نسخه‌های جدید آسیب‌پذیری‌های Meltdown و Spectre
پس از کشف نسخه های جدید آسیب‌پذیری های Meltdown و Spectre، زیمنس اطلاعیه های امنیتی جدیدی را برای این دو آسیب‌پذیری، به ویژه برای LazyFP و Spectre ۱,۱ منتشر کرده است.
برخی تولیدکننده های سیستم های کنترل صنعتی (ICS) توصیه های امنیتی را برای نقص های پردازنده منتشر کرده اند. زیمنس یک اطلاعیه امنیتی را برای آسیب‌پذیری های مربوط به ویژگی Speculative در ۱۱ ژانویه منتشر ساخته است.
در اواخر ماه می، این شرکت اطلاعیه خود را بروز کرد و به آن جزئیاتی را از آسیب‌پذیری های نوع ۳a و نوع ۴ که با نام Spectre-NG نیز شناخته می شوند، افزود. در روز پنجشنبه، زیمنس بار دیگر اطلاعاتی را به آن اضافه کرد که این بار توضیحات مربوط به LazyLP، یک آسیب‌پذیری مشابه Meltdown با درجه حساسیت متوسط و شناسه CVE-۲۰۱۸-۳۶۶۵، و Spectre ۱,۱، که در اوایل ماه جاری کشف شد و با CVE-۲۰۱۷-۵۷۵۳ شناسه می شود، به آن اضافه شده است.
زیمنس به کاربران توصیه کرده است که نسبت به بروزرسانی های نرم افزاری و Firmwareهای سیستم عامل ها و پردازنده ها آگاه باشند. با این حال، ممکن است برخی از این آسیب‌پذیری ها، دارای مشکلاتی در سازگاری، عملکرد باشند.
نقص های اولیه Meltdown و Spectre برخی محصولات زیمنس از قبیل SIMATIC، RUGGEDCOM، SIMOTION، SINEMA و SINUMERIK را تحت تاثیر قرار داده است. این شرکت برای این محصولات بروزرسانی های نرم افزاری، BIOS و روش هایی برای کاهش اثرات، ارائه کرده است.


منبع:
https://www.securityweek.com/siemens-informs-customers-new-meltdown-spectre-variants

🦁«کتاس»
‏http://t.me/ict_security

رفع آسیب‌پذیری‌های بحرانی در ابزارهای HMI/SCADA
شرکت تولیدکننده نرم افزار صنعتی AVEVA، دو آسیب‌پذیری بحرانی اجرای کد از راه دور را برطرف ساخته است. این آسیب‌پذیری ها توسط پژوهشگران و در ابزارهای توسعه InduSoft و InTouch این شرکت کشف شده است. در اوایل سال میلادی جاری، AVEVA با Schneider Electric ادغام شد و نام های تجاری Avantis و Wonderware مستقر در فرانسه را در برگرفت. از محصولات Wonderware می توان به InduSoft Web Studio و نرم افزار InTouch Machine Edition HMI/SCADA اشاره کرد.
طبق اعلام پژوهشگری از CyberX، بعضی از نسخه های InTouch ۲۰۱۴ و ۲۰۱۷ تحت تاثیر یک آسیب‌پذیری بحرانی سرریز بافر پشته با شناسه CVE-۲۰۱۸-۱۰۶۲۸ قرار گرفته اند. این آسیب‌پذیری نمره CVSS ۹,۸ را به خود اختصاص داده است. شرکت AVEVA در توصیه امنیتی خود گفته است که یک کاربر احرازهویت نشده می تواند با ارسال یک بسته مخصوص، از آسیب‌پذیری سرریز بافر پشته بهره برداری کند. پژوهشگر امنیتی CyberX معتقد است که در صورت دسترسی سیستم به اینترنت، می توان از آسیب‌پذیری با کنترل از راه دور بهره برداری کرد. مهاجم می تواند با ارسال مستقیم بسته های ساخته شده بخصوصی، HMI را تحت کنترل خود درآورد. حمله نیز می‌تواند حاوی بدافزاری باشد که به منظور ارسال بسته های مخرب طراحی شده باشد. این امر باعث می شود تا مهاجم کنترل کامل فرآیند ICS را بدست بگیرد و او را قادر می‌سازد تا پارامترهای فرآیند را دستکاری کند و به طور بالقوه باعث اقدامات مخربی مانند افزایش بیش از حد فشار یا درجه حرارت در یک مخزن شود.
در تاریخ ۱۳ جولای، AVEVA نسخه InTouch ۲۰۱۷ Update ۲ HF-۱۷_۲ /CR۱۴۹۷۰۶ و InTouch ۲۰۱۴ R۲ SP۱ HF-۱۱_۱_SP۱ /CR۱۴۹۷۰۵ را برای رفع این آسیب‌پذیری منتشر کرده است. آسیب‌پذیری دیگر، CVE-۲۰۱۸-۱۰۶۲۰ با نمره CVSS ۹,۸ است که یک نقص بحرانی اجرای کد از راه دور است که InTouch Machine Edition و InduSoft Web Studio را تحت تاثیر قرار می‌دهد. آسیب‌پذیری با انتشار Hotfix ۸۱.۱.۰۰.۰۸ برای هر یک از محصولات آسیب‌دیده در ۱۳ جولای، برطرف شده است. مشابه آسیب‌پذیری قبلی، مهاجم می تواند با ارسال یک بسته بخصوص، در حین اقداماتی مانند خواندن یا نوشتن برچسب ها و نظارت بر هشدارها، از آسیب‌پذیری سرریز بافر پشته بهره برداری کند.
این آسیب‌پذیری‌ها باعث می شود تا ماشین های سرور InduSoft Web Studio یا InTouch Machine Edition، نسبت به مهاجم با دسترسی از راه دور و احرازهویت نشده آسیب‌پذیر شوند و مهاجم می تواند از آنها استفاده کند تا کد دلخواه را اجرا کند و کنترل کامل سیستم را به دست بگیرد.
منبع:
https://www.securityweek.com/aveva-patches-critical-flaws-hmiscada-tools-following-schneider-merger
📌👈🏻برای آگاهی رسانی بیشتر, دیگر دوستانتان را نیز به عضویت کانال دعوت کنید.
https://t.me/ics_cert

