संख्या में SCADA सुरक्षा

परमाणु और पनबिजली स्टेशन, तेल और गैस पाइपलाइन, कारखाने, परिवहन नेटवर्क (मेट्रो और हाई-स्पीड ट्रेन), साथ ही मानवता के लिए महत्वपूर्ण कई अन्य प्रणालियां, विभिन्न कंप्यूटर प्रौद्योगिकियों द्वारा नियंत्रित की जाती हैं।

फ्लेम और स्टक्सनेट वायरस के साथ घटनाओं की एक श्रृंखला के बाद औद्योगिक प्रणालियों की सुरक्षा में व्यापक रुचि पैदा हुई है, जो साइबर युद्ध के युग के पहले लक्षण बन गए। रूस में, इस तरह की प्रणालियों की सुरक्षा पर ध्यान देने का एक और कारण है - प्रक्रिया नियंत्रण प्रणालियों (आईसीएस / एससीएडीए / पीएलसी) की सुरक्षा में सुधार के उद्देश्य से नियामकों की नई आवश्यकताएं।

पर्याप्त सुरक्षा उपायों का चयन करने के लिए यह समझना आवश्यक है कि साइबरक्रिमिनल के पास क्या क्षमताएं होती हैं और वे वैक्टर पर कौन से हमले कर सकते हैं। इन सवालों का जवाब देने के लिए, पॉजिटिव टेक्नोलॉजीज के विशेषज्ञों ने ICS / SCADA सुरक्षा अध्ययन किया। कटौती के तहत परिणाम।

अध्ययन का उद्देश्य 2005 से 1 अक्टूबर 2012 तक खोजी गई कमजोरियां थीं। संक्षेप में, विश्लेषण परिणामों के आधार पर, कई तथ्यों का उल्लेख किया गया है:

• 2012 के कई महीनों में, पिछले वर्ष की तुलना में अधिक एसीएस कमजोरियां पाई गईं: उनकी संख्या तेजी से बढ़ रही है।
• समस्याएं, हमेशा की तरह, सबसे लोकप्रिय उत्पादों में पाई जाती हैं, और लगभग 65% कमजोरियां गंभीर या गंभीर होती हैं।
• संयुक्त राज्य अमेरिका और यूरोप इंटरनेट से उपलब्ध आईसीएस प्रणालियों की संख्या में अग्रणी हैं, जबकि बाहर से सुलभ सभी SCADA प्रणालियों में से 40% असुरक्षित हैं और उन्हें हैक किया जा सकता है।
• इंटरनेट से उपलब्ध आईसीएस सिस्टम की अधिकांश सुरक्षा समस्याएं कॉन्फ़िगरेशन त्रुटियों (उदाहरण के लिए, मानक पासवर्ड) और अपडेट की कमी से जुड़ी हैं।

लेकिन पहले बातें पहले।

रूस में औद्योगिक नियंत्रण प्रणाली की मांग

किसी विशेष प्रणाली, प्रोटोकॉल, प्रौद्योगिकी या कार्यक्रम के साथ काम करने के अनुभव वाले विशेषज्ञों की मांग का आकलन करके प्रक्रिया नियंत्रण प्रणालियों के बाजार में विभिन्न निर्माताओं के शेयरों का प्रतिनिधित्व करना लगभग संभव है। विश्लेषण के लिए एक आधार के रूप में सांख्यिकी आधार रिक्तियों hh.ru लिया गया था। सबसे अधिक मांग वाले विशेषज्ञ सीमेंस समाधान के साथ काम करने के अनुभव वाले थे। छह सबसे आम उत्पादों में से चार सीमेंस SIMATIC परिवार के हैं:

• चरण 7 - पीएलसी (लगभग 22.05%) पर आधारित स्वचालन प्रणालियों का विकास,
• WinCC और WinCC लचीले - एक मानव-मशीन इंटरफ़ेस (क्रमशः 18.11% और 3.94%) का निर्माण,
• पीसीएस 7 - जटिल स्वचालन प्रणाली (7.87%) का निर्माण।

वंडरवेयर के इनटच एचएमआई (12.6%) और आइकनिक्स जेनेसिस सॉफ्टवेयर पैकेज (5.51%) भी शीर्ष पांच में शामिल हैं।



यदि हम डेटा ट्रांसफर प्रौद्योगिकियों पर विचार करते हैं, तो उनमें से सबसे लोकप्रिय मोडबस (आरटीयू और टीसीपी / आईपी) और प्रोफिबस / प्रॉफिनेट हैं, जो प्रत्येक 33% पर कब्जा करते हैं। इसके बाद ओपीसी (25%) आता है।

