工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

admin 2022年6月22日22:38:05安全新闻评论6 views2728字阅读9分5秒阅读模式
工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

点击上方蓝字关注我们测评你的薪资


关注用户弹出对话框开始测评
工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞
已关注用户点击下方即可测评

工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞


工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞


安全研究人员在10家OT供应商的产品中发现56个冰瀑漏洞。

工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞


根据Forescout昨日发布的“冰瀑漏洞”(IceFall)工控安全报告,安全研究人员在10家OT供应商的产品中发现56个冰瀑漏洞,这些漏洞表明:工控安全在设计层面就存在根本性的重大问题。

报告指出,受冰瀑漏洞影响的制造商包括本特利内华达(GE Bently Nevada)、艾默生电气(Emerson)、霍尼韦尔(Honeywell)、捷太格特(JTEKT)、摩托罗拉、欧姆龙、菲尼克斯电气(Phoenix Contract)、西门子和横河电机(Yokogawa)。受影响产品列表如下:

  • 本特利内华达–3700,TDI设备–状态监测器

  • 艾默生–DeltaV–分布式控制系统

  • 艾默生–Ovation–分布式控制系统

  • 艾默生–OpenBSI–工程工作站

  • 艾默生–ControlWave、BB 33xx、ROC–远程终端单元

  • 艾默生–Fanuc,PACsystems–可编程逻辑控制器

  • 霍尼韦尔–Trend IQ–楼宇控制器

  • 霍尼韦尔–安全经理FSC–安全仪表系统

  • 霍尼韦尔–Experion LX–分布式控制系统

  • 霍尼韦尔–ControlEdge–远程终端单元

  • 霍尼韦尔–Saia Burgess PCD–可编程逻辑控制器

  • JTEKT–Toyopuc–可编程逻辑控制器

  • 摩托罗拉–MOSCAD、ACE IP网关–远程终端单元

  • 摩托罗拉–MDLC–协议

  • 摩托罗拉–ACE1000–远程终端单元

  • 摩托罗拉–MOSCAD工具箱STS–工程工作站

  • 欧姆龙–SYSMAC Cx系列、Nx系列–可编程逻辑控制器

  • 菲尼克斯电气–ProConOS–逻辑运行时

  • 西门子–WinCC AO–监控和数据采集(SCADA)

  • 横河电机–STARDOM–可编程逻辑控制器

根据报告,56个冰瀑漏洞大致分为四类:

  • 不安全的工程协议

  • 弱加密或损坏的身份验证方案

  • 不安全的固件更新

  • 通过本机功能远程执行代码(RCE)

最常见的漏洞类型是凭据窃取(38%),其次是固件操作(21%)、远程代码执行RCE(14%)和配置操作(8%)。报告还列出了少量DoS、身份验证绕过、文件操作和逻辑操作错误(下图):


工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞


“通过冰瀑漏洞的大规模披露,希望能对工控OT网络安全设计漏洞进行定量描述和分析,而不是过去针对单个产品的周期性漏洞爆发或某个供应商或资产所有者偶发的‘过错’,后者经常被忽视。”Forescout解释道。

Forescout透露,受冰瀑漏洞影响的产品系列中有74%通过了某种形式的安全认证,并认为如果制造商之前进行了深入的漏洞扫描,报告所揭示的大多数问题应该相对快速、轻松地被发现。

除了冰瀑漏洞,报告还指出工控安全当下存在六大常见风险:

  • 不安全的设计漏洞比比皆是:报告披露的漏洞中超过三分之一(38%)允许破坏凭据,固件操作位居第二(21%)和远程代码执行位居第三(14%)。设计不安全问题的主要例子是与未经身份验证的协议相关的九个漏洞,但我们还发现了许多损坏的身份验证方案,这些方案在实施时表现出低于标准的安全控制。

