Kaspersky Lab uzmanları ThingsPro Suite adlı endüstriyel IoT platformundaki önceden bilinmeyen yedi açığın tespit edilmesine ve kapatılmasına yardımcı oldu. ThingsPro Suite, endüstriyel kontrol sistemlerinde veri toplama ve uzaktan analiz için kullanılıyor. Bulunan açıkların bazıları, tehdit gruplarının endüstriyel IoT ağ geçitlerine yetkili erişim sağlamasına ve tehlikeli komutlar kullanabilmesine olanak tanıyordu. Tespit edilip raporlanan açıkların tümü platformun geliştiricisi olan Moxa tarafından kapatıldı.
ThingsPro Suite, endüstriyel tesislerdeki Operasyonel Teknoloji (OT) cihazlarından otomatik olarak veri toplayan ve bunları daha sonra analiz etmek için bir Nesnelerin İnterneti (IoT) bulutuna gönderen bir endüstriyel IoT (IIoT) platformu. Ancak, bu tür platformlar IIoT entegrasyonu ve bakımını kolaylaştırsalar da yeterli güvenlik önlemleri alınmadan geliştirilip kullanıldıklarında tehlikeli olabiliyorlar. Bu çözümler BT ve OT güvenlik alanları arasında bir bağlantı noktası görevi gördüğünden, burada görülen açıklar saldırganların endüstriyel ağa erişmesine neden olabiliyor.
Kaspersky Lab ICS CERT güvenlik araştırmacıları ürünü iki hafta boyunca uzaktan kullanılabilecek açıklara karşı test etti. Çalışmanın sonunda yedi adet sıfır-gün açığı tespit edildi. Bunların en ciddi olanlarından biri, saldırganların hedef IIoT ağ geçidinde istediği komutu uzaktan çalıştırabilmesine imkan veriyordu. Diğer bir açık ise siber suçluların yönetici yetkileri alarak cihazın ayarlarını değiştirmesini sağlıyordu. Ayrıca açıklardan otomatik olarak da yararlanılabiliyordu. Siber suçlular farklı kurumlarda bulunan birden fazla Moxa ThingsPro IoT ağ geçidini otomatik olarak ele geçirebiliyor ve bu kurumların endüstriyel ağlarına erişebiliyordu.
Kaspersky Lab Güvenlik Araştırmacısı Alexander Nochvay konu hakkında şunları söyledi: “Moxa, endüstriyel sistemler alanında güvenilen ve saygın bir marka. Ancak şirketin geniş deneyimi ve uzmanlığına rağmen yeni ürününde bir dizi açık bulunuyordu. Bu da endüstri liderlerinin düzgün siber güvenlik testleri yapmasının ne kadar önemli olduğunu gösteriyor. Endüstriyel kontrol sistemi geliştiricilerinin açıklara karşı düzenli kontroller yapmalarını, endüstriyel sistemlere yönelik çözümlerin güvenliğini geliştirme sürecinin ana parçalarından biri haline getirmelerini tavsiye ediyoruz.”
Endüstriyel kontrol sistemlerinin güvenli olmasını isteyen şirketlere şunları tavsiye ediyoruz: