Analyse: Angriffe auf SCADA über HMIs

Originalbeitrag von Trend Micro

Supervisory Control and Data Acquisition (SCADA)-Systeme steuern kritische Infrastrukturen auf der ganzen Welt und sind damit für verschiedene Bedrohungsakteure sehr attraktiv. Gelingt es ihnen, sich Zugang zu den Systemen zu verschaffen, so können sie Informationen sammeln, wie etwa einen Grundriss der Einrichtung, kritische Schwellwerte oder Einstellungen der Geräte. Diese Daten lassen sich dann in künftigen Angriffen nutzen, etwa für eine Unterbrechung des Betriebs oder Anstoßen von gefährlichen oder gar tödlichen Situationen wie Brände. Einer der häufigen Einfallstore für die Schadsoftware sind Human Machine Interfaces (HMI).

Bedrohungen wie Stuxnet und der Angriff auf das ukrainische Stromnetz haben deutlich gezeigt, welchen Schaden ein Angreifer nicht nur dem betroffenen Betrieb oder Geschäft sondern auch der Öffentlichkeit zufügen kann. Bedrohungsakteure infiltrieren SCADA-Systeme mit verschiedenen Methoden, wobei eine davon die Ausnutzung von Softwarefehlern in Human Machine Interfaces (HMI) ist. Die Betreiber kontrollieren ein SCADA-System zumeist über das HMI, das häufig in einer Netzwerkumgebung installiert ist. Ein HMI zeigt die Daten der Maschine an und führt Befehle des Betreibers aus, sodass dieser darüber das Monitoring des Systems durchführen kann. Das HMI lässt sich als Hauptangriffsziel innerhalb eines SCADA-Systems ausmachen. Deshalb sollten HMIs nur in einem Air-Gapped oder isolierten vertrauenswürdigen Netzwerk installiert werden.

Die häufigsten Kategorien der HMI-Sicherheitslücken

Das Team der Trend Micro Zero Day Initiative (ZDI) hat den derzeitigen Stand der SCADA HMI-Sicherheit überprüft und dabei alle öffentlich bekannten Schwachstellen in SCADA-Software in Augenschein genommen, die zwischen 2015 und 2016 geschlossen wurden. Es stellte sich heraus, dass die meisten Schwachstellen in den Bereichen der Memory Corruption, eines schwachen Managements der Anmeldedaten, der mangelhaften Authentifizierung/Autorisierung und unsicherer Defaults sowie Code Injection-Fehler lagen. All diese Lücken wären über sichere Praktiken in der Entwicklung vermeidbar gewesen.

 

 

 

 

 

Schwachstellenkategorien: Memory Corruption (schwarz), Credential Management (rot), Lack of Authentication/Authorization and insecure Defaults (ocker), Code Injection (gelb), andere (grün)

Einzelheiten zu den einzelnen Schwachstellen finden Interessierte hier.

Das Team stellte auch fest, dass die Zeitspanne zwischen dem Bekanntwerden eines Fehlers und dem Patch-Release durch den SCADA-Anbieter bis zu 150 Tage betragen kann.

Durchschnittsdauer vom Veröffentlichen einer Lücke bis zum Patchen der Schwachstellen

Das heißt, es dauert durchschnittlich fünf Monate, bis eine SCADA-Sicherheitslücke geschlossen wird. Diese Zeitspanne ist von Hersteller zu Hersteller unterschiedlich lang.

Eine vollständige Beschreibung der verschiedenen Schwachstellenkategorien, einschließlich von Anwenderszenarien zu angreifbaren SCADA HMIs liefert der Bericht Hacker Machine Interface: The State of SCADA HMI Vulnerabilities. Zusätzlich umfasst er Anleitungen für Schwachstellenforscher, die Lösungen prüfen wollen, um Fehler schneller und effizienter zu entdecken.

 

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*