چندین هشدار در خصوص وجود آسیب‌پذیری در برخی محصولات زیمنس منتشر شده، لیست محصولات و جزئیات آسیب‌پذیری‌ها بصورت زیر است:
📌👈🏻دوستانتان را نیز به عضویت کانال دعوت کنید.
https://t.me/ics_cert

متداول‌ترین مخاطرات امنیتی در ICS و رویکردهای کاهش اثر آن‌ها
پژوهشگران FireEye با تحلیل نتایج هزاران ارزیابی سلامت امنیت سیستم‌های کنترل صنعتی (ICS)، فراگیرترین و پر اهمیت‌ترین مخاطرات امنیتی در تسهیلات صنعتی را شناسایی کردند. این ارزیابی‌ها توسط Mandiant، تیم مشاوره FireEye انجام شده است. اطلاعات از ارزیابی‌هایی که در چند سال گذشته انجام گرفته بدست آمده و از طیف گستردهای از صنایع از جمله تولید، معدن، خودرو، انرژی، شیمیایی، گاز طبیعی، و آب و برق، حاصل شده است. FireEye در گزارشی جزئیات این مخاطرات را ارائه کرده و بهترین شیوه‌ها و توصیه‌ها برای کاهش خطرات را بیان کرده است.
بررسی سلامت امنیت توسط Mandiant و آزمون‌های نفوذ، ارزیابی‌هایی هستند که در محل و روی سیستم‌های ICS و شبکه IT مشتریان انجام می‌شوند. در این راستا، Mandiant درک فنی از سیستم کنترل توسعه می‌دهد، نمودار شبکه سیستم کنترل را ایجاد می‌کند، تهدیدها و آسیب‌پذیری‌های بالقوه را تحلیل می‌کند و با ارائه رویکردهای دفاعی اولویت‌بندی شده، به حفاظت از محیط صنعتی کمک می‌کند.
Mandiant مخاطرات را به چهار دسته (۱) بحرانی و با درجه اهمیت زیاد، (۲) با درجه اهمیت متوسط، (۳) با درجه اهمیت کم و (۴) جهت اطلاع یا informational تقسیم می‌کند. این رده‌بندی با در نظر گرفتن اثرات آسیب‌پذیری یا خطر، که از طریق شناسایی نهادهای آسیب‌دیده و میزان صدمات بالقوه یک حمله شناسایی می‌شوند، و قابلیت بهره‌برداری از آسیب‌پذیری، که از طریق میزان سادگی شناسایی آسیب‌پذیری و انجام حمله و اندازه و سطح دسترسی گروه مهاجمین شناسایی می‌شود، تعیین می‌شوند.
بر اساس یافته‌های FireEye، تقریبا ۳۳ درصد از مخاطرات امنیتی در محیط‌های ICS بحرانی و با درجه اهمیت زیاد هستند. از این رو، وقوع حملات جدی که منجر به اختلال در سیستم‌ها شود زیاد است.
شرکت امنیتی FireEye توصیه‌هایی را برای کاهش اثرات کرده است.
مخاطرات متداول مربوط به آسیب‌پذیری‌ها، وصله‌ها و بروزرسانی‌ها که مورد اول جدول است، شامل موارد زیر است:
• وجود رویه‌های نامکرر برای بروزرسانی ؛
• وجود firmware، سخت‌افزار و سیستم‌عامل‌های قدیمی در دستگاه‌های شبکه، دیوارهای آتش، مسیریاب‌ها، تجهیزات سخت‌افزاری مانند کنترل‌کننده‌های منطقی قابل برنامه‌ریزی (PLC) و غیره؛
• وجود آسیب‌پذیری در نرم‌افزارها و تجهیزات‌ها و عدم اعمال وصله‌های برطرف‌کننده آن‌ها؛
• عدم وجود آزمون‌های محیطی برای تحلیل وصله‌ها و بروزرسانی‌ها، قبل از پیاده‌سازی آن‌ها.

