Positive Technologies: периферийные устройства — вектор взлома промышленного IoT

Согласно исследованию Positive Technologies, злоумышленники получают доступ к промышленному интернету вещей через периферийные устройства, в том числе через датчики и контроллеры. Их можно атаковать, используя аппаратные уязвимости и недостатки прошивки, вредоносное ПО, слабые пароли и незащищенный выход в интернет. Кроме того, отмечаются случаи взлома протоколов передачи данных и IoT-шлюзов, а также киберугрозы для аналитических систем и специфического промышленного ПО.

Отчёт Fortune Business Insights показывает: в 2023 году самый высокий уровень проникновения интернета вещей наблюдался в области здравоохранения, в производственном секторе, в телекоммуникациях и сельском хозяйстве. При этом, по результатам наших опросов, компании внедряют промышленный интернет вещей для решения двух и более задач: в основном для мониторинга производственных, технологических процессов и автоматизации их корректировки, а также в целях анализа состояния ИТ-оборудования.

Так, в энергетике технологии IIoT применяются для модернизации каналов электроснабжения и реализации интеллектуальных энергосетей. В нефтехимической отрасли — для автоматического распознавания отклонений от производственных норм. В металлургии — для сбора данных с датчиков, находящихся на труднодоступных участках производства. В машиностроении IIoT дает возможность контролировать и анализировать в режиме реального времени функционирование оборудования и работу персонала.

«Сегодня все большее число компаний переходит на автопилотирование процессов с помощью передовых технологий, в том числе искусственного интеллекта. Речь идет и о создании цифровых двойников, на которых можно проверять функционирование промышленных систем при определенных условиях и тестировать эффективность принятых мер безопасности, — отмечает старший аналитик исследовательской группы Positive Technologies Екатерина Снегирева. — А интегрируя интернет вещей и аналитику данных, предприятия могут отслеживать состояние оборудования и выявлять сбои до их возникновения».

Последние пять лет промышленность остается одной из самых атакуемых отраслей. За первые три квартала 2024 года в 19% случаев промышленные организации атаковали АРТ-группировки. Чаще всего для атак использовалось вредоносное ПО (79%) (в половине случаев это шифровальщики), а также методы социальной инженерии (58%) и эксплуатация уязвимостей (37%). Также злоумышленники стали чаще применять легальное ПО, чтобы снизить риск обнаружения средствами защиты.

На теневых форумах распространяются как обучающие материалы по взлому промышленных систем, так и отдельные инструменты для атак. Например, эксплойт, позволяющий захватить IoT-шлюз для отправки вредоносных команд на подключенные устройства, может обойтись в 1000 $. Также киберпреступники предлагают разработку эксплойтов на заказ.

Основная цель атакующих — получение конфиденциальной информации (65%), при этом в 37% случаев речь о коммерческой тайне. К нарушению производственных процессов на предприятиях привели 33% инцидентов.

Сфера IIoT сталкивается с проблемой недостаточной стандартизации, однако некоторые страны уже принимают соответствующие законы и программы. В России государство и отраслевые игроки также объединяются для цифровой трансформации промышленности. Например, в 2024 году был зарегистрирован первый в стране орган по сертификации доверенных программно-аппаратных комплексов. Ожидается, что сертификация охватит и компоненты IIoT.

Для защиты мы рекомендуем использовать автопилот для результативной кибербезопасности MaxPatrol O2, проводить инвентаризацию активов и своевременно устранять уязвимости, обеспечить сегментацию технологической сети и безопасность цепочек поставок аппаратного и программного обеспечения, регулярно обучать персонал. Кроме того, мы считаем важным участвовать в программах поиска уязвимостей за вознаграждение, в том числе регулярно проводить проверку защищенности предприятия в формате APT bug bounty. Для анализа трафика в промышленных сетях можно использовать PT Industrial Security Incident Manager, а для обнаружения целевых атак на конечных устройствах — MaxPatrol EDR.