Stuxnet-style SCADA attack kept quiet after US gov tests
'Phần mềm độc hại mức công nghiệp mà không có sự hỗ trợ của nhà nước'
'Industrial grade malware without nation state backing'
By John Leyden • Get more from this author
Posted in Malware, 19th May 2011 12:26 GMT
Theo: http://www.theregister.co.uk/2011/05/19/scada_vuln_talk_cancelled/
Bài được đưa lên Internet ngày: 19/05/2011
Lời người dịch: “Các nhà nghiên cứu an ninh đã quyết định hủy bỏ một cuộc trình diễn đã được lên kế hoạch về các lỗ hổng an ninh trong các hệ thống kiểm soát từ Siemens sau các yêu cầu từ nhà sản xuất Đức và một đội phản ứng về an ninh”, trong đó có cả Phòng thí nghiệm Quốc gia (Mỹ) tại Idaho. “Các hệ thống SCADA kiểm soát mọi thứ từ các van trong đường ống dẫn dầu và khí cho tới các mạng lưới điện, các cảm biến đo sức nóng trong các nhà máy điện và các máy rửa chai trong các nhà máy sản xuất đồ uống”. Một trong những lý do hoãn được đưa ra là: “Vì ảnh hưởng nghiêm trọng về vật lý, tài chính nên các vấn đề này có thể có trên nền tảng toàn cầu, các chi tiết xa hơn sẽ được làm cho sẵn sàng tại thời điểm phù hợp. Những chủ nhân/các nhà vận hành hợp pháp các PLC SCADA hàng đầu có thể liên hệ với chúng tôi để có thêm các thông tin”.
Các nhà nghiên cứu an ninh đã quyết định hủy bỏ một cuộc trình diễn đã được lên kế hoạch về các lỗ hổng an ninh trong các hệ thống kiểm soát từ Siemens sau các yêu cầu từ nhà sản xuất Đức và một đội phản ứng về an ninh.
Dillon Beresford, một nhà phân tích an ninh tại Phòng thí nghiệm NSS, và nhà nghiên cứu an ninh độc lập Brian Meixell từng được giao trách nhiệm tiến hành một cuộc trình diễn - với đầu đề Chuỗi Các phản ứng - Thâm nhập SCADA - tại Hội nghị TakeDown tại Dallas hôm thứ tư.
Họ đã chia sẻ nghiên cứu của họ sẵn sàng trước với Siemens, Đội Phản ứng nhanh Sự cố Không gian mạng các Hệ thống Kiểm soát Công nghiệp ICS-CERT, và Phòng thí nghiệm Quốc gia Idaho. Siemens đã đề nghị 2 nhà nghiên cứu kìm lại trong bài nói chuyện, bao trùm các cơ chế có thể để tấn công các hệ thống kiểm soát công nghiệp cùng với một trình bày thực tế.
Beresford và Meixell đã đồng ý hoãn trình bày của họ. “Chúng tôi đã được đề nghị rất dễ chịu nếu chúng tôi có thể kìm lại không đưa ra thông tin đó lần này”, Beresford đã nói cho CNET. “Tôi đã tự quyết định rằng điều đó có thể là có lợi nhất về an ninh nếu không đưa ra các thông tin”.
Sau đó, khi nói cho Wired, Beresford đã bổ sung thêm rằng “Bộ An ninh Nội địa DHS đã không kiểm duyệt bài trình bày”. Beresford nói rằng ông đã thấy nhiều chỗ bị tổn thương trong các hệ thống SCADA mà ông đã kiểm thử, không nói các lỗii nào có thể. Ít nhất một trong những lỗi có thể ảnh hưởng tới nhiều nhà cung cấp.
Phòng thí nghiệm NSS đã nhấn mạnh rằng không có áp lực pháp lý nào đã đặt ra để Beresford đình hoãn cuộc nói chuyện, mà ông ta đã hoãn vì các kỹ thuật giảm nhẹ được đề xuất được gợi ý từ Siemens đã không đủ để làm việc với các mối đe dọa mà cuộc nói chuyện có thể đã nhấn mạnh.
Security researchers decided to cancel a planned demonstration of security holes in industrial control systems from Siemens following requests from the German manufacturer and a security response team.
Dillon Beresford, a security analyst at NSS Labs, and independent security researcher Brian Meixell were due to make a presentation – entitled Chain Reactions–Hacking SCADA – at the TakeDown Conference in Dallas on Wednesday.
They shared their research beforehand with Siemens, ICS-CERT (Industrial Control Systems Cyber Emergency Response Team – a division of the Department of Homeland Security), and the Idaho National Lab. Siemens asked the two researchers to hold fire on the talk, which covered possible mechanisms to attack industrial control systems along with a practical demonstration.
Beresford and Meixell agreed to delay their presentation. "We were asked very nicely if we could refrain from providing that information at this time," Beresford told CNET. "I decided on my own that it would be in the best interest of security to not release the information."
Later, speaking to Wired, Beresford added that the "DHS in no way tried to censor the presentation". Beresford said that he had found multiple vulnerabilities in the SCADA systems he tested, without saying what these bugs might be. At least one of the security flaws may affect multiple vendors.
NSS Labs stressed that no legal pressure had been placed on Beresford to cancel the talk, which he postponed because the proposed mitigation techniques suggested by Siemens were insufficient to deal with threats the talk would have highlighted.
Một tóm tắt cuộc nói chuyện bị hoãn giải thích:
Những khai thác SCADA gần đây đã chiếm vị trí trung tâm trong cộng đồng quốc tế. Các dạng các chỗ bị tổn thương này đặt ra những mối đe dọa đáng kể cho hạ tầng sống còn. Kết hợp với các khai thác truyền thống với các hệ thống kiểm soát công nghiệp cho phép các kẻ tấn công vũ khí hóa mã độc, như được trình diễn với Stuxnet. Các cuộc tấn công chống lại các cơ sở hạt nhân của Iran đã được bắt đầu bằng một loạt các sự kiện làm chậm lại sự tăng nhanh của các vũ khí hạt nhân.
Chúng tôi sẽ trình bày cách mà những kẻ tấn công có động cơ có thể thâm nhập được thậm chí vào các cơ sở được phòng vệ mạnh nhất trên thế giới, mà không có sự hỗ trợ của một nhà nước quốc gia. Chúng tôi cũng sẽ trình bày cách để viết phần mềm độc hại ở mức độ công nghiệp mà không có sự truy cập trực tiếp tới các phần cứng đích. Sau tất cả, nếu sự truy cập vật lý được yêu cầu, thì những gì có thể sẽ là điểm thâm nhập vào một hệ thống kiểm soát công nghiệp chăng?
Những khiếm khuyết về an ninh trong các Trình kiểm soát Logic Có thể lập trình được PLC (Programmable Logic Controllers) bên trong các hệ thống SCADA từ Siemens từng là mục tiêu của sâu nổi tiếng Stuxnet, mà các nhà chức trách Iran đã thừa nhận chúng đã thâm nhập vào các cơ sở hạt nhân của họ và đã phá hoại các hệ thống đó. Các hệ thống SCADA kiểm soát mọi thứ từ các van trong đường ống dẫn dầu và khí cho tới các mạng lưới điện, các cảm biến đo sức nóng trong các nhà máy điện và các máy rửa chai trong các nhà máy sản xuất đồ uống.
Trong một bài trên blog giải thích quyết định hoãn nói chuyện an ninh SCADA, Phòng thí nghiệm NSS đã giải thích rằng: “những chỗ bị tổn thương thêm đáng kể trong các hệ thống kiểm soát công nghiệp đã được xác định, được tiết lộ và được làm cho hợp lệ một cách có trách nhiệm bởi các bên bị ảnh hưởng”.
Nó còn bổ sung thêm: “Vì ảnh hưởng nghiêm trọng về vật lý, tài chính nên các vấn đề này có thể có trên nền tảng toàn cầu, các chi tiết xa hơn sẽ được làm cho sẵn sàng tại thời điểm phù hợp. Những chủ nhân/các nhà vận hành hợp pháp các PLC SCADA hàng đầu có thể liên hệ với chúng tôi để có thêm các thông tin”.
A synopsis of the cancelled talk explains:
SCADA exploits have recently taken center stage in the international community. These types of vulnerabilities pose significant threats to critical infrastructure. Combining traditional exploits with industrial control systems allows attackers to weaponize malicious code, as demonstrated with Stuxnet. The attacks against Iran’s nuclear facilities were started by a sequence of events that delayed the proliferation of nuclear weapons.
We will demonstrate how motivated attackers could penetrate even the most heavily fortified facilities in the world, without the backing of a nation state. We will also present how to write industrial grade malware without having direct access to the target hardware. After all, if physical access was required, what would be the point of hacking into an industrial control system?
Security shortcomings in the Programmable Logic Controllers within SCADA systems from Siemens were the target of the infamous Stuxnet worm, which Iranian authorities have admitted infiltrated its nuclear facilities and sabotaged systems. SCADA systems control everything from valves on oil and gas pipeline to energy grids, heat sensors in power plants and bottle washers in beverage manufacturing factories.
In a blog post explaining the decision to postpone the SCADA security talk, NSS Labs explained that "significant additional vulnerabilities in industrial control systems have been identified, responsibly disclosed and validated by affected parties".
It added: "Due to the serious physical, financial impact these issues could have on a worldwide basis, further details will be made available at the appropriate time. Legitimate owners/operators of leading SCADA PLCs may contact us for further information." ®
Dịch tài liệu: Lê Trung Nghĩa
Không có nhận xét nào:
Đăng nhận xét
Lưu ý: Chỉ thành viên của blog này mới được đăng nhận xét.