رویکردهای کاهش اثرات این مخاطرات:
• ایجاد یک استراتژی مدیریت جامع آسیب‌پذیری در ICS و درج رویه‌هایی برای پیاده‌سازی وصله‌ها و بروزرسانی‌ها روی دارای‌های کلیدی در این استراتژی.
• در صورتی که وصله یا بروزرسانی برای برای زیر ساخت‌های کلیدی ارائه نشده باشد، یکی از دو مورد زیر انجام شود:
o داراییهای آسیب‌دیده در یک محیط امنیتی قرار داده شوند، برای مثال از یک دیوار آتش برای کنترل دسترسی و فیلتر ترافیک استفاده شود.
o دستگاه‌های آسیب‌دیده و قدیمی که ممکن است برای نفوذ به شبکه از آنها سوء استفاده شود را حذف کنید.
• سیستم‌های توسعه یا آزمایشگاه‌هایی برای دستگاه‌های در حال اجرا ICS و IT ایجاد شوند.

مخاطرات متداول مربوط به مدیریت دسترسی و شناسایی که مورد دوم جدول است، مربوط به نقص‌هایی است که درباره مدیریت گذرواژه‌ها و اطلاعات احرازهویت می‌شود. این مخاطرات شامل موارد زیر است:
• نبود احرازهویت چند عاملی برای حساب‌های بحرانی و دسترسی از راه دور؛
• نبود سیاست تعیین گذرواژه قوی و جامع (استفاده از گذرواژه٬های ضعیف، عدم تغییر مداوم گذرواژه‌ها و تعیین یک گذرواژه برای چند حساب)؛
• نمایش گذرواژه٬ها؛
• وجود گذرواژههای پیشفرض و شناخته شده در دستگاه‌ها؛
• استفاده از اطلاعات احرازهویت اشتراکی.

رویکردهای کاهش اثرات این مخاطرات:
• پیاده‌سازی احرازهویت دو عاملی؛
• جلوگیری از کپی گذرواژه‌ها و نمایش آن‌ها؛
• تعیین سیاست گذرواژه که ملزم به استفاده از گذرواژه قوی می‌کند؛
• عدم استفاده از نام‌های کاربری متداول مانند admin، administer و غیره،
• جلوگیری از استفاده از حساب‌های اشتراکی.
ادامه در آدرس زیر:
https://t.me/ics_cert/19
📌👈🏻برای آگاهی رسانی بیشتر, دیگر دوستانتان را نیز به عضویت کانال دعوت کنید.
https://t.me/ics_cert