  • 易受攻击的产品通常经过认证:受冰瀑漏洞影响的产品系列中有74%具有某种形式的安全认证,报告的大多数问题应该在深入的漏洞发现过程中相对较快地发现。导致此问题的因素包括有限的评估范围、不透明的安全定义以及对功能测试的关注。

  • 由于缺乏CVE,风险管理变得复杂:仅知道设备或协议不安全是不够的。为了做出明智的风险管理决策,资产所有者需要知道这些组件是如何变得不安全的。不安全设计导致的问题并不总是能够分配CVE,因此经常被忽视。

  • 存在设计不安全的供应链组件:OT供应链组件中的漏洞往往不会被每个受影响的制造商报告,这导致了风险管理的困难。

  • 并非所有不安全的设计都是平等的:报告研究了通过本机功能在1级设备上获得RCE的三种主要途径:逻辑下载、固件更新和内存读/写操作。所分析的系统都不支持逻辑签名,并且大多数设备(52%)将其逻辑编译为本机机器代码。这些系统中有62%接受通过以太网下载固件,而只有51%具有此功能的身份验证。

  • 攻击性能力的开发比想象的更容易达成:对单个专有协议进行逆向工程需要1天到2人工周,而对于复杂的多协议系统则需要5到6个人工月。这意味着,针对OT的恶意软件或网络攻击可以由一个规模小但技术娴熟的团队以合理的成本开发。


总结:工控安全威胁态势迅速恶化

报告揭示了当前工控安全的多层面问题:从安全认证产品中持续存在不安全设计,到拙劣的安全防御实践。糟糕的漏洞管理以及提供虚假安全感的安全认证正在使OT风险管理工作变得异常复杂和艰难。此外,行业的不透明性正在损害OT产品的安全性。许多不安全的设计问题并未分配CVE,因此经常被忽视并继续使用。

当前阶段,各种证据显示工控安全威胁态势正在快速恶化。通过将OT连接到物联网和IT设备,曾经因为不联网而被忽视的漏洞现在已经成为对攻击者非常有吸引力的目标。

参考链接:

https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/


声明:本文来自GoUpSec,版权归作者所有。文章内容仅代表作者独立观点,不代表安圈评立场,转载目的在于传递更多信息。如有侵权,请联系 下方微信。



工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞



工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞
工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

安圈评现有人才资源群,有公司招聘和人员求职

高端人才共享群:①②③④

区域人才共享群:华南、华中、华东、西南、西北、东北、京津冀①②

进群请扫下方二维码 (备注公司全称+姓名)

如需发布公司招聘信息,请联系微信

找工作的小伙伴也可以联系我们哦(求职信息会在保护个人信息的前提下发布

工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞




工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

往期推荐

揭秘:俄乌冲突一线的美国网络防御支援小组

重磅!美国司法部修订法律,不再起诉白帽黑客行为

勒索软件攻击已造成国家危机!该国总统说:有内鬼配合

“白菜价”木马或将引发恶意软件价格战

勒索软件不只是赎金,还有更多的隐性成本

生活中的垃圾短信应该如何屏蔽

企业SaaS应用中的十大数据访问风险

网络安全行业低价中标到底行不行?

400万以下项目不用公开招标了吗?

俄罗斯多个联邦政府网站遭遇供应链攻击:显示篡改内容

针对乌克兰的数据擦除攻击盛行!第四个新样本被发现

循序渐进!开展零信任建设时应做好的16项准备

国务院:不符合网络安全要求的政务信息系统未来将不给经费

生活中的垃圾短信应该如何屏蔽

韩国加入北约网络防御中心 成首个加入的亚洲国家

欧洲刑警组织:Deepfakes对网络安全和社会的威胁越来越大


工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

点个在看你最好看


原文始发于微信公众号(安圈评):工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月22日22:38:05
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  工控安全火山爆发:“冰瀑”报告披露56个重大OT漏洞 https://cn-sec.com/archives/1136041.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: