Οι κίνδυνοι κυβερνοασφάλειας στα συνδεδεμένα συστήματα ψύξης

Με αφορμή τις πρόσφατες κυβερνοεπιθέσεις σε συστήματα ψύξης επιχειρήσεων στην Ευρώπη, ο ειδικός της Kaspersky αναλύει τις αδυναμίες ασφαλείας και τους κινδύνους από την έκθεση συνδεδεμένων συσκευών στο διαδίκτυο

Vladimir Dashchenko, Principal Security Researcher της Kaspersky: Πώς αποκτούν πρόσβαση οι χάκερς

Τα σύγχρονα συστήματα ψύξης αποτελούν χαρακτηριστικό παράδειγμα κυβερνοφυσικών συστημάτων (cyber-physical systems). Αυτό σημαίνει ότι μπορούν να παρακολουθούνται και να ελέγχονται απομακρυσμένα, ενώ το επίπεδο ασφάλειάς τους συχνά παραμένει ανεπαρκές. Σε ορισμένες περιπτώσεις, οι κατασκευαστές δεν εφαρμόζουν ακόμη και βασικά μέτρα προστασίας, όπως πολιτικές για τη χρήση ισχυρών κωδικών πρόσβασης, έλεγχο ταυτότητας δύο παραγόντων και άλλους καθιερωμένους μηχανισμούς ασφαλείας. Επιπλέον, τα προϊόντα αυτά συχνά παρουσιάζουν αδυναμίες στις διαδικασίες ασφαλούς ανάπτυξης λογισμικού (SSDLC – Secure Software Development Life Cycle).

Τέτοια κυβερνοφυσικά συστήματα είναι επίσης συχνά εκτεθειμένα στο διαδίκτυο, αντί να είναι κατάλληλα απομονωμένα από αυτό. Για παράδειγμα, οι πίνακες ελέγχου συστημάτων ψύξης μπορούν να εντοπιστούν μέσω πλατφορμών αναζήτησης και εντοπισμού συσκευών όπως οι Shodan και Censys, οι οποίες καταγράφουν συσκευές με πρόσβαση στο διαδίκτυο. Στην πράξη, αυτό σημαίνει ότι, εάν μια συσκευή είναι δημόσια προσβάσιμη και δεν έχει διαμορφωθεί με ασφαλή τρόπο, μπορεί να εντοπιστεί τόσο από τους διαχειριστές της όσο και από κακόβουλους παράγοντες. Σύμφωνα με τη Shodan, περισσότερες από 4.500 τέτοιες συσκευές είναι προσβάσιμες μέσω του διαδικτύου, ενώ η Censys καταγράφει περίπου 4.300. Οι πίνακες ελέγχου συστημάτων ψύξης δεν αποτελούν τη μοναδική περίπτωση. Συστήματα ελέγχου ηλιακής ενέργειας και άλλες βιομηχανικές συσκευές μπορούν επίσης να εντοπιστούν εκτεθειμένα στο διαδίκτυο. Αυτό αυξάνει σημαντικά τον κίνδυνο μη εξουσιοδοτημένης πρόσβασης, εκμετάλλευσης γνωστών ευπαθειών και, στη συνέχεια, παρέμβασης στη λειτουργία του εξοπλισμού.

Πληροφορίες σχετικά με μια μέθοδο απομακρυσμένης εκτέλεσης αυθαίρετου κώδικα (remote arbitrary code execution) σε αντίστοιχους πίνακες ελέγχου συστημάτων ψύξης έχουν ήδη δημοσιοποιηθεί. Σε ορισμένες περιπτώσεις, οι κατασκευαστές δεν διαθέτουν επίσης μηχανισμό που να διασφαλίζει την εγκατάσταση κρίσιμων ενημερώσεων ασφαλείας, γεγονός που καθιστά αυτή την αδυναμία έναν πιθανό τρόπο πραγματοποίησης τέτοιου είδους κυβερνοεπιθέσεων.

Οι κατασκευαστές θα πρέπει να ενσωματώνουν την ασφάλεια ήδη από τον σχεδιασμό των προϊόντων τους, περιορίζοντας την έκθεσή τους στο διαδίκτυο, ενισχύοντας τους μηχανισμούς ταυτοποίησης και διασφαλίζοντας την έγκαιρη εγκατάσταση κρίσιμων ενημερώσεων ασφαλείας. Αντίστοιχα, οι επιχειρήσεις που προμηθεύονται τέτοιου είδους εξοπλισμό θα πρέπει να αξιολογούν τις πρακτικές κυβερνοασφάλειας των προμηθευτών τους, δίνοντας ιδιαίτερη προσοχή στη διαχείριση των ενημερώσεων ασφαλείας και στην προστασία της απομακρυσμένης πρόσβασης.