В профессиональной среде, занимающейся разработкой встраиваемых систем, решений для Интернета вещей и «умных» устройств, практически не развита культура киберзащиты аппаратной составляющей таких продуктов. Об этом свидетельствует исследование «Атаки на встраиваемые системы», проведённое компанией BI.ZONE.

По мнению экспертов BI.ZONE, безопасность аппаратного обеспечения современных вычислительных устройств находится в крайне плачевном состоянии, и такое положение дел делает уязвимой практически любую IT-инфраструктуру.

«Можно провести прямые параллели с состоянием безопасности ПО 20 лет назад: надлежащий аудит отсутствует, редкие специалисты понимают, как разрабатывать защищённое «железо», не сформирован образ мышления, подразумевающий необходимость проверки безопасности аппаратной части, — говорят исследователи. — Ситуация усугубляется тем, что уязвимости в «железе» нельзя исправить выпуском обновления, как это делается с софтом. Производитель здесь не поможет: допущенные ошибки останутся на весь срок эксплуатации устройства, а это может быть и десять лет, и пятнадцать, и больше, что категорически неприемлемо для критически важной инфраструктуры».

Классификация атак на встраиваемые системы (источник: BI.ZONE)

В опубликованном BI.ZONE отчёте подчёркивается, что от безопасности аппаратной части зависят многие отрасли. Дешёвые копии сложного продукта могут разорить компанию-инноватора, сбой автоматизированных систем управления грозит в лучшем случае простоем производства, а незаконное манипулирование светофорами, медицинским оборудованием, диспетчерскими системами в авиации и на железной дороге способны привести к катастрофическим последствиям для общества. Всё это свидетельствует о серьёзности ситуации и необходимости проактивного подхода в вопросе безопасности аппаратного обеспечения, как на уровне отдельного разработчика «железа», так и индустрии в целом.

Подробнее с результатами исследования компании BI.ZONE можно ознакомиться на сайте bi.zone/research/attacks_on_hardware. Документ будет интересен всем, кто так или иначе связан со встраиваемыми системами: программистам, специалистам электронной и компьютерной инженерии, администраторам и руководителям.

Материалы по теме:

• Атаки в киберпространстве происходят каждые 14 секунд;
• Cisco Systems представила защищённое оборудование Heavy Duty для IoT-сетей;
• Выявлены опасные «дыры» в платформе управления производственными процессами B&R APROL.

Источник:

• bi.zone

Компания Positive Technologies сообщает об обнаружении опасных уязвимостей в системе управления производственными процессами APROL австрийской компании B&R Automation.

Названная платформа применяется в различных отраслях. Это, в частности, нефтегазовая, энергетическая и машиностроительная сферы. Кроме того, система востребована в ряде других областей.

Итак, сообщается, что «дыры» выявлены в двенадцати компонентах системы APROL. Так, найдены ошибки доступа к памяти в компоненте TbaseServer, ошибки в компонентах AprolLoader и AprolSqlServer, SQL-инъекции в системе контроля и учёта энергопотребления EnMon, возможность внедрения произвольных команд в веб-сервере.

«Возможность выполнения произвольного кода в операционной системе компонентов АСУ ТП позволяет злоумышленнику негативно влиять на технологический процесс. Например, атакующий может несанкционированно отправлять команды управления оборудованием, изменять параметры конфигурации, в том числе программные алгоритмы. Такие изменения могут привести к нештатному режиму работы вплоть до возникновения аварийной ситуации на производстве», — говорят специалисты Positive Technologies.

Впрочем, нужно отметить, что обнаруженные уязвимости уже устранены. Для обеспечения безопасности пользователям APROL необходимо инсталлировать последнюю версию системы. 

Работающая на рынке IT-безопасности компания «Смарт Лайн Инк» анонсировала новый сервис, использующий технологии машинного обучения и системы искусственного интеллекта на базе нейронных сетей для поиска уязвимостей систем хранения данных в корпоративной среде, мониторинга мошеннических ресурсов и активностей в DarkNet.