مخاطرات متداول مربوط به معماری و تقسیم‌بندی شبکه که مورد سوم جدول است، شانس گسترش بدافزار و دسترسی از راه دور مهاجم را افزایش می‌دهد. این مخاطرات شامل موارد زیر است:
• سیستم‌های صنعتی از سیستم‌های شرکت قابل دسترسی هستند. همچنین وجود آسیب‌پذیری در دستگاه‌های پل (Bridged)؛
• سیستم‌های Dual-homde؛
• شبکه‌های صنعتی به طور مستقیم قابل دسترسی از اینترنت هستند.
رویکردهای کاهش اثرات این مخاطرات:
• تمامی دسترسی‌ها به ICS با یک شبکه DMZ تقسیم‌بندی شوند؛
o تعداد پورت‌ها، سرویس‌ها و پروتکل‌های استفاده شده برای ارتباط بین ICS و شبکه شرکت محدود شوند،
o استفاده از قوانین دیوار آتش برای فیلتر ترافیک‌های ورودی و خروجی ICS،
• ایزوله کردن شبکه‌های کنترل از اینترنت؛
• اطمینان حاصل شود تا از دیوارهای آتش مستقل که مرتب بروزرسانی و اصلاح می‌شوند، برای جدا کردن شبکه شرکت از شبکه ICS و DMZ استفاده می‌شود؛
• شناسایی و انتقال تمامی ترافیک‌های غیر کنترلی که شبکه صنعتی را پیمایش می‌کنند؛
• حذف تمامی هاست‌ها و سرورهای dual-homed.

این رویکردهای کاهشی مربوط به سه مورد از بیشترین مخاطرات موجود در رده بحرانی بودند که توسط FireEye ارائه شدند. سایر رویکردها نیز در گزارش این گروه منتشر شده است.
منبع:
https://www.fireeye.com/blog/threat-research/۲۰۱۸/۱۰/ics-tactical-security-trends-analysis-of-security-risks-observed-in-field.html
📌👈🏻برای آگاهی رسانی بیشتر, دیگر دوستانتان را نیز به عضویت کانال دعوت کنید.
https://t.me/ics_cert

کشف نزدیک به ۱۳ آسیب‌پذیری حیاتی در سامانه عامل های دستگاه‌های کنترل صنعتی، مخابراتی/شبکه ای و iot، امنیت هزاران سیستم و شبکه را به خطر انداخته است.
آسیب‌پذیری ها در سیستم عامل های RTOS و در ماژول های پردازش شبکه و TCP/IP کشف شده است.
https://blog.zimperium.com/freertos-tcpip-stack-vulnerabilities-put-wide-range-devices-risk-compromise-smart-homes-critical-infrastructure-systems/

📌👈🏻دوستانتان را نیز به عضویت کانال دعوت کنید.
https://t.me/ics_cert

حافظه‌های USB، تهدیدی جدی برای سامانه‌های کنترل صنعتی

به‌منظور حفاظت هر چه بیشتر از سامانه‌های موسوم به کنترل صنعتی (Industrial Control System) به‌خصوص در زیرساخت‌های حساس و حیاتی، معمولا دسترسی این سامانه و کامپیوترهای متصل به آنها به اینترنت و حتی شبکه داخلی قطع یا بسیار محدود می‌شود. در نتیجه این سیاست نیز در بسیاری مواقع استفاده از حافظه‌های جداشدنی USB برای انتقال فایل‌هایی همچون اصلاحیه‌ها و به‌روزرسانی‌ها جایگزین ارتباطات شبکه‌ای می‌شود.
محققان شرکت هانی‌ول با بررسی حافظه‌های USB استفاده شده در محل 50 مشتری خود در آمریکا، اروپا، آمریکای جنوبی و خاورمیانه دریافته‌اند که در 44 درصد این مراکز بررسی شده محصولات امنیتی حداقل یک تهدید را بر روی حافظه‌های USB مسدود کرده‌اند.
پالایشگاه‌ها، کارخانه‌های شیمایی و سازندگان کاغذ از جمله زمینه‌های فعالیت این مراکز اعلام شده است.
بر اساس آمار منتشر شده 55 درصد این تهدیدات، اسب‌های تروا (Trojan) بوده‌اند. شبکه‌های مخرب با 11 درصد، ابزارهای هک با 6 درصد و برنامه‌های بالقوه ناخواسته با 5 درصد در جایگاه‌های بعدی قرار دارند.
همچنین 15 درصد تهدیدات، بدافزارهای شناخته شده‌ای همچون Miraiو(6 درصد)، Stuxnetو(2 درصد)، TRITONو(2 درصد) و WannaCryو(1 درصد) بوده‌اند.
اجرای 26 درصد تهدیدات شناسایی شده منجر به بروز اختلالات قابل توجه در سامانه‌های کنترل صنعتی می‌شده‌ است. 16 درصد آنها نیز به‌طور خاص این تجهیزات را هدف قرار داده‌اند.
9 درصد تهدیدات مذکور به‌طور مستقیم از پودمان یا رابط کاربری USB بهره‌جویی می‌کنند. 2 درصد از آنها نیز با سوءاستفاده از پودمان Human Interface Device موجب می‌شوند که دستگاه، حافظه متصل شده را یک صفحه کلید تلقی کرده و سیاست‌های امنیتی تعیین شده از سوی سازمان را بر روی آن اجرا نکند.
خوانندگان به‌خاطر دارند که روش رخنه اولیه بدافزار فوق پیچیده Stuxnet نیز از طریق همین حافظه‌های USB بوده است.
علاوه بر به‌روزرسانی مستمر سیستم‌های عامل و بکارگیری ضدویروس قدرتمند و به‌روز، استفاده از محصولات موسوم به Device Control نیز نقشی موثر در خنثی نمودن تهدیدات مبتنی بر حافظه‌های جداشدنی USB دارند.
📌👈🏻دوستانتان را نیز به عضویت کانال دعوت کنید.
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

