Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Самые распространенные типы уязвимостей SCADA систем, стандарты и рекомендации по защите

RUSCADASEC
October 16, 2021

Самые распространенные типы уязвимостей SCADA систем, стандарты и рекомендации по защите

"Самые распространенные типы уязвимостей SCADA систем, стандарты и рекомендации по защите", Виталий Перов, Read Team, TSARKA

Доклад с первой встречи сообщества специалистов по промышленной кибербезопасности RUSCADASEC в Казахстане (Нур-Султан)

https://ruscadasec.timepad.ru/event/1793153/

RUSCADASEC

October 16, 2021
Tweet

More Decks by RUSCADASEC

Other Decks in Technology

Transcript

  1. Виталий =>Zig: bugbounty.kz ЦАРКА, pentester, BugHunter Skilled in Network Administration,

    Internet Protocol Suite (TCP/IP), Routers, Data Analysis, VSAT, VHF, UH, IP CCTV, Access Control Systems, Hosting & Storage, Data Center, End-user Infrastructure, Business and Operational Intelligence, Programmed a variety of PLC, Experienced in HMI configuration and programming.
  2. Содержание ТОП 10 уязвимостей Что такое SCADA? База знаний по

    уязвимостям Стандарты и рекомендации Сборник эксплойтов Пример из Bugbounty Автор материала не несет ответственности за действия, совершенные слушателями. Информация предоставлена исключительно в ознакомительных целях.
  3. SCADA - ТОП 10 “уязвимостей” • Устаревшее программное обеспечение. •

    Конфигурация по умолчанию. • Отсутствие шифрования. • Политики удаленного доступа. • Политики и процедуры. • Отсутствие сегментации сети. • DDoS-атаки. • Атаки на веб-приложения. • Вредоносное ПО. • Внедрение команд и Манипуляции с параметрами. https://owasp.org/
  4. SCADA – стандарты и рекомендации отраслевые стандарты: –– стандарты NERC

    для систем управления электрическими сетями; –– стандарты ChemITC для химической индустрии; –– Cisco SAFE for PCN — для нефте-газовой отрасли. рекомендации общего уровня (стандарты NIST, ISA и др.): –– ISA S99 — Комитет общества приборостроения, системотехники и автоматизации (ISA), –– NIST PCSRF Security Capabilities Profile for Industrial Control Systems; –– IEC61784-4.
  5. SCADA – Перечень нормативной и технической документации • Нормы технологического

    проектирования объектов сбора, транспорта, подготовки нефти, газа и воды нефтяных месторождений – ВНТП 3-85; • Нормы технологического проектирования предприятий по обеспечению нефтепродуктами (нефтебаз) ВНТП-5-95; • Автоматизация и телемеханизация магистральных нефтепроводов. Основные положения – РД 39-041-01; • Инструкции о порядке разработки, согласования, утверждения и составе проектной документации на строительство – СНиП РК 1.02-01-2007; • Правила выполнения рабочей документации автоматизации технологических процессов – ГОСТ21.408-93; • Системы автоматизации. Состав, оформление и комплектование рабочей документации. Пособие к ГОСТ 21.408-93 – РМ 4-59-95; • Основные требования к проектной и рабочей документации – ГОСТ 21.101-97; • Автоматизация технологических процессов – ГОСТ 21.404-85; • Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем – ГОСТ 34.201-89; • Единая система стандартов автоматизированных систем управления. Автоматизированные системы управления. Общие требования – ГОСТ 24.104-85; • Правила выполнения спецификации оборудования, изделий и материалов – ГОСТ 21.110-95; • Общие правила взрывобезопасности для взрывопожароопасных химических, нефтехимических и нефтеперерабатывающих производств – ПБ 09- 540-03; • Системы автоматизации технологических процессов. Требования к выполнению проектной документации на щиты и пульты – РМ4-107-82; • Cистемы автоматизации – СНиП 3.05-85; • Автоматизация технологических процессов средств автоматизации в схемах – СТ РК 21.404-2002; • Электрооборудование взрывозащищенное. Часть 10. Классификация взрывоопасных зон – ГОСТ Р 51330.9-99 (МЭК 60079-10-95); • Электрооборудование взрывозащищенное. Часть 14 Электроустановки во взрывоопасных зонах ( кроме подземных выработок) – ГОСТ Р 51330.13- 99 (МЭК 60079-14-96; • Правила устройства вертикальных цилиндрических стальных резервуаров для нефти и нефтепродуктов ПБ 03-381-00; • Правила безопасности в нефтяной и газовой промышленности Республики Казахстан – БН-496-2; • Справочник нефтепереработчикаГл.1-8 – 665.6 С 741; • Электрооборудование взрывозащищенное. Часть 0. Общие требования –ГОСТ 51330.0-99 (МЭК 60079-0-98); • Электрооборудование взрывозащищенное. Часть 1. Взрывозащита вида «взрывонепроницаемая оболочка» – ГОСТ Р 51330.1-99 (МЭК 60079-1-98); • Электрооборудование для взрывоопасных газовых сред. Часть 11. Искробезопасная электрическая цепь «i» – ГОСТ Р 52350.11-2005 (МЭК 60079- 11-2006).
  6. SCADA – стандарты и рекомендации • Исключайте подключение АСУ ТП

    к сети Интернет. • Избегайте дефолтных конфигураций. • Используйте средства проверки и блокировки использования флеш- накопителей и переносных жестких дисков. • Обеспечьте защиту от зловредного ПО, находящегося в “спящем” режиме. • Обеспечьте выполнение тестовых атак для оценки уязвимостей системы. • Внедрите систему мониторинга и обнаружение аномалий • Усильте защиту устройств: управление паролями, деактивация неиспользуемых сервисов.
  7. SCADA – Основные источники, используемые в исследовании уязвимостей Базы знаний

    по уязвимостям: • ICS-CERT, • NVD, • CVE, • Bugtraq, • OSVDB, • Mitre Oval Repositories, • Exploit-db, • Siemens Product CERT.
  8. Пример из BugBounty.kz • MOXA NPORT - Преобразователи RS-232/422/485 в

    Ethernet • Система управления жизнеобеспечением города, насосные станции
  9. OSINT- Пример из BugBounty.kz Какие инструменты были использованы: • Google

    Search • Google Hacking Database • Shodan • Censys • Maltego Система относится к КВОИК (критическим важным объектам), доступ был получен автоматизированной системе управления жизнеобеспечения города.