Разработанное «Смарт Лайн Инк» решение осуществляет проверку внешней серверной инфраструктуры, а также выявление недостатков в реализации систем хранения информации. В рамках регулярных обследований проводится поиск серверов с текущими или архивными данными, журналами информационных систем, а также анализ обнаруженных данных с помощью механизмов машинного обучения на наличие в них чувствительной информации, включая персональные данные, информацию с признаками коммерческой тайны и другие сведения. Кроме того, ИИ осуществляет постоянный мониторинг предложений о продаже данных в группах Telegram, на различных закрытых площадках и форумах, а также ресурсах в DarkNet.

По итогам мониторинга система формирует отчёт с указанием выявленных открытых данных и уязвимостей, а также рекомендаций специалистов компании «Смарт Лайн Инк» по их устранению. Также возможно оперативное уведомление владельца данных непосредственно в момент обнаружения открытых ресурсов — по электронной почте или через мессенджеры.

По словам представителей разработчика «Смарт Лайн Инк», проблема доступа к базам данных организаций через уязвимости или ошибки конфигурации приобретает всё большую актуальность. «Если раньше такие базы копировались и выставлялись на продажу, то теперь хакерские группировки стали уничтожать данные и требовать у владельцев выкуп», — говорится в заявлении компании.

Материалы по теме:

• Вышла новая версия системы контроля рабочих станций сотрудников StaffCop Enterprise 4.0;
• DLP-система Solar Dozor 6.4 получила новые инструменты расследования инцидентов;
• InfoWatch разработала платформу для интеграции DLP-системы и корпоративных решений сторонних производителей.

Источник:

• devicelock.com

Компания «Ростелеком-Solar», занимающаяся разработкой продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью, выпустила новую версию сканера программного кода Solar appScreener 3.1 (прежнее название — Solar inCode).

Solar appScreener представляет собой инструмент статического анализа кода, предназначенный для выявления уязвимостей и недекларированных возможностей (НДВ) в программных продуктах. Поддерживается анализ приложений, написанных более чем на 25+ языках программирования или скомпилированных в одном из 7 различных расширений исполняемых файлов, в том числе для Windows, macOS, Android и iOS. Доступна интеграция с различными средами разработки, средствами автоматизированной сборки ПО и системами отслеживания ошибок. Продукт можно развернуть как на собственных вычислительных мощностях организации, так и пользоваться им как сервисом, доступным из облака компании «Ростелеком-Solar».

Обновлённый программный комплекс Solar appScreener 3.1 получил улучшенный пользовательский интерфейс, функции разделения ролей комментирования и редактирования результатов сканирования, поддержку языков TypeScript и VBScript, расширенную базу правил поиска уязвимостей и усовершенствованные инструменты обработки результатов анализа кода. Кроме того, в продукте реализована поддержка Apeх — языка самой популярной в мире CRM-системы Salesforce.

Solar appScreener внесён в реестр отечественного ПО, сертифицирован ФСТЭК России на соответствие требованиям к программному обеспечению по 4 уровню контроля отсутствия НДВ и может использоваться для замещения зарубежных аналогов. Более подробную информацию о возможностях продукта можно найти на сайте разработчика rt-solar.ru.

Материалы по теме:

• Microsoft выпустила пакет средств разработки для квантовых компьютеров;
• Сканер программного кода Solar inCode получил сертификат ФСТЭК России;
• Эксперты: российский рынок разработки ПО демонстрирует рост при острой нехватке инвестиций.

Источник:

• rt-solar.ru

Исследование, проведённое компанией Positive Technologies, говорит о том, что число уязвимостей в автоматизированных системах управления технологическим процессом (АСУ ТП) за последний год резко выросло.

Отмечается, что общее количество компонентов АСУ ТП, доступных в Интернете, в 2018-м поднялось на 27 % и теперь составляет более 220 тысяч. Наибольшее число таких систем находятся в США (95 661), Германии (21 449) и Китае (12 262).

Любопытно, что Россия демонстрирует одни из самых высоких в мире темпов роста количества компонентов АСУ ТП, доступных через Сеть: число таких объектов подскочило с 892 в 2017 году до 3993 в 2018-м.

Вместе с тем ухудшается и ситуация с безопасностью. Количество обнаруженных уязвимостей в компонентах АСУ ТП за год поднялось практически на треть — на 30 %.

Более половины «дыр» (58 %) позволяют атакующему оказывать комплексное воздействие на устройство — нарушить конфиденциальность, целостность и доступность. Ситуация усугубляется тем, что в большинстве случаев злоумышленнику не требуется никаких специальных условий, чтобы осуществить атаку.

Около 75% уязвимостей связаны с возможным нарушением доступности (полным или частичным) компонентов АСУ ТП. Эксплуатация таких уязвимостей, к примеру, в сетевом оборудовании может негативно повлиять на технологический процесс, нарушив передачу команд между компонентами.

Говорится также, что во многих случаях проблема связана с некорректной аутентификацией или избыточными правами. Зачастую такие «дыры» могут эксплуатироваться удалённо.

Более подробную информацию об исследовании можно найти здесь. 

Компания Positive Technologies опубликовала результаты исследования, посвящённого анализу безопасности веб-приложений в 2018 году: ситуация в данной сфере оставляет желать много лучшего.

Отмечается, что в среднем на одно веб-приложение приходится 33 уязвимости. Причём шесть из них имеют высокий уровень риска, то есть их эксплуатация злоумышленниками может привести к серьёзным последствиям.

Исследование показало, что число критически опасных «дыр», которые приходятся на одно веб-приложение, по сравнению с 2017 годом выросло в три раза. После двухгодичного курса на снижение доли веб-приложений, содержащих уязвимости высокого уровня риска, она вновь выросла и достигла 67 %.

Персональные данные хранятся и обрабатываются почти в каждом исследованном веб-приложении (91 %). При этом возможность хищения личной информации пользователей существует в 18 % веб-приложений, где осуществляется обработка таких сведений.

Утечка конфигурационной и отладочной информации, исходных кодов, идентификаторов сессий, а также другой чувствительной информации возможна в 79 % веб-приложений.

Приблизительно каждое пятое веб-приложение (19 %) позволяет злоумышленнику получить контроль над операционной системой сервера. Если такой сервер находится на сетевом периметре организации, злоумышленник может проникнуть во внутреннюю сеть компании.

Специалисты отмечают, что в большинстве случаев веб-приложения уязвимы из-за ошибок в коде. Более подробно с результатами исследования можно ознакомиться здесь. 

Компания Positive Technologies сообщает об обнаружении опасных уязвимостей в промышленных коммутаторах Phoenix Contact: для эксплуатации этих «дыр» злоумышленникам не обязательно иметь высокую квалификацию.

Phoenix Contact

Выявлены уязвимости разного класса. Одна из наиболее опасных «дыр» позволяет атакующим осуществить межсайтовую подмену запроса для выполнения произвольных команд в веб-интерфейсе коммутатора от лица легитимного пользователя.

Ещё одна серьёзная проблема связана с отсутствием у коммутаторов функции тайм-аута входа в систему. Это позволяет злоумышленникам получить доступ к устройству путём перебора паролей по словарям.

Другая «дыра» обеспечивает возможность совершения атак типа «отказ в обслуживании». Атакующий также может перехватить учётные данные пользователя, которые передаются в открытом виде при заводских настройках веб-интерфейса.

«Успешное использование этих недостатков может привести к нарушению технологического процесса, вплоть до его полной остановки. Злоумышленник может перехватить учётные данные пользователя, а затем, перенастроив коммутатор, отключить на нём порты, в результате чего может нарушиться сетевое взаимодействие между компонентами АСУ ТП», — говорят специалисты Positive Technologies.

Для устранения проблем необходимо обновить прошивку уязвимых устройств до версии 1.35 или выше. 

Компания Microsoft выпустила объёмный набор патчей, устраняющих уязвимости в операционных системах Windows и Windows Server различных редакций, браузерах Edge и Internet Explorer, пакете офисных приложений Office, платформах SharePoint, Exchange Server, Visual Studio, .NET Framework, .NET/ASP.NET Core и других программных продуктах.

Согласно представленным на сайте технического ресурса Microsoft TechNet сведениям, всего специалистами софтверного гиганта было закрыто полсотни брешей, в том числе критически опасных, теоретически допускающих возможность несанкционированного доступа к удалённому компьютеру и выполнения на нем произвольного вредоносного кода.

Сводная информация по количеству и типу исправленных уязвимостей в продуктах Microsoft

В виду опасности ряда обнаруженных «дыр», Microsoft рекомендует пользователям и IT-администраторам не затягивать с инсталляцией апдейтов и установить их при первой же возможности.

Самую полную и актуальную информацию об уязвимостях и обновлениях безопасности ПО Microsoft можно найти на портале Security Update Guide.

Материалы по теме:

• Исследование: 66 % утечек данных из организаций происходят из-за ошибок персонала;
• InfoWatch озвучила прогнозы по информационной безопасности на 2019 год;
• Скрытый криптомайнинг продолжит набирать обороты в 2019 году.

Источник:

• Microsoft TechNet

Компания Positive Technologies сообщает об обнаружении ряда серьёзных уязвимостей в системах управления производственными процессами: «дыры» теоретически позволяют удалённому злоумышленнику получить контроль над оборудованием и даже вывести его из строя.

Проблемы затрагивают контроллеры Schneider Electric — решения Modicon Premium, Modicon Quantum, Modicon M340 и Modicon BMXNOR0200. Это оборудование применяется в самых разных областях, в частности, в аэропортах, в нефтехимической и цементной отраслях, в металлургии, энергетике, водоснабжении и пр.

Сообщается, что одна из уязвимостей позволяет атакующему с помощью CGI-запросов обойти механизм авторизации на встроенном веб-сервере перечисленных контроллеров. Ещё одна брешь даёт возможность выполнить произвольный код на веб-сервере контроллеров BMXNOR0200.

Кроме того, выявлены «дыры», способные спровоцировать переполнение буфера, что может обернуться отказом в обслуживании. Наконец, обнаружена брешь, позволяющая получить несанкционированный доступ к файловой системе, однако ей подвержены только контроллеры серии Modicon Quantum.

«Наличие этих уязвимостей на критически важных производственных объектах повышает риск нарушения непрерывности технологических процессов, аварий, мошенничества и других неприятных последствий», — говорят эксперты. Компания Schneider Electric уже обнародовала рекомендации по устранению проблем. 

Компания Positive Technologies сообщает об обнаружении опасных уязвимостей в мобильных POS-терминалах (mPOS). Проблема затрагивает системы ведущих производителей Европы и США — Square, SumUp, iZettle и PayPal.

Терминалы mPOS позволяют принимать к оплате банковские карты везде, где есть сотовая связь.

Обнаруженные «дыры» связаны с использованием беспроводного соединения Bluetooth. Злоумышленники могут получить доступ к Bluetooth-трафику и изменить сумму, которая до этого отображалась на mPOS, а покупатель, сам того не зная, подтвердит оплату на совершенно другую сумму.

«Кроме того, на некоторых mPOS была выявлена возможность отправки специальных команд, которые могут использоваться в целях мошенничества и влиять на действия покупателя. Неблагонадёжный продавец может, например, вынудить покупателя использовать менее защищённый способ оплаты (через магнитную полосу карты) или сказать, что платёж отклонён, заставив его таким образом произвести оплату ещё раз», — пишет Positive Technologies.

Говорится также, что в ряде mPOS присутствует уязвимость, обеспечивающая возможность удалённого выполнения произвольного программного кода. Её эксплуатация позволяет получить полный контроль над операционной системой устройства, считывающего данные банковской карты.