Mitä tapahtuu SCADA-hunajapurkilla?
Internetiin kytketyt teollisuuden automaatiojärjestelmät ovat loistavia maaleja. Usein niissä ei ole käyttäjän tunnistusta eikä viestien salausta eli kuka tahansa verkossa oleva voi käskyttää laitteita. Jatkuvasti käynnissä olevia järjestelmiä ei ole myöskään ehditty päivittää sitten 80-luvun.
Kuin ottaisi lapselta tikkarin, jossa on sokeripallon tilalla tuotantolinjan ohjausjärjestelmä.
Internetillä oli SCADA-hunajapurkille paljon asiaa.
Tuhotaan historiatiedot, muunnellaan monitorinäkymää ja ajetaan tuotantolinjaa ylikierroksilla
Mitä keinoja hyökkääjällä olisi teollisuuden ohjausjärjestelmän varalta? Käytetään esimerkkinä SCADA-järjestelmää, jossa hyökkääjän kannalta on muun muassa seuraavia mielenkiintoisia osia:
- tuotantoloki (data historian),
- monitori (human-machine interface) ja
- ohjelmoitava logiikkapiiri (programmable logic controller).
Usein SCADA-ympäristöstä ei ole suoraa yhteyttä internettiin, jos Shodan.io:sta löytyviä kymmeniä tuhansia järjestelmiä ei oteta huomioon. Toimistoverkosta usein kuitenkin halutaan pääsy johonkin SCADA-verkon komponenttiin kuten lokiin tai monitoriin.
Tuotantoloki (Data Historian)
Tuotantoloki sisältää järjestelmän historiatietoja esimerkiksi laadun- ja suorityskyvyn valvonnasta. Järjestelmästä riippuen datan rahallinen arvo vaihtelee, mutta koska palvelimeen on usein pääsy toimistoverkosta, palvelee se hyvin hyökkääjän reittinä kohti arvokkaampia kohteita.
Teknisesti tuotantolokipalvelin on usein Windows-käyttöjärjestelmällä toimiva tietokantapalvelin eli haavoittuvainen siinä, missä tietokantapalvelimet yleensä. Lokipalvelin olisi tällöin myös kohtuu helppo kahdentaa jolloin myös päivitykset voitaisiin ajaa vuorotellen palvelimille tuotantoprosessia keskeyttämättä.
Valvomon monitori (human-machine interface, HMI)
Monitori (HMI) on valvomon näkymä tuotantoprosessiin. HMI on usein eristetty toimistoverkosta palomuurilla, jossa olisi hyvä olla hieman rajaavampi asetus kuin ANY <-> ANY, joka päästää kaiken liikenteen läpi. Hyvätkään palomuuriasetukset eivät tosin estä liikenteen tunnelointia, jonka vuoksi toimistoverkon puolella olevien koneiden suojaus korostuu.
Get Combitech Finland’s stories in your inbox
Join Medium for free to get updates from this writer.
HMI on hyökkääjälle astetta herkullisempi maali, koska sen avulla hyökkääjä voi syöttää valvomoon väärää tietoa, jonka pohjalta laitoksen oma henkilökunta saattaa aiheuttaa laitteille vahinkoa.
Ohjelmoitava logiikka (Programmable Logic Controller)
Hyökkääjän pääkohde on usein järjestelmän ohjelmoitava logiikka, jolla päästään vääntämään järjestelmä hyökkääjän haluamiin asetuksiin ohittaen järjestelmän turvalogiikka. Esimerkiksi Modbus-protokollassa käyttäjää ei tunnisteta, joten viimeisin komento jää voimaan.
Vuoden 2013 Black Hat -konferenssissa demottiin skenaariota, jossa hyökkääjä ajoi säiliön täyteen samalla näyttäen valvomomonitorissa, että säiliö olisi tyhjentymässä.
Suosittu kohde
Tutkiaksemme kiinnostusta SCADA-järjestelmiin, kytkimme Conpot-hunajapurkin internettiin. Internetin normaalin taustakohinan, kuten esimerkiksi tunneloinnin ja haavoittuvuusskannausten lisäksi hunajapurkki lokitti runsaasti modbus- ja s7-sessioita.
s7-sessioiden avauksia Yhdysvalloista
Modbus-yhteysyrityksiä Sveitsistä
Suojaus
Päivittämättömän laitteen ainoa suojaustapa on eristys, jolloin suojaustoimenpiteet kohdistetaan verkkoon ja siinä oleviin laitteisiin, esimerkiksi:
- Toimistoverkon ja SCADA-verkon välisen palomuurin asetusten tarkastus ja kiristäminen
- Turhien palveluiden sulkeminen ja SCADA-verkkoon pääsevien laitteiden rajaaminen
- SCADA-verkon eristäminen datadiodilla, joka sallii liikenteen vain toiseen suuntaan.
- Verkon valvominen havaitsemisjärjestelmällä (IDS, honeypot), joka tosin edellyttää ympäristön ja sen normaalin liikenteen tuntemista
- Kaikkien niiden laitteiden suojaus, joilla on pääsy SCADA-verkkoon.
Lopuksi todettakoon, että ei meidän suomalaistenkaan järjestelmät ole erityksissä. Alla on sähköautojen latausasema Helsingissä, ruutukaappaus Shodan.io:sta
Jyrki Luukko
@JyrkiLuukko
Cyber Intelligence Architect
Combitech Oy
