Как использовать Cnspec для обнаружения устаревшей прошивки и неправильных конфигураций в системе управления PLCnext

В качестве примера возьмем PLCnext Control AXC F 2125 от Phonix Contact, который основан на процессоре ARM Cortex-A9 и имеет систему выполнения IEC 61131. Cnspec — это инструмент с открытым исходным кодом, который предлагает различные варианты сканирования PLCnext Control на базе Linux для обнаружения старой прошивки и неправильных конфигураций. В этом руководстве представлены пошаговые инструкции по сканированию PLCnext Control через поставщика SSH cnspec.

<ли>

Установите cnspec на свой ноутбук (Руководство по установке)

<ли>

Проверьте соединение и установите оболочку cnspec для управления PLCnext, выполнив следующую команду:

cnspec shell ssh admin@192.168.1.10 --ask-pass

<ли>

Выполните следующую команду MQL в оболочке cnspec:

file("/etc/plcnext/arpversion").content

Как мы видим, нам удалось подключиться через SSH к PLCnext Control и выполнить первую команду MQL.

→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 ___ _ __ ___ _ __ ___ ___ 
 / __| '_ \/ __| '_ \ / _ \/ __|
| (__| | | \__ \ |_) | __/ (__ 
 \___|_| |_|___/ .__/ \___|\___|
 mondoo™ |_| 
cnspec> file("/etc/plcnext/arpversion").content
file.content: "Arpversion: 23.0.0.65
GIT Commit Hash: d755854b5b21ecb8dca26b0a560e6842a0c638d7
Build Job: \"jenkins-PLCnext-Yocto_Targets-Yocto_AXCF2152-release%2F23.0.x-65\"
"

<ли>

Загрузите политику PLCnext Technology из общедоступного репозитория cnspec-policies, чтобы выполнить базовую проверку безопасности, выполнив следующую команду:

git clone https://github.com/mondoohq/cnspec-policies
Cloning into 'cnspec-policies'...
remote: Enumerating objects: 1075, done.
remote: Counting objects: 100% (149/149), done.
remote: Compressing objects: 100% (84/84), done.
remote: Total 1075 (delta 75), reused 115 (delta 61), pack-reused 926
Receiving objects: 100% (1075/1075), 699.81 KiB | 402.00 KiB/s, done.
Resolving deltas: 100% (690/690), done.

<ли>

Выполните следующую команду, чтобы запустить полное сканирование безопасности на PLCnext Control через SSH:

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass

Полный вывод должен выглядеть так:

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass
→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ using service account credentials
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 axcf2152 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% score: F
Asset: axcf2152
---------------
Controls:
✕ Fail: Ensure SSH MaxAuthTries is set to 4 or less
✓ Pass: Ensure secure permissions on SSH public host key files are set
✓ Pass: Ensure only strong MAC algorithms are used
✓ Pass: Ensure only strong ciphers are used
✓ Pass: Ensure SSH IgnoreRhosts is enabled
✓ Pass: Ensure SSH Idle Timeout Interval is configured
✕ Fail: Ensure SSH password authentication is disabled
✓ Pass: Ensure current system time is synchronized
✓ Pass: Ensure only strong Key Exchange algorithms are used
✓ Pass: Ensure SSH LoginGraceTime is set to one minute or less
✓ Pass: Ensure SSH Protocol is set to 2
✓ Pass: Ensure SSH root login is disabled or set to prohibit-password
✓ Pass: Ensure SSH LogLevel is appropriate
✓ Pass: Ensure SSH PermitUserEnvironment is disabled
✓ Pass: Ensure SSH HostbasedAuthentication is disabled
✓ Pass: Ensure SSH access is limited
✓ Pass: Ensure secure permissions on SSH private host key files are set
✓ Pass: Ensure SSH warning banner is configured
✕ Fail: Ensure Firewall is active
✓ Pass: Ensure SSH PermitEmptyPasswords is disabled
✓ Pass: Ensure SSH X11 forwarding is disabled
✓ Pass: Ensure latest PLCnext Firmware is installed
Scanned 1 assets
For detailed output, run this scan with "-o full".

Решение безопасности cnspec с открытым исходным кодом обеспечивает комплексный подход к выявлению уязвимостей и неправильных конфигураций как в ИТ-, так и в OT-системах. Регулярно сканируя свои системы, вы можете заранее выявлять и устранять потенциальные проблемы безопасности до того, как они станут проблемой.

Примечание.

В блоге Makers представлены приложения и пользовательские истории членов сообщества, которые не тестировались и не проверялись Phoenix Contact. Используйте их на свой страх и риск.



Бесперебойная зарядка электромобилей от солнечной батареи с помощью evcc.io на CHARX Control SEC3xxx Настройка клиента OPC UA на PLCnext Control:пошаговое руководство