Przemysłowe systemy sterowania są nadal podatne na złośliwe cyberataki

W 1982 roku CIA odkryła spisek Związku Radzieckiego, którego celem było kradzież oprogramowania przemysłowego do kontrolowania jego szybko rozwijającej się sieci rurociągów gazu ziemnego. W odpowiedzi agencja zmodyfikowała oprogramowanie za pomocą złośliwego oprogramowania zaprojektowanego do uszkadzania rurociągów, a następnie nakłoniła Sowietów do kradzieży.

Ten podstęp okazał się spektakularnym sukcesem. Sowieci zainstalowali zmodyfikowane oprogramowanie — przemysłowy system sterowania o nazwie SCADA — na syberyjskim rurociągu. Po kilku miesiącach normalnego działania złośliwe oprogramowanie zaczęło zamykać zawory bezpieczeństwa, powodując, że ciśnienie w rurociągu wzrosło ponad to, co mogły wytrzymać spawy i złącza. W końcu rurociąg eksplodował, powodując najbardziej monumentalną niejądrową eksplozję i pożar, jaki kiedykolwiek widziano z kosmosu, według Washington Post, który opisał tę historię w 2004 roku.

Incydent ten przeszedł do historii jako pierwszy przykład ataku złośliwego oprogramowania na przemysłowy system sterowania. I przygotował grunt pod kampanię cyberataków, które spowodowały wyłączenie systemu telefonicznego w centrum kontroli ruchu lotniczego na lotnisku w Worcester w stanie Massachusetts w 1997 roku; wyłączone systemy bezpieczeństwa w elektrowni jądrowej Davis-Besse w 2003 roku; i zniszczył wirówki w tajnym irańskim zakładzie wzbogacania uranu w 2010 roku – żeby wymienić tylko kilka incydentów.

Niektóre z tych ataków wywołały ogromny rozgłos i podniosły świadomość, jak wrażliwe są przemysłowe systemy kontroli. Dlatego każda firma korzystająca z oprogramowania do sterowania przemysłowego powinna być świadoma zagrożeń i odpowiednio je chronić. Ale czy to prawda?

Dzisiaj otrzymujemy pewnego rodzaju odpowiedź dzięki Marcinowi Nawrockiemu z Wolnego Uniwersytetu w Berlinie w Niemczech i jego współpracownikom, którzy badali szybkość, z jaką przemysłowe systemy sterowania przesyłają niezabezpieczone dane przez Internet. Ich wyniki zapewniają zaskakujący wgląd w podatność tych systemów.

Przemysłowe systemy sterowania, takie jak SCADA i Modbus, zostały pierwotnie opracowane, zanim internet rozprzestrzenił się na szeroką skalę. Zostały więc zaprojektowane tak, aby były proste i działały w systemie zamkniętym, niepowiązanym ze światem zewnętrznym.

Później stało się możliwe umieszczenie sygnałów sterujących w zwykłym ruchu internetowym, tak aby systemy przemysłowe mogły być sterowane zdalnie. Jednak to podejście jest całkowicie otwarte. Każdy może skanować ruch internetowy w poszukiwaniu tego rodzaju pakietów, sprawdzać, dokąd zmierzają, a następnie wysyłać własne polecenia, aby przejąć kontrolę.

I dokładnie tyle miało miejsce najwcześniejszych ataków. Hakerzy mogą połączyć się z przemysłowymi systemami sterowania za pomocą modemu telefonicznego i przejąć nad nimi kontrolę lub je wyłączyć.

Tak więc cała branża rozwinęła się, aby chronić takie systemy. Ponieważ oprogramowanie jest tak rozpowszechnione, nie można go łatwo przepisać. Zamiast tego głównym podejściem jest spakowanie poleceń w innej warstwie oprogramowania, która jest chroniona konwencjonalnym szyfrowaniem, hasłami i tak dalej. Zapobiega to zarówno nieautoryzowanemu dostępowi do przemysłowych systemów sterowania, jak i podsłuchiwaniu komunikacji przez Internet.

Ale czy wszyscy go używają? Aby się tego dowiedzieć, Nawrocki i współpracownicy przebadali dwie bazy danych ruchu internetowego. Pierwsze zebrali z internetowego punktu wymiany (IXP) w 2017 i 2018 roku. Jest to punkt, w którym dostawcy usług internetowych i sieci dostarczania treści wymieniają dane. Więc zwykle jest to ruch z tego samego kraju.

Druga baza danych była archiwum nieprzetworzonego ruchu internetowego pomiędzy dostawcami usług internetowych (ISP) w USA i Japonii, który był przechowywany w celach badawczych. Te dane mają oczywiście charakter transnarodowy.

Pierwszym zadaniem firmy Nawrocki i spółką było przefiltrowanie danych dla pakietów przeznaczonych do przemysłowych systemów sterowania. Zrobili to za pomocą standardowego analizatora pakietów o nazwie Wireshark, który ujawnia niezabezpieczone pakiety.

Ale jest też inny ważny etap filtrowania. Ze względu na zagrożenia dla przemysłowych systemów sterowania, różne projekty rozpoczęły monitorowanie ruchu internetowego — identyfikowanie i katalogowanie ruchu przemysłowego, przesłuchiwanie hostów i źródeł tam, gdzie to konieczne, oraz konfigurowanie honeypotów w celu przyciągnięcia złośliwych podmiotów.

Ta aktywność sama w sobie powoduje znaczny ruch związany z przemysłowymi sieciami sterowania. Więc Nawrocki i spółka musieli filtrować zbiory danych, aby to również usunąć.

To, co zostało, było interesujące. Znaleźli ponad 330 000 niezabezpieczonych pakietów związanych z przemysłowymi systemami sterowania. W ruchu międzynarodowym między dostawcami usług internetowych stanowiło to zaledwie 1,5% całego ruchu przemysłowego.

Sytuacja jest jednak znacznie gorsza na szczeblu lokalnym, gdzie 96% ruchu stanowią niezabezpieczone komendy przemysłowe. Podobno udział (96%) niezabezpieczonego ruchu przemysłowego [Industrial Control Systems] w IXP jest alarmujący.

Zespół przeanalizował ten niechroniony ruch dalej, korzystając z rekordów DNS i danych whois. Zidentyfikowali szereg firm wysyłających niezabezpieczony ruch, w tym firmę konsultingową ds. energii słonecznej, firmę budowlaną oraz firmę handlową i transportową. Organizacje te są oczywiście narażone na znaczne ryzyko złośliwego ataku.

To interesująca praca ujawniająca alarmujące poziomy niezabezpieczonego ruchu, który zagraża systemom przemysłowym.

Nr ref.: arxiv.org/abs/1901.04411 : Odkrywanie podatnych przemysłowych systemów sterowania z rdzenia internetowego

ukryć