Уязвимости цепочки поставок угрожают безопасности промышленного IoT

Компании Промышленного Интернета вещей (IIoT) зависят от надежной цепочки поставок для обеспечения сырьем и компонентами, поддерживающими производственные линии. В то время как эти первичные цепочки поставок тщательно контролируются, вторая, часто упускаемая из виду цепочка доставляет само оборудование, питание IIoT-инфраструктуру. Из-за ограниченной прозрачности происхождение внутренних компонентов внутри IIoT-устройств трудно отследить, и многие приходят с эксплуатируемыми уязвимостями безопасности.

С одним IIoT-устройством, часто собранным из десятков глобальных поставщиков, риск встроенных уязвимостей умножается. Отчет Finite State 2019 Finite State Supply Chain Assessment отмечает, что компоненты проходят через множество слоев поставщиков и интеграторов перед интеграцией на плату, тестированием и отгрузкой OEM.

Реальные и множественные риски для IIoT-инфраструктур

Операторы сетей признают риски цепочки поставок, но определение конкретных уязвимостей сложно. IIoT-развертывания часто выходят за пределы стен производителя к перевозчикам, торговцам и партнерам. По мере роста сети растет шанс того, что вредоносный код распространится — и что казалось бы безобидная прошивка раскроет открытые порты.

Матт Уайкхаус, CEO Finite State, замечает, что многие встроенные системы содержат скрытые уязвимости, о которых владельцы активов не знают. Нарушение может стать опорной точкой для злоумышленников для проникновения в корпоративные системы, компрометации промышленных систем управления (ICS), производственных процессов и критических корпоративных данных. Проблема усиливается, когда обновления прошивки задерживаются или никогда не применяются.

Опрос ARC Advisory Group за июль 2019 года The State of Industrial Cybersecurity показал, что 26% респондентов считали угрозы третьих сторон, такие как риски цепочки поставок или партнеров, серьезной проблемой, в то время как 44% видели их как незначительную. Особенно, ransomware (70%) и целевые атаки (68%) могли быть запущены через нарушение цепочки поставок.

В том же опросе 28% респондентов чувствовали, что «очень вероятно» или «довольно вероятно», что их ICS станет целью. Irdeto 2019 Global Connected Industries Cybersecurity Survey раскрыл, что только 17% IoT-устройств, используемых крупными предприятиями, остались свободными от атак за прошлый год.

Для более подробной информации о безопасности IoT, зарегистрируйтесь на нашем IoT Security Summit в декабре.

Как компрометируются IIoT цепочки поставок

В отличие от традиционных сбоев цепочек поставок, останавливающих производство, нарушения IIoT скрытны, часто разворачивающиеся за недели или месяцы. Злоумышленники обычно компрометируют поставщиков IIoT второго уровня, проникают на их веб-сайты и заменяют легитимную прошивку на троянизированные версии. Сетевые администраторы могут неосознанно скачивать и развертывать эту вредоносную прошивку, давая злоумышленникам опорную точку внутри файрволов завода.

Однажды внутри, злоумышленники могут распространиться от промышленных сетей к корпоративным данным, создавая мультипликативный эффект. Старые устройства — датчики и компоненты, находившиеся на месте десять лет или больше — несут более высокие риски из-за устаревшей поддержки и патчинга. Исследование Finite State цитировало компонент Huawei, использувший версию OpenSSL 2003 года, хорошо документированную уязвимость.

Бэкдоры — будь то намеренные отладочные порты или скрытые точки доступа API — также могут служить входными маршрутами для вредоносных акторов. Во многих случаях производители оставляют эти порты открытыми для помощи поддержке, нечаянно предоставляя злоумышленникам легкий вход. Некоторые страны могут даже экспортировать продукты с намеренными бэкдорами для кражи интеллектуальной собственности.

Исследование из Школы инженерии Tandon Университета Нью-Йорка подчеркивает, что IoT остается в значительной степени нерегулированным в терминах стандартов безопасности. Владельцы устройств имеют мало контроля над вышестоящими цепочками поставок, и многие поставщики не раскрывают свои практики кибербезопасности.

Цели вредоносных акторов

Атаки часто нацелены на ransomware, который может остановить производство до выплаты выкупа. Сбои производственных линий — через измененные данные датчиков или небезопасные настройки машин — могут привести к дефектным продуктам и опасностям безопасности. Мартовский отчет 2020 года OT Security Best Practices предупредил, что такие нарушения угрожают человеческой безопасности, окружающей среде и национальным экономикам.

Высокопрофильные секторы — энергетика, электросети, нефть и газ, и все чаще здравоохранение среди пандемии — являются главными целями. Уайкхаус из Finite State отмечает растущие атаки ransomware на больницы, в то время как Байрес из Adolus идентифицирует медицинский сектор как новую цель-богатую среду.

Помимо финансовых мотивов, злоумышленники могут искать интеллектуальную собственность или использовать цепочку поставок как начальную опорную точку для проникновения в корпоративные сети.

Смягчение слабостей IIoT цепочки поставок

Эффективная защита начинается с комплексной инвентаризации всех IIoT-устройств. Следует оценка риска цепочки поставок, идентифицирующая макро-риски — такие как ransomware и кража данных — и оценивающая специфические уязвимости каждого устройства.

Рассмотрите изоляцию IIoT-трафика через air-gapping для разделения OT от IT сетей. Оцените поставщиков в точке закупки; безопасность вендора наиболее оцениваема закупкой. Для крупных закупок установите формальный процесс проверки для обеспечения последовательных стандартов безопасности.

Требуйте больше, чем заявление о безопасности — просите детальные отчеты безопасности или сторонние оценки. Используйте публичные ресурсы вроде Национальной базы данных уязвимостей NIST для перекрестной ссылки Common Vulnerabilities and Exposures (CVE).

Новые сервисы адресуют эти вызовы. Adolus, родившаяся из инициативы Департамента внутренней безопасности США, предлагает базу данных, отслеживающую родство устройств, происхождение компонентов и известные уязвимости. Finite State предоставляет инструменты анализа прошивки, обнаруживающие скрытые риски и переоценивающие профили риска после обновлений.