ببینید لیست شرکتهای اسراییلی در حوزه امنیت سایبری علی الخصوص امنیت زیرساختهای صنعتی و حیاتی و حساس
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

کشف آسیب پذیری در تجهیزات پزشکی Philips iSite و IntelliSpace PACS
تشریح آسیب پذیری:
1. خلاصه

. ATTENTION: Low skill level to exploit
. Vendor: Philips
. Equipment: iSite and IntelliSpace PACS
. Vulnerability: Weak Password Requirements
2- ارزیابی خطر

بهره برداری موفق از این آسیب پذیری ممکن است به مهاجم با دسترسی به شبکه محلی اجازه دهد تا محرمانه بودن، یکپارچگی و دسترسی یک جزء از سیستم را تحت تاثیر قرار دهد.
3. مشخصات فنی
3.1 محصولات آسیب دیده

فیلیپس نسخه های زیر را از iSite و IntelliSpace PACS گزارش می کند:

iSite PACS، تمام نسخه ها، و
IntelliSpace PACS، تمام نسخه ها.
3.2 بررسی آسیب پذیری
3.2.1 الزامات رمز عبور ضعیف CWE-521

اعتبار پیش فرض و هیچ احراز هویت در نرم افزار شخص ثالث ممکن است به مهاجم امکان دهد که یک جزء از سیستم را به خطر بیندازد.

3.3 پیش زمینه

بخش های بحرانی INFRASTRUCTURE: بهداشت و درمان و بهداشت عمومی
کشور / منطقه مورد تخریب: در سراسر جهان
محل اجاره محل شرکت: هلند

4. راهکار برطرف سازی

فیلیپس توصیه می کند که کاربران اطمینان دهد که نصب و راه اندازی IntelliSpace PACS در یک محیط سرویس مدیریت شده است تا خطر استفاده از آن را کاهش دهد (شبکه خصوصی مجازی، جداسازی فایروال از دیگر شبکه ها، بدون دسترسی به اینترنت). علاوه بر این، فیلیپس یک راه حل اتوماتیک آنتی ویروس را توصیه می کند که به طور مداوم نظارت و تهدید را در همه سیستم ها در محیط سرویس مدیریت شده نظارت می کند. فیلیپس دارای یک برنامه پچ ماهانه دوره ای است که همه کاربران IntelliSpace PACS تشویق می شوند تا درآن شرکت کنند. کاربرانی که در این برنامه شرکت می کنند، تمام سیستم عامل های مجاز Philips و تکه های برنامه را به موقع دریافت می کنند. پلت فرم Philips iSite 3.6 در حال حاضر در پایان عمر خود (EoL) و پایان سرویس (EoS) است.
فیلیپس به عنوان یک کاهش موقت به آسیب پذیری، توصیه می کند که کاربران:

. اطمینان حاصل کنید که تنها پرسنل مجاز می توانند به محیط شبکه کنترل شده وصل شوند.
. دستورالعمل های مربوط به استفاده از رابط کاربر را مرور کنید و بهترین شیوه های امنیتی را دنبال کنید.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

به روز رسانی امنیتی برای محصولات Schneider Electric Software Update -SESU (به روز رسانی A)

1. خلاصه :
. توجه: سطح مهارت پایین برای بهره برداری
. فروشنده: Schneider Electric
. تجهیزات: نرم افزار به روز رسانی (SESU)
. آسیب پذیری: ربودن DLL

2. ارزیابی خطر:
بهره برداری موفق از این آسیب پذیری می تواند به حمله کننده اجازه دهد کد دلخواه را در سیستم هدف اجرا کند.