एसीएस टीपी के साथ उपयोग किए जाने वाले सभी ऑपरेटिंग सिस्टमों में, माइक्रोसॉफ्ट विंडोज एक व्यापक मार्जिन से आगे बढ़ता है, जिसके साथ इस क्षेत्र के अधिकांश विज्ञापनों में अनुभव की आवश्यकता होती है। क्यूएनएक्स और फ्रीआरटीओएस के ज्ञान को केवल रिक्तियों की एक छोटी संख्या में संकेत दिया गया है।

प्रोग्रामेबल लॉजिक कंट्रोलर्स (पीएलसी, पीएलसी) के सेगमेंट में, वे सबसे अधिक बार सीमेंस समाधान (लगभग 31 मिलियन) के विशेषज्ञों की तलाश में हैं। निम्नलिखित श्नाइडर इलेक्ट्रिक (11%), एबीबी (9%), एलन-ब्रैडली (7%) और एमर्सन (5%) उत्पाद हैं।

भेद्यता विश्लेषण

कमजोरियों को अक्सर डेवलपर्स की सहमति के बिना प्रकाशित किया जाता है, इसलिए, हमारे अध्ययन के लिए, हमने विभिन्न स्रोतों से डेटा का उपयोग किया, जैसे भेद्यता ज्ञान डेटाबेस और विक्रेता सूचनाएं, शोषण पैक, विशेष घटनाओं की रिपोर्ट, विषयगत साइटों और ब्लॉगों पर प्रकाशन। ।

यह ध्यान रखना दिलचस्प है कि 2005 और 2010 की शुरुआत के बीच, आईसीएस सिस्टम में केवल 9 कमजोरियों की खोज की गई थी, और 2011 में स्टक्सनेट कीड़ा और आगामी प्रचार के बाद 64 भेद्यताएं पाई गईं। 2012 के पहले आठ महीनों में, 98 नई कमजोरियां ज्ञात हुईं: यह पिछले सभी वर्षों की तुलना में अधिक है।

रिपोर्टिंग अवधि के दौरान कमजोरियों की सबसे बड़ी संख्या (42) सीमेंस द्वारा निर्मित स्वचालित प्रक्रिया नियंत्रण प्रणालियों के घटकों में खोजी गई थी। दूसरे स्थान पर ब्रॉडविन / एडेप्टेक सिस्टम (22) हैं। तीसरे पर - श्नाइडर इलेक्ट्रिक (18)। स्वचालित प्रक्रिया नियंत्रण प्रणालियों के मामले में एक समान तस्वीर, सामान्य रूप से सूचना प्रौद्योगिकियों में, इस तथ्य से समझाया जाता है कि सबसे आम समाधानों में कमजोरियों की सबसे बड़ी संख्या पाई जाती है। इसके अलावा, कई निर्माताओं ने हाल ही में सक्रिय रूप से अपने उत्पादों में कमजोरियों की खोज और उन्मूलन में शुरू किया है (एक उदाहरण सीमेंस उत्पाद है)।

सॉफ्टवेयर और आईसीएस के हार्डवेयर घटकों द्वारा कमजोरियाँ

साइबर अपराधियों के लिए सबसे दिलचस्प स्वचालित प्रक्रिया नियंत्रण प्रणाली के घटक हैं जैसे कि SCADA और मानव मशीन इंटरफ़ेस (HMI), जिसमें क्रमशः 87 और 49 कमजोरियों का पता लगाया गया था। रिपोर्टिंग अवधि के दौरान विभिन्न निर्माताओं के प्रोग्रामेबल लॉजिक नियंत्रकों में, 20 भेद्यताएँ पाई गईं।

कमजोरियों के प्रकार

लगभग एक तिहाई कमजोरियां (36%) बफर ओवरफ्लो (बफर ओवरफ्लो) से संबंधित हैं। यह सुरक्षा समस्या एक हमलावर को न केवल किसी प्रोग्राम की असामान्य समाप्ति या ठंड का कारण बनती है, जिससे सेवा से वंचित होना पड़ता है, बल्कि लक्ष्य प्रणाली पर मनमाने कोड को निष्पादित करना भी होता है। यदि हम सभी प्रकार की कमजोरियों को जोड़ते हैं, तो इसका शोषण हैकर को कोड निष्पादन (उदाहरण के लिए, बफर ओवरफ्लो, रिमोट कोड निष्पादन) चलाने की अनुमति देता है, तो हमें सभी कमजोरियों का लगभग 40% मिलता है। यह प्रमाणीकरण और कुंजी प्रबंधन (प्रमाणीकरण / कुंजी प्रबंधन) - लगभग 23% के साथ बड़ी संख्या में समस्याओं को ध्यान देने योग्य है।

