Departemen Keamanan Dalam Negeri ICS-CERT merilis tiga penasihat keamanan minggu ini tentang Sistem Kontrol Komputer Industri (ICS), menekankan kembali ancaman keamanan serius yang dihadapi infrastruktur dan jaringan industri saat ini.
Dalam posting blog baru-baru ini yang merangkum lanskap ancaman saat ini untuk ICS, Ruchna Nigam dari Fortinet menyoroti: "Sebagian besar sistem kontrol industri berasal dari berbagai vendor dan menjalankan sistem operasi, aplikasi, dan protokol berpemilik (termasuk General Electric, Kwell, DNP3, dan Modbus). Akibatnya, solusi keamanan berbasis host yang dikembangkan untuk departemen TI hampir sama sekali tidak cocok untuk ICS.
Ini tidak diragukan lagi membuat keamanan ICS semakin lemah, dan itu adalah tanggung jawab vendor untuk menemukan dan memperbaiki lubang keamanan. Semua kerentanan yang ditemukan yang dikutip dalam tiga buletin diidentifikasi secara independen dan dilaporkan oleh vendor - namun, sulit untuk memverifikasi bahwa perbaikan mereka benar-benar menyelesaikan masalah.
Ivan Sanchez, yang baru-baru ini menemukan pelanggaran keamanan Rockwell IAB, cukup terkejut. Dalam pekerjaannya sehari-hari, dia terus mencari dan menemukan kerentanan keamanan ICS baru. Baru tahun lalu, ia merilis sebuah laporan yang mengidentifikasi lebih dari 150 masalah risiko dengan produk Rockwell saja. Secara umum, setelah melaporkan masalah terkait, perusahaan terkait akan melakukan konsultasi lebih lanjut dengannya.
"Dalam 95 persen kasus, bisnis akan meminta saya untuk menguji ulang sebelum membuat pengumuman akhir," kata Sanchez dalam sebuah wawancara. "Saya pikir perusahaan harus bertanya tentang secara spesifik tentang kerentanan keamanan, daripada hanya mengatakan 'terima kasih' atas apa yang saat ini sedang ditemukan."
Bulletin ICSA-16-056-01 menjelaskan kesalahan pelanggaran akses memori dalam aplikasi Integrated Architecture Builder (IAB) Rockwell Automation. Setelah berhasil dieksploitasi, itu akan memungkinkan penyerang untuk mengeksekusi kode berbahaya dengan hak istimewa yang sama dengan alat IAB. Itu hanya dapat dieksploitasi oleh pengguna lokal dan telah diperbaiki. Namun, sebelum menginstal versi terbaru, masih disarankan agar pengguna menghindari menggunakan IAB.exe untuk membuka file proyek yang tidak tepercaya; Selain itu, semua perangkat lunak harus dijalankan sebagai peran 'pengguna', bukan peran 'administrator'.
Bulletin ICSA-16-061-03 menjelaskan kerentanan keamanan berbasis cookie yang memungkinkan penyerang jarak jauh mengonfigurasi EatonLightingSystems melalui EG2WebControl. Eaton telah memperbaiki kerentanan, tetapi masih butuh waktu untuk meluncurkannya ke semua sistem.
Buletin ICSA-16-096-01 menjelaskan empat kerentanan keamanan dalam perangkat lunak GP-ProEXHMI Pro-face: satu mengarah ke kebocoran informasi, dua buffer overflows, dan yang lainnya adalah masalah kredensial berkode keras. Keempat bug sekarang telah diperbaiki.
Ada seperangkat bukti kuat bahwa masalah keamanan ICS saat ini jauh lebih mengerikan daripada pernyataan dalam posting blog Fortinet.
Bahkan, Ivan Sanchez mengatakan dalam sebuah wawancara, "Industri ICS harus meningkatkan kualitas kodenya sendiri dan memperkenalkan kontrol keamanan dan audit. Saya telah menerbitkan 30% dari masalah yang telah ditemukan, dan industri belum memiliki cukup waktu untuk memperbaiki semuanya - - Jadi saya harus mengatakan, ini adalah masalah besar."
Meskipun objektivitas masalah telah menjadi konsensus, sebagian besar masih merupakan masalah potensial untuk saat ini.
Patrick Coyle, penulis Chemical Facility Safety News, menjelaskan, "Di satu sisi, ada banyak lubang keamanan di hampir setiap sistem kontrol yang perlu kita nilai dengan hati-hati dan mencegah gangguan yang menargetkan mereka. Di satu sisi, sistem kontrol ICS ini terlalu kompleks, dan mengatur rencana serangan yang efektif membutuhkan banyak keahlian terkait ICS.
IPC Dia memperkirakan bahwa kegiatan serangan akan terus meningkat di masa depan, tetapi peningkatan ini terutama tercermin dalam tingkat kualitas daripada kuantitas. "Saya pikir kita akan melihat serangan yang lebih tidak efisien diarahkan pada ICS. Seperti halnya intrusi sistem hidrolik yang dilaporkan oleh Verizon, penyerang hanya mengubah setpoint sesuka hati, tetapi dengan cepat ditemukan, dan sistem keamanan atau alarm Operator menyelesaikan masalah dengan mudah. Bahkan, itu adalah kegiatan jahat yang telah direncanakan untuk waktu yang lama.
Namun, dia memperingatkan, "Kekhawatiran terbesar saya adalah bahwa beberapa aktor jahat dapat menggunakan ransomware untuk mengunci infrastruktur penting. Itu tidak memerlukan keahlian yang mendalam, selama mereka dapat masuk ke sistem.