3- مشخصات فنی:
3.1 محصولات آسیب دیده

شرکت Schneider Electric گزارش می دهد که آسیب پذیری بر محصولات نرم افزار به روز رسانی زیر تاثیر می گذارد:

Schneider Electric Software Update (SESU)، تمام نسخه های قبل از v2.2.0

-- به روز رسانی قسمت 1 از 2 -

برای لیستی از محصولات که می توانید نرم افزار را به طور اختیاری نصب کنید، لطفا اطلاعات امنیتی Schneider Electric SEVD-2018-298-01 موجود در محل زیر را مشاهده کنید:

https://www.schneider-electric.com/en/download/document/SEVD-2018-298-01
-- پایان به روز رسانی قسمت 1 از 2 -
3.2 بازبینی قابلیت اطمینان
این محصول از یک مسیر جستجوی ثابت یا کنترل برای یافتن منابع استفاده می کند. مهاجم با دسترسی محلی می تواند یک فایل خاص به دست آمده در دستگاه هدف قرار دهد که ممکن است حمله کننده را قادر به اجرای کد دلخواه کند.

3.3 پیش زمینه:
. بخش های اصلی بحران : امکانات تجاری، تولیدات بحرانی، انرژی
. کشور / منطقه مورد تخریب: در سراسر جهان
. مکان های شناسایی شده: فرانسه

4- معایب
-- آغاز به روز رسانی قسمت 2 از 2 -

بروزرسانی نرم افزار Schneider Electric به کاربران در مورد دسترسی به این بروز رسانی (نسخه 2.2.0)، که به این آسیب پذیری اشاره دارد، اطلاع خواهد داد. کاربران باید مطمئن شوند که این بروز رسانی را اعمال می کنند. علاوه بر این، به روز رسانی را می توان در هر زمان با استفاده از لینک زیر دانلود کنید:
-- پایان به روز رسانی قسمت 2 از 2 -


https://www.update.schneider-electric.com/download/SystemConsistency/SoftwareUpdate/SESU_220/SESU_2.2.0_setup_sfx.exe

5- توصیه نامه:
شرکت Schneider Electric توصیه می کند که بهترین شیوه های امنیت سایبری در صنعت را زیر نظر داشته باشید:

. شبکه های کنترل و ایمنی سیستم و دستگاه های از راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
. کنترل های فیزیکی باید در محل باشد تا هیچ شخصی غیر مجاز به کنترل کننده های ICS و ایمنی، تجهیزات جانبی یا ICS و شبکه های ایمنی دسترسی نداشته باشد.
. تمام کنترل کننده ها باید در کابین های قفل شده قرار بگیرند و هرگز در حالت "Program" قرار نگیرند.
. تمام نرم افزارهای برنامه نویسی باید در کابین های قفل شده نگه داشته شوند و هرگز نباید به هیچ شبکه ای به غیر از شبکه برای دستگاه هایی که در نظر گرفته شده متصل شوند.
. تمام روشهای تبادل داده های تلفن همراه با شبکه های جدا شده مانند سی دی ها، درایوهای USB و غیره باید قبل از استفاده در پایانه ها یا هر گره متصل به این شبکه ها اسکن شوند.
. لپ تاپ هایی که به شبکه های متصل شده به هر شبکه دیگری متصل هستند هرگز نباید اجازه اتصال به شبکه های ایمنی یا کنترل را بدون کنترل و پاکسازی مناسب فراهم کنند.
. به حداقل رساندن قرار گرفتن در معرض شبکه برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از دسترسی آنها از اینترنت.
. هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های خصوصی مجازی (VPN ها) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند. همچنین تشخیص دهید که VPN تنها به عنوان دستگاه های متصل به عنوان امن است.

اطلاعات امنیتی امنیتی Schneider Electric SEVD-2018-298-01 در محل زیر موجود است:

https://www.schneider-electric.com/en/download/document/SEVD-2018-298-01

کانال تخصصی #ICSCERT توصیه می کند که کاربران اقدامات دفاعی برای به حداقل رساندن خطر بهره برداری از این آسیب پذیری انجام دهند. به طور خاص، کاربران باید:

. به حداقل رساندن قرار گرفتن در معرض شبکه اینترنت برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از عدم دسترسی آنها.
. شبکه های کنترل سیستم و دستگاه های راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
. هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های مجازی خصوصی (VPNs) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند. همچنین تشخیص دهید که VPN تنها به عنوان دستگاه های متصل به عنوان امن است.
🏭
https://t.me/ics_cert

کانال تخصصی #ICSCERT به سازمان ها توصیه می کند تا قبل از اعمال تدابیر دفاعی، تجزیه و تحلیل مناسب و ارزیابی خطر را انجام دهند.

