Vulnerabilitățile din sistemele industriale nu se epuizează

În ultimul an, au fost identificate peste 400 de vulnerabilități în legătură cu sistemele de control industrial. Nici remedierile de erori nu au ajuns întotdeauna la ritmul așteptat.

sistemele

--> ->
Firma de cibersecuritate Dragos a realizat sondajul din 2019 analizând vulnerabilitățile din sistemele de control industrial (ICS). În acest proces, s-a dezvăluit că anul trecut au fost descoperite un total de 433 de vulnerabilități care ar putea reprezenta o amenințare pentru sistemele ICS. Acest lucru este în conformitate cu datele din 2018, ceea ce înseamnă că numărul vulnerabilităților nou descoperite a stagnat.

Potrivit cercetătorilor, majoritatea vulnerabilităților de securitate s-au datorat controlului insuficient al parametrilor de intrare și al altor date, dar vulnerabilitățile care ar putea duce la depășiri de tampon, atacuri bazate pe XSS (cross-site scripting) și refuzuri de serviciu au fost, de asemenea, relativ frecvente . În plus, în mai multe cazuri, aceste sisteme critice trebuiau încorporate cu parole „din fabrică”.

77 la sută din vulnerabilități au afectat componentele sistemului care fac parte integrantă din infrastructurile ICS: stații de lucru inginerești, echipamente de rețea industrială, dispozitive externalizate, panouri de operare etc.

Trei sferturi din vulnerabilități ar putea fi exploatate și într-o rețea, în timp ce restul ar putea fi exploatate doar în așa fel încât un atacator să aibă acces fizic local și direct la dispozitivul afectat pentru a exploata „oportunitățile” inerente vulnerabilității. . În general, jumătate din vulnerabilități au fost asociate cu riscul ca o organizație să-și piardă capacitatea de a monitoriza sistemele sau chiar să preia controlul complet al sistemelor sale în timpul unui atac.

Dragos a evidențiat, de asemenea, un alt fapt îngrijorător: 26% dintre vulnerabilitățile în cauză nu aveau nicio soluție disponibilă atunci când bug-urile au fost făcute publice. Pentru o proporție semnificativă dintre acestea, nu numai că nu a existat niciun patch, dar nu au fost disponibile alte opțiuni de atenuare a riscurilor.