ПЛК Siemens нашли в интернете
Федеральные ведомства США предупредили о хакерской кампании против промышленных контроллеров Siemens S7, которые используются в критической инфраструктуре. Атакующие ищут доступные из интернета устройства, применяют сервисы интернет-сканирования и обращаются к контроллерам через S7COMM по TCP-порту 102.
«В России действительно очень большое количество АСУ ТП на базе ПЛК Siemens. Причем большинство из таких систем на базе устаревших линеек S7-300, S7-400, в которых немного встроенных возможностей в части настроек безопасности и далеко не всегда есть возможность установки обновлений. Конечно, большинство таких систем эксплуатируются в изолированных сетях и не имеют прямого доступа из Интернета. Однако доступ к ПЛК можно получить не только напрямую из Интернета, но и из корпоративного сегмента сети, через временный удаленный доступ для выполнения работ и пр. Это все несет большие риски обеспечения киберустойчивости и непрерывности производства. Рекомендуется сперва провести аудит внешних адресов организации: какие сервисы выставлены наружу, какие удаленные доступы, кому и к каким системам предоставлены, затем аналогичным образом проверить сегментирование сети внутри организации», — сообщает «Код Дурова».
Для России эта ситуация важна, так как Siemens S7 десятилетиями был одним из массовых решений в промышленной автоматизации, и значительная часть такого оборудования продолжает работать на критичных объектах без полноценной вендорской поддержки. Проблема заключается не только в контроллерах, доступных напрямую из интернета, но и в тех, к которым путь может проходить через корпоративный сегмент, удаленный доступ подрядчика, неправильно настроенный VPN или инженерную станцию.
Интернет-сканеры собирают информацию о доступных хостах, открытых портах, баннерах, протоколах и сервисах. Если промышленный компонент видим извне, он может попасть в такую базу без участия владельца. Атакующие используют Censys и ZoomEye для поиска доступных контроллеров, выполняя операции чтения для изучения устройства и среды перед переходом к более опасным действиям.
Взаимодействие с Siemens S7 изучено, а инструменты для работы с протоколом доступны не только инженерам. Библиотеки snap7.dll и python-snap7 используются в легитимных задачах, но могут быть применены для разведки и воздействия на контроллеры. ИИ помогает генерировать эксплуатационные скрипты, которые затем маскируются под легитимные инструменты мониторинга, снижая порог входа для атак.
Линейки S7-300 и S7-400 много лет использовались в российской промышленности, и их замена не может произойти быстро. Эти контроллеры встроены в технологические процессы, а их встроенные возможности безопасности ограничены, обновления недоступны или трудно применимы, и вендорская поддержка в России отсутствует.
Переход на российские ПЛК не снимает задачу защиты действующих контроллеров. На многих объектах еще долго будет смешанная среда. Смешанная инфраструктура сложнее в защите, так как у разных устройств разные протоколы, модели доступа, средства конфигурирования и ограничения по обновлению. Импортозамещение должно сопровождаться инвентаризацией.
Проверка должна идти в два этапа: сначала внешний периметр, затем внутренняя сегментация. Особое внимание нужно уделять TCP-порту 102, через который работает S7COMM. Каждая технологическая связь должна быть известна, обоснована и контролируема.
Один из частых источников риска — временный удаленный доступ, который после работ становится постоянным. Удаленный доступ в АСУ ТП должен быть временным по умолчанию, с указанием срока, владельца, цели и порядка отключения.
Мониторинг должен видеть не только атаку, но и подготовку. Нужно контролировать сетевое поведение: кто обращается к контроллеру, откуда, как часто, какие операции выполняет, отличается ли обмен от обычного, появились ли новые узлы или связи. Атакующие сначала выполняют операции чтения, чтобы изучить устройство и среду.
Если контроллер нельзя обновить, нужно ограничить доступ к нему только тем узлам, которым он действительно нужен, исключить прямую доступность из интернета, проверить маршруты из корпоративного сегмента, убрать лишние сервисные каналы, разделить технологические зоны и настроить журналирование инженерных действий. Важно понять, кто имеет право выполнять операции записи.
ИИ не создает риск Siemens S7 с нуля, но снижает стоимость подготовки инструментов и ускоряет разработку сценариев. Это означает, что нельзя полагаться на редкость компетенции атакующих.
Руководителям промышленных предприятий нужно ответить на вопросы: какие ПЛК Siemens S7 есть на площадках, какие из них S7-300 и S7-400, какие контроллеры невозможно обновить, какие сервисы предприятия видны снаружи, есть ли доступ к TCP 102 извне или из корпоративного сегмента, какие удаленные доступы выданы подрядчикам, кто имеет право работать с инженерными станциями, какие проекты ПЛК считаются эталонными, какие изменения фиксируются, есть ли мониторинг обращений к контроллерам и сколько времени потребуется, чтобы доказать, что программа в ПЛК не менялась. Промышленную инфраструктуру нужно проверять так, как ее проверит атакующий.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