स्वचालित प्रक्रिया नियंत्रण कमजोरियों का हिस्सा

अधिकांश सुरक्षा खामियों (81%) को तुरंत निर्माताओं द्वारा समाप्त कर दिया गया था - इससे पहले कि उनके बारे में जानकारी व्यापक रूप से ज्ञात हो, या 30 दिनों के भीतर जानकारी के अनजाने प्रकटीकरण के बाद। हालांकि, लगभग हर पांचवीं भेद्यता गंभीर देरी के साथ "बंद" थी, और कुछ मामलों में इसे समाप्त नहीं किया गया था।

स्वचालित प्रक्रिया नियंत्रण प्रणाली के विभिन्न निर्माताओं द्वारा सूचना सुरक्षा की विभिन्न समस्याओं को कितनी गंभीरता से लिया गया है, इसका स्पष्ट विचार "बंद" कमजोरियों के हिस्से के द्वारा दिया गया है। उदाहरण के लिए, सीमेंस ने 98% कमजोरियों के लिए अपडेट जारी किए और जारी किए, जबकि श्नाइडर इलेक्ट्रिक ने ज्ञात समस्याओं के आधे (56%) से थोड़ा अधिक ही समाप्त कर दिया।

हमले के लिए सूचना या सॉफ्टवेयर की उपलब्धता

सार्वजनिक डोमेन में भेद्यता या इसके बारे में जानकारी का दोहन करने के लिए तैयार उपकरण होने से एक सफल हमले की संभावना बढ़ जाती है। फिलहाल, ACS TP में प्रस्तुत सभी भेद्यताओं में से 35% के लिए, अलग-अलग उपयोगिताओं के रूप में वितरित किए जाने वाले कारनामे हैं, पेंट्स के लिए सॉफ़्टवेयर पैकेज का हिस्सा हैं, या भेद्यता सूचनाओं में वर्णित हैं। अन्य आईटी प्रणालियों के लिए एक समान संकेतक कई गुना कम है।

आमतौर पर, प्रकाशित भेद्यताओं की संख्या प्रकाशित कारनामों की संख्या से संबंधित होती है। 2011 और सितंबर 2012 की शुरुआत के बीच, 50 कारनामों को प्रकाशित किया गया था - 2005 से 2010 तक छह वर्षों में छह गुना अधिक।



2012 में दिखाई देने वाले कारनामों की अपेक्षाकृत कम संख्या दो कारकों के कारण है:

• प्रक्रिया नियंत्रण निर्माताओं और शोधकर्ताओं के बीच संबंधों को सुव्यवस्थित करना, जिम्मेदार प्रकटीकरण की नीति;
• भेद्यता के प्रकाशन और शोषण की रिहाई के बीच पारंपरिक देरी (इसके विकास के लिए अतिरिक्त लागतों की आवश्यकता होती है)।

पता चला कमजोरियों के जोखिम की डिग्री

सभी भेद्यताओं का लगभग 65% उच्च (CVSS v। 2 बेस स्कोर> 6.5) या महत्वपूर्ण जोखिम (शोषण उपलब्ध है) के रूप में वर्गीकृत किया गया है।


हालांकि, हमले के एहसास की एक ज्ञात पद्धति के अभाव में हमले की संभावना कम हो जाती है, लेकिन इसे पूरी तरह से बाहर नहीं किया जाता है, क्योंकि औद्योगिक सुविधाओं पर साइबर हमलों को अनुभवी उच्च-स्तरीय विशेषज्ञों की भागीदारी के साथ किया जाता है, जिन्हें अक्सर "शोषण पैक" और अन्य लोकप्रिय साधनों की आवश्यकता नहीं होती है।

