Эксперты Центра «Лаборатории Касперского» по реагированию на киберинциденты – Kaspersky Lab ICS CERT – проанализировали протокол OPC UA (Object Linking and Embedding for Process Control Unified Automation), разработанный специально для промышленных объектов.
В ходе исследования было выявлено 17 0-day уязвимостей в продуктах OPC Foundation, а также несколько уязвимостей в коммерческих приложениях, которые их используют. Эксплуатируя эти баги, злоумышленники могли запускать сторонний код и выполнять атаки типа «отказ в обслуживании» (DoS). Сообщается, что все бреши были обнаружены и ликвидированы в марте 2018 года.
Стандарт IEC 62541 OPC Unified Architecture (OPC UA) был разработан в 2006 году консорциумом OPC Foundation для надежной и безопасной передачи данных в технологической сети. По сути, это усовершенствованная версия протокола OPC, который повсеместно применяется в различных индустриальных областях. Новые свойства и продуманная архитектура OPC UA делают его более популярным среди производителей систем автоматизации, и со временем стандарт должен стать основой коммуникации в системах промышленного интернета вещей и умных городов по всему миру.
Первоначально команда Kaspersky Lab ICS CERT проводила аудит безопасности и пентест на нескольких промышленных объектах. Все проверяемые организации использовали один и тот же программный продукт для управления технологическим процессом (ICS), и эксперты занялись поиском уязвимостей в нем. Выяснилось, что часть сетевых сервисов взаимодействовала именно по протоколу OPC UA. Это подтолкнуло специалистов к изучению протокола.
В ходе исследования обо всех обнаруженных уязвимостях незамедлительно сообщали создателям ПО. Представители OPC Foundation и других команд разработки коммерческих продуктов оперативно реагировали на уведомления и своевременно устраняли найденные неполадки.
Большинство ошибок в продуктах сторонних производителей ПО, использующих OPC UA Stack, оказалось связано с тем, что разработчики неправильно использовали функции из предоставляемого OPC Foundation API, реализованного в библиотеке uastack.dll — например, неверно интерпретировали значения полей передаваемых структур данных.
«Очень часто разработчики ПО чрезмерно доверяют промышленным протоколам и внедряют эти технологии, не проводя тщательной проверки их безопасности. При этом уязвимости могут повлиять на успешность всей линии продукции. Следует уделять пристальное внимание инновациям, которые широко используются в различных индустриальных отраслях. Многие думают, что создавать собственные протоколы более эффективно и безопасно, однако даже совершенно новое ПО может содержать многочисленные уязвимости», – говорит Сергей Темников, старший исследователь Kaspersky Lab ICS CERT.
