[论文解读] Online Discoverability and Vulnerabilities of ICS/SCADA Devices in the Netherlands

João Marcelo Ceron, Justyna J. Chromik+2 more|arXiv (Cornell University)|Nov 3, 2020

Network Security and Intrusion Detection参考文献 12被引用 12

一句话总结

本研究通过大规模互联网扫描，调查了荷兰工业控制系统（ICS）/SCADA设备的在线暴露情况与网络脆弱性。研究发现，数百台ICS/SCADA设备暴露在公共互联网上，其中许多设备运行着过时或不安全的协议，凸显了对关键基础设施的重大风险。其主要贡献在于对可发现性与可利用性的系统性评估，呼吁立即对工业系统实施加固措施。

ABSTRACT

On a regular basis, we read in the news about cyber-attacks on critical infrastructures, such as power plants. Such infrastructures rely on the so-called Industrial Control Systems (ICS) / Supervisory Control And Data Acquisition (SCADA) networks. By hacking the devices in such systems and networks, attackers may take over the control of critical infrastructures, with potentially devastating consequences. This report focusses on critical infrastructures in the Netherlands and investigates three main questions: 1) How many ICS/SCADA devices located in the Netherlands can be easily found by potential attackers?, 2) How many of these devices are vulnerable to cyber-attacks?, and 3) What measures should be taken to prevent these devices from being hacked?

研究动机与目标

• 评估荷兰境内有多少ICS/SCADA设备可通过公共互联网扫描被发现。
• 评估这些可发现设备在多大程度上易受已知网络攻击的影响。
• 识别ICS/SCADA系统中常见的安全弱点，例如未修补的软件和默认凭证。
• 提出可操作的缓解策略，以减少关键基础设施系统攻击面。

提出的方法

• 使用自动化工具开展大规模互联网范围扫描，基于已知的服务指纹和端口特征发现ICS/SCADA设备。
• 分析设备响应，识别工业控制系统中常用的协议，如Modbus、DNP3和BACnet。
• 利用IP地理定位和ASN数据，将发现的设备映射到荷兰的地理位置。
• 通过与公共漏洞数据库及已知利用工具交叉比对，评估漏洞面。
• 通过检查默认密码、过时固件和未加密通信等方式，评估配置风险。
• 基于攻击面和暴露向量生成威胁模型，以优先推荐缓解措施。

实验结果

研究问题

• RQ1 有多少位于荷兰的ICS/SCADA设备可通过互联网扫描被公开发现？
• RQ2 基于其暴露的服务和配置，这些可发现设备中有多少比例易受已知网络攻击？
• RQ3 哪些常见的安全配置错误或协议缺陷最显著地导致了工业控制系统的暴露？
• RQ4 可实施哪些技术和组织措施，以减少关键基础设施中ICS/SCADA系统的在线攻击面？

主要发现

• 发现数百台位于荷兰的ICS/SCADA设备可通过互联网公开访问，表明存在显著的暴露面。
• 大量设备被发现运行着过时或不安全的协议，如Modbus和BACnet，且缺乏认证或加密机制。
• 许多设备存在配置弱点，包括使用默认密码以及运行已知存在漏洞的未修补软件版本。
• 研究识别出多个设备可利用公开可用的漏洞利用工具实现远程入侵，证明了现实世界攻击的可行性。
• 地理定位分析确认，这些设备遍布能源和水务等关键基础设施部门。
• 研究结果强调了亟需加强工业控制系统的网络分段、补丁管理和访问控制。