Світовий лідер у сфері рішень для кібербезпеки сьогодні випустив «SIERRA:21 – Життя на межі», аналіз 21 нововиявленої вразливості в маршрутизаторах OT/IoT і компонентах програмного забезпечення з відкритим кодом.
Звіт був написаний компанією Forescout Research – Vedere Labs, яка спеціалізується на виявленні вразливостей безпеки в критичній інфраструктурі. Аналіз підкреслює постійний ризик для критичної інфраструктури та висвітлює можливі заходи пом’якшення. «SIERRA:21 – Життя на межі» описує дослідження стільникових маршрутизаторів Sierra Wireless AirLink і ряду відповідних компонентів з відкритим кодом, таких як TinyXML і OpenNDS.
Бездротові маршрутизатори Sierra популярні: відкрита база даних мереж Wi-Fi містить 245.000 21 мереж у всьому світі, де бездротові маршрутизатори Sierra служать різноманітним додаткам. Маршрутизатори використовуються, наприклад, у поліцейських автомобілях для встановлення з’єднання з центральними системами управління мережею або для передачі відео з камер спостереження; на заводах для забезпечення моніторингу промислового обладнання; у закладах охорони здоров'я для встановлення тимчасових зв'язків; і керувати зарядними станціями для електромобілів. XNUMX нова вразливість може порушити важливі комунікації, впливаючи на повсякденне життя.
Критичні вразливості
Поверхня атаки велика: 86.000 10 вразливих маршрутизаторів все ще знаходяться в мережі. Доведено, що менше 2019 відсотків цих маршрутизаторів мають виправлення відомих уразливостей безпеки, виявлених з 68.605 року. Регіони з найбільшою кількістю вразливих пристроїв: 5.580 3.853 пристроїв у США, 2.329 1.001 пристроїв у Канаді, XNUMX XNUMX пристрої в Австралії, XNUMX XNUMX пристроїв у Франції, XNUMX XNUMX пристрій у Таїланді.
З 21 уразливості одна є критичною (оцінка CVSS 9,6), дев’ять мають високу серйозність і одинадцять – середньої серйозності. Уразливості дозволяють зловмисникам викрасти облікові дані для входу, отримати контроль над маршрутизатором, впровадивши шкідливий код, імплантувати себе на уражений пристрій і використовувати його як точку входу в критично важливі мережі.
Немає виправлень для пристроїв із вичерпаним терміном служби
Не всі проблеми можна вирішити за допомогою патчів. 90 відсотків пристроїв зі спеціальним інтерфейсом керування вийшли з ладу, і їх уже неможливо виправити. Захист компонентів у ланцюжку постачання – важка боротьба. Елементи програмного забезпечення з відкритим кодом часто залишаються неперевіреними, збільшуючи поверхню атаки критичних пристроїв. Результатом є прогалини в безпеці, які компаніям може бути важко виявити та зменшити.
«Сьогодні ми б’ємо на сполох, оскільки все ще існують тисячі пристроїв OT/IoT, які є дуже вразливими та потребують вирішення», — сказала Еліза Константе, віце-президент з досліджень Forescout Research – Vedere Labs. «Уразливості, що впливають на критичну інфраструктуру, схожі на відкриті вікна, через які зловмисники можуть проникнути куди завгодно. Спонсоровані державою зловмисники розробляють спеціальні шкідливі програми для маршрутизаторів, щоб захопити маршрутизатори та використовувати їх у шпигунських цілях. Кіберзлочинці також використовують маршрутизатори та пов’язану з ними інфраструктуру для домашніх проксі-серверів і вербування для ботнетів. Наші висновки ще раз підкреслюють необхідність підвищення обізнаності про крайні пристрої OT/IoT, які так часто залишаються без уваги». Sierra Wireless і OpenDNS випустили виправлення для знайдених вразливостей. Проте проект з відкритим кодом TinyXML було припинено.
Більше на Forescout.com
Про Forescout
Forescout Technologies, Inc. є світовим лідером у сфері кібербезпеки, який постійно виявляє, захищає та допомагає забезпечити відповідність усіх керованих і некерованих підключених кіберактивів – ІТ, IoT, IoMT та OT. Платформа Forescout® забезпечує комплексну безпеку мережі, управління ризиками та загрозами, а також розширені можливості виявлення та реагування. Безпроблемно обмінюючись інформацією та організовуючи робочі процеси між партнерами по екосистемі, клієнти можуть ефективніше керувати кіберризиками та пом’якшувати загрози.
Статті по темі