Positive Technologies: периферийные устройства¹ — вектор взлома промышленного IoT

Согласно исследованию Positive Technologies², злоумышленники получают доступ к промышленному интернету вещей через периферийные устройства, в том числе через датчики и контроллеры. Их можно атаковать, используя аппаратные уязвимости и недостатки прошивки, вредоносное ПО, слабые пароли и незащищенный выход в интернет. Кроме того, отмечаются случаи взлома протоколов передачи данных и IoT-шлюзов, а также киберугрозы для аналитических систем и специфического промышленного ПО.

Отчет Fortune Business Insights показывает: в 2023 году самый высокий уровень проникновения интернета вещей наблюдался в области здравоохранения, в производственном секторе, в телекоммуникациях и сельском хозяйстве. При этом, по результатам наших опросов³, компании внедряют промышленный интернет вещей для решения двух и более задач: в основном для мониторинга производственных, технологических процессов и автоматизации их корректировки, а также в целях анализа состояния ИТ-оборудования. 

Так, в энергетике технологии IIoT применяются для модернизации каналов электроснабжения и реализации интеллектуальных энергосетей. В нефтехимической отрасли — для автоматического распознавания отклонений от производственных норм. В металлургии — для сбора данных с датчиков, находящихся на труднодоступных участках производства. В машиностроении IIoT дает возможность контролировать и анализировать в режиме реального времени функционирование оборудования и работу персонала.

Последние пять лет промышленность остается одной из самых атакуемых отраслей. За первые три квартала 2024 года в 19% случаев промышленные организации атаковали АРТ-группировки. Чаще всего для атак использовалось вредоносное ПО (79%) (в половине случаев это шифровальщики), а также методы социальной инженерии (58%) и эксплуатация уязвимостей (37%). Также злоумышленники стали чаще применять легальное ПО, чтобы снизить риск обнаружения средствами защиты. 

На теневых форумах распространяются как обучающие материалы по взлому промышленных систем, так и отдельные инструменты для атак. Например, эксплойт, позволяющий захватить IoT-шлюз для отправки вредоносных команд на подключенные устройства, может обойтись в 1000 $. Также киберпреступники предлагают разработку эксплойтов на заказ.

Основная цель атакующих — получение конфиденциальной информации (65%), при этом в 37% случаев речь о коммерческой тайне. К нарушению производственных процессов на предприятиях привели 33% инцидентов. 

Сфера IIoT сталкивается с проблемой недостаточной стандартизации, однако некоторые страны уже принимают соответствующие законы и программы. В России государство и отраслевые игроки также объединяются для цифровой трансформации промышленности. Например, в 2024 году был зарегистрирован первый в стране орган по сертификации доверенных программно-аппаратных комплексов. Ожидается, что сертификация охватит и компоненты IIoT.

Для защиты мы рекомендуем использовать автопилот для результативной кибербезопасности MaxPatrol O2, проводить инвентаризацию активов и своевременно устранять уязвимости, обеспечить сегментацию технологической сети и безопасность цепочек поставок аппаратного и программного обеспечения, регулярно обучать персонал. Кроме того, мы считаем важным участвовать в программах поиска уязвимостей за вознаграждение, в том числе регулярно проводить проверку защищенности предприятия в формате APT bug bounty. Для анализа трафика в промышленных сетях можно использовать PT Industrial Security Incident Manager, а для обнаружения целевых атак на конечных устройствах — MaxPatrol EDR.

1. К периферийным устройствам относятся конечные устройства, которые собирают данные о физических параметрах (о положении в пространстве, напряжении, давлении, приложенном физическом усилии и т. п.), а также позволяют воздействовать на физический мир.
2. Отчет содержит информацию об общемировых и российских актуальных угрозах в сфере ИБ, основанную на собственной экспертизе Positive Technologies, результатах расследований, исследованиях теневого рынка, а также на открытых данных авторитетных источников.
3. Опрос проводился в июле — августе 2024 года среди специалистов, работающих в промышленности, на транспорте, в медицине и телекоммуникациях. В нем приняли участие более 60 респондентов.