Smart Building – cyberbezpieczeństwo musi być priorytetem cz. 2

W pierwszym artykule omawiającym zagrożenia związane z obiektami typu Smart Building przedstawiliśmy czym są budynki inteligentne, z jakich systemów się składają i podaliśmy przykłady ataków. Teraz chcielibyśmy skupić się na zagadnieniach związanych z analizą skali zagrożeń oraz przyczyn ataków.

Jaka jest skala zagrożeń?

Systemy Smart Building (BMS) do wymiany danych używają standaryzowanych protokołów komunikacyjnych, które powstały na potrzeby rozwiązań związanych z automatyką budynków, m.in:

  • BACnet
  • KNX/EIB
  • LONworks

Jedną z kluczowych kwestii w analizie bezpieczeństwa systemów automatyki budynkowej jest uświadomienie sobie, że wyżej wymienione protokoły powstawały w latach 80-tych i 90-tych, kiedy liczyła się ich funkcjonalność, a nie cyberbezpieczeństwo. Początkowo, jako medium transmisji wykorzystywały przede wszystkim parę skrętki miedzianej. Dopiero później dodawano kolejne media, takie jak: Ethernet, czy łączność bezprzewodową. Spowodowało to, że odizolowane wcześniej urządzenia mogą być teraz wyeksponowane do wewnętrznej sieci IT lub nawet bezpośrednio do sieci Internet.

Na początkowym etapie rozwoju protokołów automatyki budynkowej nikt nie był w stanie przewidzieć tak szybkiego skoku technologicznego, a co najważniejsze, że systemy oparte na protokołach BACnet, KNX, LON, Modbus staną się jedynie częścią dużo większej struktury, jaką jest system Smart Building.

Shodan – identyfikacja niezabezpieczonych hostów

Jednym z głównych możliwych źródeł ataków hakerskich na obiekty Smart Building jest udostępnienie ich systemów i urządzeń do sieci Internet. W celu identyfikacji potencjalnych celów ataków możemy wspomóc się portalem Shodan (www.shodan.io). Jest to silnik, który skanuje sieć Internet i pokazuje dostępne w niej hosty spełniające określone kryteria. Bardzo duża część ataków lub analiz podatności ma swój początek od identyfikacji hosta.

Przykładowy zbiór wyników dla numeru portu zarezerwowanego dla protokołu BACnet: 47808

W skali globalnej

W skali kraju

Nie oznacza to, że wszystkie urządzenia widoczne na portalu Shodan są bezpośrednio podatne na ataki lub istnieją znane na dla nich podatności. Jest to wstęp do analizy, a w przypadku odkrycia podatności do wyspecyfikowania zagrożonych urządzeń.

Urządzenia oraz systemy są często udostępniane w Internecie bez odpowiedniego zabezpieczenia.

Wymieniony w pierwszej części artykułu incydent związany z 319 systemami BMS firmy RDM obsługującymi instalacje chłodnicze był znacząco ułatwiony dzięki danym znalezionym na portalu Shodan. Identyfikacja potencjalnie nieprawidłowo zabezpieczonych systemów miała miejsce przy wykorzystaniu odpowiednich zapytań, a następnie analizy zgromadzonych danych. Dostęp do wyselekcjonowanych systemów był możliwy przy wykorzystaniu domyślnego loginu oraz hasła, a w niektórych przypadkach nie wymagał nawet logowania. Pomimo, że od zgłoszenia problemu minęły ponad 3 miesiące to nadal część z obiektów pozostaje niezabezpieczona.

Przykład systemu chłodniczego dostępnego bez procesu logowania

Jakie elementy systemów automatyki budynkowej udostępnione są do sieci Internet?

Mogą to być interfejsy webowe systemów BMS, które pozwalają na zdalny dostęp oraz zarządzanie obiektem:

Dostęp do takiego systemu możliwy jest pod warunkiem, że znamy adres IP oraz port, na którym działa web server. Musimy znać również dane dostępowe do naszego konta.

Jak pokazują przypadki researchu oraz raportów logowanie do części z tych systemów możliwe jest z wykorzystaniem domyślnego loginu oraz hasła. Dodatkowo dla części systemów znane są podatności z zakresu cyberbezpieczeństwa, które mogą być przyczyną ataków.

Posługując się odpowiednimi zapytaniami oraz kryteriami możemy zidentyfikować również systemy BMS oparte o protokół BACnet, gdzie możliwy jest przegląd elementów systemu, a nawet zmiana wartości poszczególnych obiektów bez dodatkowej autoryzacji:

Podgląd zmiennych dla systemu BACnet

Mapa sieci BACnet

Udostępnienie do Internetu to tylko jeden z wektorów ataku. Co jeszcze może przyczynić się do zwiększenia zagrożenia?

Najczęstsze przyczyny ataków na systemy Smart Building:

  • niedopełnienie „dobrych praktyk” oraz zaleceń producentów urządzeń,
  • błędy ludzkie na etapie konfiguracji oraz zarządzania systemem,
  • podatności zidentyfikowane w urządzeniach (również w związku z wykorzystywanymi komponentami Open Source),
  • brak odpowiednich zabezpieczeń infrastruktury sieciowej,
  • nie uwzględnianie specyfiki „insecure by design” dla kluczowych protokołów oraz technologii stosowanych w Smart Building,
  • łączenie rozwiązań od różnych producentów i dostawców,
  • brak polityki na temat „Bring Your Own Device” stwarzającej dodatkowy wektor ataku,
  • system Smart Building może być zagrożony nie będąc bezpośrednim celem ataku, lecz na skutek ataku na pozostałe komponenty obiektu, które w różny sposób mogą być z nimi powiązane (sieć intranet, architektura IT itp.).

Dodaj komentarz

0 komentarzy

Wyślij komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *