Onderzoeker vindt 23 SCADA-lekken in 4 uur
De software die voor energiecentrales, vliegvelden en fabrieken wordt gebruikt is zo onveilig dat één onderzoeker in één ochtend 23 voorheen onbekende beveiligingsproblemen heeft ontdekt. SCADA (Supervisory control and data acquisition) is het verzamelen, doorsturen, verwerken en visualiseren van meet- en regelsignalen van verschillende machines in grote industriële systemen.
Een SCADA-systeem bestaat uit een computer met daarop de SCADA-software. Aaron Portnoy van het beveiligingsbedrijf Exodus Intelligence besloot vanwege alle recente berichten over lekken in SCADA- systemen zelf de veiligheid van deze belangrijke software te testen.
Al na zeven minuten had Portnoy het eerste zero-day-lek te pakken. Uiteindelijk ontdekte de onderzoeker in de beperkte tijd die hij voor zijn onderzoek had uitgetrokken 23 kwetsbaarheden. Het gaat om de software van Rockwell Automation, Schneider Electric, Indusoft, RealFlex en Eaton Corporation. Via de kwetsbaarheden is het in het ergste geval mogelijk om het onderliggende systeem over te nemen. Ook kunnen aanvallers de systemen uitschakelen of saboteren.
Simpel
"het interessantste van deze lekken was hoe eenvoudig ze te vinden waren. De eerste te misbruiken zero-day duurde slechts 7 minuten om te ontdekken van het moment dat de software geïnstalleerd was. Voor iemand die door bedrijven en consumenten gebruikte software heeft geaudit, is SCADA in vergelijking absurd eenvoudig", merkt Portnoy op.
De kwetsbaarheden zijn inmiddels aan het Amerikaanse Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) overgedragen, die ze met de SCADA-leveranciers zal coördineren.
Ja maar dat werkt alleen in een beveiligd netwerk
Ja maar ,,,,,,,
Vul aan met andere smoesjes om er vooral niets aan te doen.
Dat zou inzichtvol heten, ware het niet dat er gewoonweg géén patches waren. Men patchte niet, want men zocht de vulnerabilities niet of deed alsof het niet uitmaakte.
In een ochtend kun je met 1 baksteen bij 23 huizen inbreken.
SCADA en onder liggende PLC's zijn nu eenmaal niet gemaakt om aan publieke infrastructuur te hangen.
Zolang dat niet gebeurd moet men er fysiek bij kunnen om er misbruik van te maken.
En als je er toch al fysiek bij kan, maakt geen enkele software beveiliging meer uit.
De fouten zit niet in het feit dat SCADA lek is, maar dat organisaties gemakzuchtig te veel functionaliteit op eenzelfde infrastructuur willen gebruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
