Использование Cnspec для обнаружения устаревшей прошивки и ошибок конфигурации на PLCnext Control

В качестве примера возьмем PLCnext Control AXC F 2125 от Phoenix Contact, основанный на процессоре ARM Cortex-A9 и имеющий систему выполнения IEC 61131. Cnspec — инструмент с открытым исходным кодом, предлагающий различные варианты сканирования Linux-базированного PLCnext Control для обнаружения старой прошивки и ошибок конфигурации. Это руководство предоставляет пошаговые инструкции для сканирования PLCnext Control через провайдер SSH cnspec.

1. Установите cnspec на ваш ноутбук (Руководство по установке)

2. Проверьте соединение и установите оболочку cnspec к PLCnext Control, выполнив следующую команду:

   cnspec shell ssh admin@192.168.1.10 --ask-pass 

3. Выполните следующую MQL-команду внутри оболочки cnspec:

   file("/etc/plcnext/arpversion").content 

Как мы видим, мы смогли подключиться через SSH к PLCnext Control и выполнить первую MQL-команду.

→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default Enter password: → discover related assets for 1 asset(s) → resolved assets resolved-assets=1 ___ _ __ ___ _ __ ___ ___ / __| '_ \/ __| '_ \ / _ \/ __| | (__| | | \__ \ |_) | __/ (__ \___|_| |_|___/ .__/ \___|\___| mondoo™ |_| cnspec> file("/etc/plcnext/arpversion").content file.content: "Arpversion: 23.0.0.65 GIT Commit Hash: d755854b5b21ecb8dca26b0a560e6842a0c638d7 Build Job: \"jenkins-PLCnext-Yocto_Targets-Yocto_AXCF2152-release%2F23.0.x-65\" " 

4. Скачайте политику PLCnext Technology из публичного репозитория cnspec-policies для выполнения базовой проверки безопасности, выполнив следующую команду:

   git clone https://github.com/mondoohq/cnspec-policies Cloning into 'cnspec-policies'... remote: Enumerating objects: 1075, done. remote: Counting objects: 100% (149/149), done. remote: Compressing objects: 100% (84/84), done. remote: Total 1075 (delta 75), reused 115 (delta 61), pack-reused 926 Receiving objects: 100% (1075/1075), 699.81 KiB | 402.00 KiB/s, done. Resolving deltas: 100% (690/690), done. 

5. Выполните следующую команду для запуска полного сканирования безопасности на PLCnext Control через SSH:

   cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass 

Полный вывод должен выглядеть так:

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass → loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default Enter password: → using service account credentials → discover related assets for 1 asset(s) → resolved assets resolved-assets=1 axcf2152 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% score: F Asset: axcf2152 --------------- Controls: ✕ Fail: Ensure SSH MaxAuthTries is set to 4 or less ✓ Pass: Ensure secure permissions on SSH public host key files are set ✓ Pass: Ensure only strong MAC algorithms are used ✓ Pass: Ensure only strong ciphers are used ✓ Pass: Ensure SSH IgnoreRhosts is enabled ✓ Pass: Ensure SSH Idle Timeout Interval is configured ✕ Fail: Ensure SSH password authentication is disabled ✓ Pass: Ensure current system time is synchronized ✓ Pass: Ensure only strong Key Exchange algorithms are used ✓ Pass: Ensure SSH LoginGraceTime is set to one minute or less ✓ Pass: Ensure SSH Protocol is set to 2 ✓ Pass: Ensure SSH root login is disabled or set to prohibit-password ✓ Pass: Ensure SSH LogLevel is appropriate ✓ Pass: Ensure SSH PermitUserEnvironment is disabled ✓ Pass: Ensure SSH HostbasedAuthentication is disabled ✓ Pass: Ensure SSH access is limited ✓ Pass: Ensure secure permissions on SSH private host key files are set ✓ Pass: Ensure SSH warning banner is configured ✕ Fail: Ensure Firewall is active ✓ Pass: Ensure SSH PermitEmptyPasswords is disabled ✓ Pass: Ensure SSH X11 forwarding is disabled ✓ Pass: Ensure latest PLCnext Firmware is installed Scanned 1 assets For detailed output, run this scan with "-o full". 

Открытое решение cnspec по безопасности обеспечивает комплексный подход к выявлению уязвимостей и ошибок конфигурации как в IT, так и в OT системах. Регулярно сканируя ваши системы, вы можете проактивно выявлять и устранять потенциальные проблемы безопасности до того, как они станут проблемой.

Примечание:

Блог Makers демонстрирует приложения и пользовательские истории членов сообщества, которые не тестировались и не проверялись Phoenix Contact. Используйте их на свой страх и риск.