krytyczne obiekty, takie jak infrastruktura energetyczna, są tak samo podatne na ataki, jak te wykorzystywane do zadań, takich jak kontrola drzwi w małym biurze. Używają tych samych systemów, mówi.
Usunięcie serwerów szeregowych z publicznego Internetu, aby uzyskać do nich dostęp przez prywatne połączenie, może zapobiec wielu najłatwiejszym atakom, mówi Rios, ale osoby atakujące mogą nadal używać różnych technik do kradzieży niezbędnych danych uwierzytelniających.
Nowa praca uzupełnia inne ważne odkrycia z niezwykłego hobby Moore'a. Wyniki on opublikowany w styczniu pokazał, że około 50 milionów drukarek, konsol do gier, routerów i sieciowych dysków do przechowywania danych jest podłączonych do Internetu i łatwo je narażać z powodu znanych wad protokołu zwanego Universal Plug and Play (UPnP). Protokół ten umożliwia komputerom automatyczne znajdowanie drukarek, ale jest również wbudowany w niektóre urządzenia zabezpieczające, routery szerokopasmowe i systemy przechowywania danych i może narażać cenne dane na ryzyko.
Dane zebrane w ankiecie Moore'a pomogły również współpracownikom Rapid7 zidentyfikować, w jaki sposób oprogramowanie o nazwie FinFisher było wykorzystywane przez organy ścigania i agencje wywiadowcze szpiegować działaczy politycznych . Pomogła także zdemaskować strukturę kontrolną dla długotrwałej kampanii zwanej Czerwonym Październikiem, która przeniknęła do wielu systemów rządowych w Europie.
Moore uważa, że branża bezpieczeństwa pomija niektóre dość poważne i podstawowe problemy związane z bezpieczeństwem, skupiając się głównie na komputerach używanych przez pracowników firmy. Stało się dla mnie oczywiste, że mamy dużo większe problemy, mówi Moore. Istnieją pewne podstawowe problemy związane ze sposobem, w jaki dzisiaj korzystamy z Internetu. Chce, aby więcej osób pracowało nad łataniem tylnych drzwi, które narażają firmy na ryzyko.
Jednak Moore nie planuje ponownie sondować całego Internetu. Duże rachunki za prąd i Internet oraz incydenty, takie jak chiński rządowy zespół reagowania na incydenty komputerowe, proszący władze USA o powstrzymanie Moore'a przed hakowaniem wszystkich ich rzeczy, przekonały go, że nadszedł czas, aby znaleźć nowe hobby. Jednak mając wiele danych do przeanalizowania, prawdopodobnie będzie więcej do ujawnienia na temat prawdziwego stanu bezpieczeństwa online, mówi Moore: Siedzimy na górach nowych luk w zabezpieczeniach.