Безопасность АСУ ТП.

Добро пожаловать в прошлый век!

Евгений Зайцев

Ведущий консультант

ezaitsev@ptsecurity.ru

Agenda или «неудобные вопросы»

Почему так важно защищать АСУ ТП/SCADA?

А взломать можете?

А при чем тут SAP?

А у вас есть позитивный опыт?

Еще вопросы…

Почему так важно защищать АСУ ТП/SCADA?

3-ИЙ УРОВЕНЬ Рабочие станции и

серверы

2-ОЙ УРОВЕНЬ Контроллеры

1-ЫЙ УРОВЕНЬ Измерительные

приборы

АСУ ТП/SCADA

АРМ оператора Мониторинг и управление технологическими

процессами

Их чего состоит 3-ий уровень?

АРМ инженера Конфигурирование и написание «рецептов» для

управления контролерами

Исторический сервер Хранение информации о работе контроллеров,

датчиков и другой служебной информации

А еще есть межсетевые экраны (периметр технологической сети)

Знаете ли вы?

Уровень ИБ в АСУ ТП отстает на 10-15 лет*!

В большинстве случаев причина в незащищенном дизайне АСУ ТП!

* По данным отчета

Используется распространенное ПО

Большинство протоколов для АСУ ТП были разработаны без учета требований ИБ

Недостатки By Design

Системы АСУ ТП подвержены тем же атакам, что и традиционные системы!

PC-совместимые контроллеры

Из чего состоит 2-ий уровень?

Универсальные программируемые контроллеры

Программируемые реле

Почему нужно контролировать защищенность 2-ого уровня?

Большинство современных контроллеров управляются ОС

Общие киберугрозы

Хищение конф.

информации Саботаж АСУ ТП

А дальше … «Mamma Mia!»

Июль 2010 г. Вирусом Stuxnet заражены 43 операторских станции одной крупной госкомпания США. Через месяц была полностью потеряна информация всей ИС.

Апрель 2010 г. Специалистами энергетической компании LCRA, обслуживающей более 1 млн. человек в штате Техас, зафиксировано свыше 4800 попыток получения доступа к их компьютерной системе.

Ноябрь 2011 г. Хакеры взломали SCADA-систему одной из американских ГЭС. Из строя выведен насос, который использовался для водоснабжения.

2000 г. Хакеры сумели получить контроль над сетью крупнейшего в мире газопровода ОАО «ГАЗПРОМ»

А взломать можете?

1. Внешний веб-сайт - BIA

Уязвимость: отсутствие процессов обеспечения безопасности веб-приложений -> множественные уязвимости

Угроза: получение НСД к сайту, ОС и СУБД

Заказчик: сайт не представляет бизнес-ценности

Риск: незначительный?

Ищем на ERIPP.COM

WinCC Flexible - default password Administrator/100

Ищем в Google

CoDeSys WebVisualization – Web сервер Codesys (Java)

Google hack : inurl:/plc/webvisu.htm *dsec

Ищем на shodanhq.com

http://www.shodanhq.com/search?q=QJ71WS96

MELSEC System Q – PLC

QJ71WS96 Web Module

User/Password: QJ71WS96/ MITSUBISHI

http://www.shodanhq.com/search?q=ewon

Gateway for EIP - DF1 Allen-Bradley PLC

User/Password: adm/adm

2. Рабочая станция - BIA

Уязвимости: • отсутствие ограничений сетевого доступа

• отсутствие контроля конфигураций и учетных записей рабочих станций

• неэффективный процесс управления обновлениями

Угроза: получение прав другого пользователя, удаленный доступ к рабочей станции

Заказчик: ситуация нетипична

Риск: незначительный????!!!!!!

История подключения устройств

Apple iPhone

Apple iPad

Флешка

Sony PSP

А причем тут SAP?

SAP и SCADA

SAP – основной потребитель данных с датчиков АСУ ТП

Частая интеграция со SCADA. В SAP передаются: • либо исходные данные

• либо агрегированные данные

SAPу безоговорочно верят

Данные могут быть изменены и на стороне SAP

От АСУ ТП до ERP не так далеко…

SAP

Необходим контроль на всех уровнях

предоставления информации!

источники

агрегатор

SCADA

3. SAP - BIA

Уязвимости: • отсутствие защиты от MITM-атак

• использование незащищенных протоколов (SAP DIAG) без дополнительной защиты

Угроза: получение НСД к SAP с правами пользователя

Заказчик: большинство сотрудников имеют доступ к SAP, права ограничены

Риск: незначительный????!!!!!!

А у вас есть позитивный опыт?

Критичность и динамика обнаружения уязвимостей в АСУ ТП системах

1 3 5 12

59

95

2005 2007 2008 2010 2011 2012

Stuxnet

Duqu

Востребованность специалистов по АСУ ТП

STEP7 (Siemens)

22%

WinCC (Siemens)

18%

Intouch (Wonderware)

13%

PCS7 (Siemens)

8%

Genesis (Iconics)

5%

WinCC Flexible

(Siemens) 4%

iFIX (Intellution)

4%

Другие 26%

По данным www.hh.ru

Результаты наших исследований

>50 уязвимостей обнаружено • Client-side (XSS, CSRF etc)

• SQL/XPath injections

• Arbitrary file reading

• Username/passwords disclosure

• Weak encryption

• Hardcoded crypto keys

• …

Результаты • Частично устранены вендором

• Частично на этапе устранения в Siemens Product CERT

Спасибо Positive Technologies!

Мы пошли дальше!

Стандарт конфигурации SIMATIC WinCC

Поддержка SCADA в MaxPatrol

И дальше!

Поддержка протоколов: ModBus/S7/DNP3/OPC

Детект устройств

Schneider Electric SAS

TSXETY5203 V4.5

А так же

Поиск уязвимостей PLC/SCADA/MES

Встроенные (безопасные) профили для SCADA

Проверки конфигурации SCADA

Проверки HMI Kiosk mode

Проверки доступа в интернет

Черные/Белые списки

Антивирусы/HIPS проверки

Выводы

АСУ ТП отделена от сети: МИФ!

• Без постоянного контроля в этом нельзя быть уверенным

• Интеграция ERP и SCADA создают бизнес-мотивацию объединения сетей

SCADA и ERP слишком сложны, чтобы их так просто взломать: МИФ!

• Чем сложнее система, тем

больше в ней нюансов,

больше уязвимостей,

выше требования к персоналу

Windows управляет миром

SCADA, в большинстве случаев

– это ПО под ОС WINDOWS

АРМ используется для разных задач

Выводы

Нет незначительных уязвимостей!

• Эксплуатируются тривиальные и распространённые уязвимости

• Для принятия риска надо четко понимать возможные последствия и векторы атак

Все устранить невозможно!

• Но возможно:

понять и осознать текущий уровень защищенности,

выбрать наиболее эффективные защитные меры,

повысить уровень защищенности

Ваши вопросы…

Евгений Зайцев

Ведущий консультант

ezaitsev@ptsecurity.ru

Зачем это нужно?...

Федеральный закон Российской Федерации от 21 июля 2011 г. N 256-ФЗ "О

безопасности объектов топливно-энергетического комплекса"

…

Статья 11. Обеспечение безопасности информационных систем объектов топливно-

энергетического комплекса

1. В целях обеспечения безопасности объектов топливно-энергетического комплекса

субъекты топливно-энергетического комплекса создают на этих объектах системы

защиты информации и информационно-телекоммуникационных сетей от

неправомерных доступа, уничтожения, модифицирования, блокирования

информации и иных неправомерных действий и обеспечивают функционирование

таких систем. Создание таких систем предусматривает планирование и реализацию

комплекса технических и организационных мер, обеспечивающих в том числе

антитеррористическую защищенность объектов топливно-энергетического комплекса.

…

Распределенность и масштабирование

3-ИЙ УРОВЕНЬ Рабочие станции и

серверы

2-ОЙ УРОВЕНЬ Контроллеры

1-ЫЙ УРОВЕНЬ Измерительные

приборы

АСУ ТП и MaxPatrol

Контроль соответствия требованиям ИБ