Обновите свой завод! Последние новости о безопасности АСУ ТП

В последнее время происходит много всего интересного, связанного с безопасностью АСУ ТП.

На прошедшем Positive Hack Days было достаточно много интересных выступлений по различным направлениям защиты (и не совсем) систем ICS/SCADA. Вот некоторые из них.

DIY Industrial IPS, Dmitry Dudov 
Find Them, Bind Them – Industrial Control Systems (ICS) on the Internet, Johannes Klick, Daniel Marzin 
How to Straighten up a Car's "Brains", Kirill Ermakov, Dmitry Sklyarov 
Are ICS Models Needed to Ensure Information Security of Industrial Systems? Ruslan Stefanov 

Напомню, что видеотрансляция и презентации доступны в Интернет.

http://www.phdays.ru/registration/everywhere/broadcast.php#2
http://www.slideshare.net/phdays

Команда SCADA StrangeLove безопасности АСУ ТП компании Positive Technologies подготовила два доклада, конкурс Choo-Choo PWN, воркшопы по безопасности сетевых протоколов...

В докладе Industrial protocols for pentesters Александр Тиморин и Дмитрий Ефанов поделились результатами своих исследований индустриальных протоколов modbus, S7, DNP3, Profinet и повзрывали конденсаторы.

Industrial protocols for pentesters from Alexander Timorin

Александр опубликовал утилиту profinet_spanner.py которую можно использовать для быстрого поиска ICS-устройств в сети, а также с другими целями. Небольшая демонстрация - ниже.

Также мы представили доклад How to build your own Stuxnet, этакий отчет за год исследований.

Scada strange love uwn-stuxnet from Positive Hack Days

Внезапно, чуть ли не в ходе выступления были выпущены обновления безопасности для Invensys Wonderware Information Server (используется в Wonderware Intouch HMI и ArchestrA System Platform) и Siemens WinCC 7.2. Это хорошо.

http://scadastrangelove.blogspot.ru/2013/06/invensys-wonderware-information-server.html

http://scadastrangelove.blogspot.ru/2013/06/wincc-vulnerabilities-fixes.html

Хотелось бы обратить внимание на CVE-2013-3957, поскольку уязвимость применима не только для WebNavigator но и для WinCC Runtime, т.е. удаленное выполнение кода возможно не только через HTTP/HTTPS, но и по протоколу OPC.

PS. В этом году уже опубликовано 75 уязвимостей, связанных с компонентами АСУ ТП. Год обещает быть урожайным.

Как создать свой личный Stuxnet?

Для продуктов Siemens Simatic PC7, WinCC и TIA Portal выпущены обновления безопасности. В популярных компонентах АСУ ТП, таких как средства разработки и HMI было устранено более десятка уязвимостей самого разного толка: от небезопасного хранения паролей и переполнений буфера до возможности создания "закладок" в файлах проектов SCADA.
Приятно, что обновления практически полностью ориентированы на устранение недочетов, обнаруженных командой SCADA StrangeLove экспертами Positive Technologies.
Ходят слухи, что эти уязвимости ICS будут подробно обсуждаться на грядущих Infiltrate (http://infiltratecon.com/speakers.html) и Positive Hack Days (http://phdays.ru/press/news/16155/).

Напоминаю, что в открытом доступе опубликованы WinCC Security Hardening Guides, которые могут использоваться в качестве технических стандартов безопасности для конфигурации систем или как контрольные списки для аудитов безопасности. Найти их можно тут: http://blog.ptsecurity.ru/2013/01/blog-post.html

Среди отметившихся:  Gleb Gritsai, Sergey Bobrov, Roman Ilin, Artem Chaykin, Timur Yunusov, Ilya Karpov, Alexey Osipov, Sergey Gordeychik, Dmitry Nagibin.

Подробнее: http://scadastrangelove.blogspot.com/2013/03/wincc-vulnerabilities-fresh-meat.html

PS. Недавно прислали картинку. IMHO - никакого сходства!

SCADA and Chaos

Наша команда была приглашена на 29 Chaos Communication Congress. Я, Глеб Грицай и Денис Баранов выступим с докладом о новых исследованиях в области безопасности компонентов АСУ ТП и обнаруженных уязвимостях в SCADA и PLC.