دستورالعمل های کمکی اضافی و شیوه های توصیه شده به طور عمومی در کانال تخصصی #ICSCERT در مقاله فنیراهکارهای تشخیص نفوذ و مقابله با خطرات هدف قرار داده شده است .

سازمانهایی که هرگونه فعالیت مخرب مظنون را مشاهده می کنند باید از روش های داخلی داخلی خود پیروی کنند و یافته های خود را به کانال تخصصی #ICSCERT برای ردیابی و همبستگی در برابر سایر حوادث گزارش دهند.

هیچ سوء استفاده عمومی شناخته شده به طور خاص این آسیب پذیری را هدف قرار نمی دهد. این آسیب پذیری از راه دور قابل بهره برداری نیست.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

U.S. critical infrastructure dependency flow according to econometric analysis (adapted from Macaulay 2009)
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

Top 20 malware families used in attacks against organizations in the water and energy industries (October 2017 to February 2018)

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

چه کسانی امکانات و تجهیزات ICS را هدف قرار می دهند و چطور؟
چشم انداز تهدید ICS

تعداد حملات سایبری به سیستم های کنترل صنعتی به سرعت در حال افزایش است. بازیگران دولتی، مجرمان سایبری و هکوتیست ها آنها را تهدید می کنند. در ماه سپتامبر، کارشناسان امنیتی آزمایشگاه کسپرسکی گزارشی با عنوان «چشم انداز تهدید برای سیستم های اتوماسیون صنعتی» را برای سال های 2018 منتشر کردند که شامل اطلاعات مربوط به حملات علیه سیستم های ICS در شش ماه اول سال می شود. تعداد نمونه های مخرب که توسط Kaspersky تشخیص داده شده است بیش از 19،400 است و متعلق به حدود 2800 خانواده مخرب است که اکثر آنها تهدیدی خاص برای این دسته از دستگاه ها نیست. کارشناسان نشان دادند که اکثر آلودگی ها ناشی از حملات تصادفی است.

براساس گزارش Kaspersky، تعداد حملات علیه سیستم های ICS که توسط این شرکت محافظت می شود، به 41.2 درصد رسید. در مقایسه با نیمه اول سال 2017، کارشناسان میزان افزایش مجموعی تعداد عملیات حمله را 5 درصد اعلام کردند.

بیشتر حملات سیستم کامپیوتری را در کشورهایی که تولید ناخالص داخلی سرانه در آسیا، آمریکای لاتین و شمال آفریقا کم است، در حالی که در ایالات متحده تنها 21.4 درصد از سیستم های ICS را تحت تاثیر قرار داد،

با این حال، چندین منطقه از حملات مکرر و مخرب به سیستم های کنترل صنعتی خود رنج می بردند. در جنوب شرقی آسیا، بیش از 60 درصد ICS در نیمه اول سال 2018 مورد حمله قرار گرفتند؛ آفریقا در حدود 60 درصد از ICS مورد حمله قرار گرفت، با جنوب آسیا حدود 55 درصد، آسیای مرکزی حدود 53 درصد و روسیه 45 درصد است.

توزیع جغرافیایی حملات به سیستم های اتوماسیون صنعتی نشان داد که کشورهایی که بیشترین تعداد حملات را به ترتیب درصد ویتنام (75.1 درصد)، الجزایر (71.6 درصد) و مراکش (65 درصد)، در حالی که امن ترین مناطق برای سیستم های ICS، دانمارک بود 14 درصد)، ایرلند (14.4 درصد) و سوئیس (15.9 درصد).


در حالی که بیشتر حملات از اینترنت بود، 27 درصد از حملات از منابع وب، 8.4 درصد از رسانه های قابل حمل قابل حمل استفاده می شد و فقط 3.8 درصد از مشتریان ایمیل بود.

"این الگو به نظر منطقی می رسد: شبکه های صنعتی مدرن به سختی می توانند از سیستم های خارجی جدا شوند. امروز، رابط کاربری بین شبکه صنعتی و شبکه شرکتی برای کنترل پروسس های صنعتی و مدیریت شبکه ها و سیستم های صنعتی مورد نیاز است.