अनारक्षित आईसीएस भेद्यता

कमजोरियां जिनके लिए पहले से ही एक शोषण है, लेकिन एक पैच अभी तक जारी नहीं किया गया है, सबसे बड़ा खतरा है, क्योंकि एक हमलावर को सिस्टम में घुसने के लिए गहन ज्ञान और लंबी तैयारी की आवश्यकता नहीं है। कोई भी छात्र जो दुर्व्यवहार करने का फैसला करता है, उसे भारी नुकसान हो सकता है। यहां सबसे खराब स्थिति श्नाइडर इलेक्ट्रिक आईसीएस उत्पादों के लिए है: 6 खुली कमजोरियों की खोज की गई थी। दूसरे स्थान पर जनरल इलेक्ट्रिक (तीन भेद्यताएं), एड्वेंचरटेक / ब्रॉडविन और रॉकवेल ऑटोमेशन ने तीसरा स्थान साझा किया है - उनमें से प्रत्येक में एक खुली भेद्यता है।

इंटरनेट पर आईसीएस सिस्टम का प्रचलन

एक हमलावर द्वारा इन सभी कमजोरियों का किस हद तक शोषण किया जा सकता है, यह समझने के लिए, असुरक्षित आईसीएस प्रणालियों की उपस्थिति के विषय पर एक इंटरनेट अध्ययन किया गया था। सिस्टम संस्करणों की खोज और सत्यापन निष्क्रिय विश्लेषण के तरीकों (गूगल, याहू, बिंग) और विशेष ज्ञान ठिकानों, जैसे कि ShodanHQ, हर रूटेबल आईपी प्रोजेक्ट का उपयोग करके किया गया था। प्राप्त जानकारी का विश्लेषण कॉन्फ़िगरेशन प्रबंधन और अद्यतन की स्थापना से संबंधित कमजोरियों के संदर्भ में किया गया था।

लगभग एक तिहाई आईसीएस सिस्टम, जिनमें से तत्व इंटरनेट से एक्सेस किए जाते हैं, संयुक्त राज्य अमेरिका (31.3%) में स्थित हैं। इटली एक व्यापक अंतर (6.8%) द्वारा दूसरा स्थान लेता है, दक्षिण कोरिया शीर्ष तीन (6.2%) को बंद करता है। रूस 2.3% के साथ 12 वें स्थान पर है, और पीआरसी में वैश्विक नेटवर्क से दिखाई देने वाली सभी आईसीएस प्रणालियों का केवल 1.1% है।



परिणाम अपेक्षित हैं, क्योंकि उपलब्ध प्रणालियों की संख्या सीधे बुनियादी ढांचे के स्वचालन की डिग्री पर निर्भर करती है।

औद्योगिक नियंत्रण प्रणाली के प्रकार

सबसे अधिक, वैश्विक नेटवर्क में SCADA-Systems (HMI सहित) के विभिन्न घटक मौजूद हैं। उनके पास सभी ज्ञात वस्तुओं का 70% हिस्सा है। उपलब्ध आईसीएस घटकों का एक और 27% प्रोग्राम लॉजिक नियंत्रक हैं। 3% मामलों में, विभिन्न नेटवर्क डिवाइस पाए गए जो औद्योगिक नियंत्रण प्रणालियों (हार्डवेयर) के नेटवर्क में उपयोग किए जाते हैं।

कमजोरियों के प्रकार

सबसे सामान्य सुरक्षा दोष (36% मामलों में पहचाना गया) कॉन्फ़िगरेशन त्रुटियों से संबंधित हैं। गलत पासवर्ड नीतियां शामिल हैं (उदाहरण के लिए, मानक इंजीनियरिंग पासवर्ड का उपयोग), महत्वपूर्ण जानकारी तक पहुंच, शक्तियों का गलत परिसीमन। कमजोरियों का एक चौथाई आवश्यक सुरक्षा अपडेट की कमी से संबंधित है।



विभिन्न देशों और क्षेत्रों में कमजोर आईसीएस प्रणालियों का प्रतिशत
सबसे कमजोर आईसीएस सिस्टम जो इंटरनेट से "दृश्यमान" होते हैं, स्विट्जरलैंड में हैं (100%)। इसके बाद चेक गणराज्य (86%) है, इसके बाद स्वीडन (67%) है। रूस में, बाहर से सुलभ आईसीएस प्रणाली के आधे हिस्से असुरक्षित हैं।

सबसे कम चिंता यूरोप में औद्योगिक नियंत्रण प्रणालियों की सुरक्षा के बारे में है: 54% औद्योगिक स्वचालन प्रणाली इस क्षेत्र में कमजोर हैं। दूसरे स्थान पर उत्तरी अमेरिका (39%), फिर एशिया (32%) है, जहां ताइवान और दक्षिण कोरिया में असुरक्षित सुविधाएं महत्वपूर्ण भूमिका निभाती हैं।