Более подробная информация:
 http://events.ccc.de/congress/2012/Fahrplan/events/5059.en.html

Кроме того, Юрий Гольцев  и Сергей Щербель проведут на 29C3 соревнования $natch aka Большой Ку$h, по "взлому" системы ДБО в режиме реального времени. Присоединяйтесь: http://events.ccc.de/congress/2012/wiki/$natch.

До встречи в Гамбурге!

Безопасность SCADA в цифрах

Опубликовали исследования о текущей ситуации с безопасностью АСУ ТП.

Наслаждайтесь.

Обзор:

http://habrahabr.ru/company/pt/blog/157589/

Полный текст:

http://www.ptsecurity.ru/download/SCADA_analytics_russian.pdf

Английский вариант:

http://www.ptsecurity.com/download/SCADA_analytics_english.pdf

Вопросы/комментарии привествуются. 

Незрелая безопасность SCADA

Тут недавно Алексей по своему обыкновению негодовал за незрелость и непонимаение. Имею мнение.

О какой защите бизнес-уровня можно говорить, когда в настоящее время безопасность SCADA находится на том же уровне зрелости, что Интернет-безопасность 10 лет назад. Базовые средства и механизмы защиты еще не внедрены. Сами системы с точки зрения Application Security не выдерживают никакой критики. Приведу пример из жизни.

Предположим, вы решили построить систему управления фродом на бензоколонках.

Для владельцев АЗС и для фрод со стороны персонала заправок является серьезной проблемой, расплачиваться за которую приходится, как это не печально автомобилистам. Низкая степень безопасности систем автоматизации, рабочих мест кассиров, топливораздаточных колонок, контроллеров сопряжения, платежных терминалов приводит к тому, что мошенники начинают использовать в своих целях не тривиальные трюки с «недоливом», а вполне высокотехнологичные приемы. В ход идут манипуляции с пластиковыми карточками бонусных программ, изменение прошивок контроллеров и изменения данных в таблицах СУБД, хранящих информацию о соответствии между купленным и фактически отпущенным топливом.

И вы ставите супер-мега средство сохранения дохода. Но!

Учитывая, что в большинстве случаев база хранится на том же рабочем месте кассира, которые работает с правами администратора, а пароль на контроллер, управляющий ТРК == admin/admin, до вашей системы просто не будет доходить достоверная информация. И все ее красота будет просто бесполезна.

Собственно к чему это я. Всему свое время. Сейчас индустрия безопасности АСУ ТП проходит первые шаги. Внедряет и адаптирует базовые средства защиты. Ведь без них в остальном смысла нет.

PS. Недавно Siemens разразился новыми патчами и уведомлениями для своей SCADA/HMI WinCC и PLC S7. Будет большей. Подробнее тут: http://scadastrangelove.blogspot.com/search/label/Releases

PPS. В ближайшее время буду выступать на тему безопасности SCADA на Infosecurity в Москве и Power Of Community в Сеуле.

Иран, AC/DC, Siemens вирусы и все-все-все...

Уважаемый фанат античата, автомобилей Мерседес и кибер-андеграунда Северной Столицы Микко Хиппонен рассказал всему миру об очередной атаке на ядерные объекты в Иране. История вполне детективная, с таинственным письмом из Atomic Energy Organization of Iran (AEO), взломом VPN, несанкционированным применением вредоносного ПО metasploit под бодрые рифы Thunderstruck в исполнении AC/DC. 

http://www.securitylab.ru/news/427503.php

Очень подняло настроение. Целую волну про кибервойна-ужас-кошмар поднял, пришлось понагнетать отбиваться .

Практически одновременно некоторые несознательные начали распостранять новость о том, что Siemens наконец-то устранил уязвимость в WinCC, которая использовалась червем Stuxnet.

Соратники! Это не так! Точнее так, но не совсем! Компания Siemens, конечно же устранила эту уязвимость, но сделала это давным давно! В оригинале ICS-CERT (http://www.us-cert.gov/control_systems/pdf/ICSA-12-205-01.pdf) и Siemens (http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-027884.pdf) которые по каким-то причинам решили напомнить миру об этой печальной баге четко написано:

Siemens has addressed this vulnerability in SIMATIC WinCC V7.0 SP2 Update 1 (V 7.0.2.1) and newer. The latest software update, V7.0 SP3 Update 2, is provided at the Siemens product update page.

Т.е. было закрыто еще во втором сервис-паке. В последнем обновлении для WinCC устраняются таки уязвимости другие совсем, подробнее тут:

http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-223158.pdf

Кстати, для исторической справедливости - бага уже 7 лет, как широко известна. И опять, да - опять эти русские!

Микко! Пруфлинк для презентации: http://iadt.siemens.ru/forum/viewtopic.php?p=2974

PS. Когда ведущий подколол про Defcon/BlackHat захотелось сделать что-то странное. Тролло? Признавайтесь, кто?! :)

Defcon - поберегись! Русские идут!

Изучал на досуге программу Def Con 20. Был приятно удивлен наличием трех докладов из России.

Во-первых : Светлана Гайворонская и Денис Гамаюнов раскажут об обнаружении полиморфных шелкодесов (а стало быть и эксплойтесов) в сетевом трафике.

https://www.defcon.org/html/defcon-20/dc-20-speakers.html#Gaivoronski

Наброски этого доклада можно было увидеть на Рускрипто 2012, что тоже приятно.

Во-вторых, Александр Миноженко в секции коротких докладов Turbo Track расскжет об уязвимостях в VmWare vCenter.

https://www.defcon.org/html/defcon-20/dc-20-speakers.html#Minozhenko

Крайне отрадно, что это доклад был ранее представлен Алексеем Синцовым на Positive Hack Days в секции Fast Track http://www.phdays.ru/program/fasttrack!

Такими темпами, вскоре за "самым-самым"  надо будет ехать не Лас-Вагас, а к нам, на Колыму!

Ну и в конце, но не в последнюю очередь. C радостью обнаружил в списке доклдачиков числится Сергей Гордейчик, Денис Баранов и Глеб Грицай из Positive Technologies с таинственным спитчем "SCADA Strangelove or: How I Learned to Start Worrying and Love The Nuclear Plant". От этого назавания так и веет  юмором, холодной войной и катастрофой.

https://www.defcon.org/html/defcon-20/dc-20-speakers.html#Gordeychik

Сдается мне, там попахивает чем-то интересненьким. 0day или может даже не один?! Очень интригующе!

Так что держись Def Con, русские идут!

PS. http://scadastrangelove.blogspot.com/

Кибервойна, Flame и прочие ужасы

РЕН ТВ - Военная тайна  (2:20 и далее) о кибер-войне, Flame, атаках на SCADA.
Ваш покорный слуга в конце первого дня PHDays, что дает о себе знать :)

От ERP к SCADA. Туда и обратно. Две истории одного пентеста

В промышленных компаниях наиболее ценными ИТ-ресурсами являются системы АСУ ТП/SCADA и ERP-системы. Первые управляют процессом производства, вторые контролируют продажи и позволяют управлять бизнес-активностью. В последнее время наметилась тенденция с синергии данных систем, поскольку интеграция АСУ ТП и ERP позволяет повысить оперативность управления и прозрачность управления бизнесом. Однако с точки зрения безопасности наиболее ценные активы всегда были и объектами, с которым связаны максимально риски. В ходе доклада, на реальных примерах будут сценарии использования уязвимостей в системах АСУ ТП и ERP, а также возможные катастрофические последствия объединения этих двух подсистем, если в рамках подобных проектов не учитываются требования безопасности.

From ERP to SCADA and back

View more PowerPoint from qqlan

И мультики позаимствованные из презентации Евгении Шумахер:

PS. Все от начало до конца - выдумки. Совпадение с реальными системами - случайно.

PPS. Да, я люблю web-камеры. Ну что делать, если они везде?

PPPS. Ах, да. http://www.securitylab.ru/news/425974.php

Вирус для SCADA

_практически_ первый публичный вирус для SCADA/АСУТП

ESET: новый червь атакует промышленные компании

Siemens: New virus targets industrial secrets

Кстати, он еще и подписан.