در سال 2011، مهاجمان از وب سایت های قانونی برای میزبانی اجزای مخرب در آنها استفاده می کردند. محققان افزایش درصد رایانه های ICS که از طریق مرورگرها مورد حمله قرار گرفتند، به افزایش تعداد حملات که شامل معدنچیان cryptocurrency جاوااسکریپت بودند.

کارشناسان همچنین اشاره کردند که افزایش تعداد حملات با استفاده از اسناد مایکروسافت آفیس به عنوان بردار حمله (ورد، اکسل، RTF، پاورپوینت، Visio و غیره) همراه با کمپین های فیشینگ بود.

"محققان کسپرسکی در این گزارش اظهار داشتند:" در سال 2011، بازیگران تهدید به حمله به وب سایت های قانونی که آسیب پذیری در برنامه های وب خود را داشتند، برای میزبانی ابزارهای مخرب در این وب سایت ها ادامه یافت. " به طور مشخص، افزایش تعداد رایانه های ICS که از طریق مرورگرها در سال 2018 به طول انجامید، به دلیل افزایش تعداد حملات که شامل cryptocurrency جاوااسکریپت بود، افزایش یافت. در عین حال، افزایش تعداد کامپیوترهای ICS با استفاده از اسناد مایکروسافت آفیس با امواج ایمیل های فیشینگ همراه بود. "

اطلاعات بیشتر در مورد حملات علیه سیستم های ICS در سال 2018 H1 در نسخه کامل این گزارش موجود است.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

شکل 1: توزیع جغرافیایی حملات به سیستم های اتوماسیون صنعتی، H1 2018، درصد کامپیوترهای ICS مورد حمله در هر کشوری (منبع: آزمایشگاه کسپرسکی)

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

شکل 2: منابع اصلی تهدیدهای مسدود شده در رایانه های ICS (درصد رایانه های مورد حمله طی دوره های نیم سال) (منبع: آزمایشگاه کسپرسکی)

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

افشای اطلاعات زیرساخت برق کشور در وبسایت توانیر:
http://www2.tavanir.org.ir/info/stat81/36farsi/htm/p200.htm
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

افشای اطلاعات زیرساخت برق کشور در وبسایت توانیر:
http://www2.tavanir.org.ir/info/stat85/40htmlf/MAPx2.htm
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

شرکت Schneider Electric هشدار می دهد که آسیب پذیری های متعددی در محصولات پارکینگ EVLink شامل آسیب پذیری "بحرانی" وجود دارد.

طبق اعلامیه امنیتی 20 دسامبر صادر شده توسط شرکت، آسیب پذیری بحرانی توسط اعتبار های سخت افزاری ایجاد شده است که به مهاجم امکان دسترسی به دستگاه را می دهد.

Schneider Electric همچنین یک آسیب پذیری تزریقی دارای رتبه بالا با نام "High" را نشان داد که می توانست به مهاجم اجازه دسترسی به دستگاه و همچنین آسیب پذیری SQL Injection rated "Medium" را بدهد که می توانست با دسترسی کامل به رابط وب دسترسی داشته باشد.

آسیب پذیری ها EVLink Parking v3.2.0-12_v1 و نسخه های قبلی را تحت تاثیر قرار می دهند و محققان قبلا یک پچ برای رفع اشکالات منتشر کرده اند. کاربران همچنین می توانند یک فایروال را برای جلوگیری از دسترسی از راه دور یا خارجی به جز توسط کاربران مجاز به عنوان یک راه حل یا مقابله با آن برای کاهش خطر و بهترین شیوه ها که همیشه توصیه می شود، تنظیم کنند.
مستند فنی آسیب پذیری:
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2018-354-01-EVLink.pdf&p_Doc_Ref=SEVD-2018-354-01
وصله رفع آسیب پذیری:
https://www.scmagazine.com/?s=patch+tuesday
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

مرور گذشته:
استاکس نت چگونه و از طریق کدام شرکتها وارد تاسیسات انرژی اتمی ایران شد؟
منبع: کسپراسکس
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert

انتخاب کابل های VGA محافظ یا DisplayPort برای مقابله با حملات #TEMPEST
(تصاویر HDMI یا DVI به راحتی از سیگنال ها بازسازی می شوند)
نمونه ای از بازسازی و کپی تصاویر را در تصویر بالا ببینید.
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert