Екип от изследователи от Техническия университет в Джорджия е разработил алгоритъм, който има за цел значително да подобри идентифицирането на изложени на интернет индустриални системи за управление (ICS).
Анализът, извършен от платформата за интернет разузнаване Censys, показва над 40 000 изложени на интернет устройства ICS в САЩ. Търсенето в Shodan показва около 110 000 такива устройства в световен мащаб.
Екип от Факултета по електротехника и компютърно инженерство на Джорджия Тех, ръководен от докторанта Райън Пикрен, обаче твърди, че е разработил алгоритъм, който помага да се идентифицират много повече устройства на ICS – по-специално програмируеми логически контролери (PLC) – които са изложени на риск в интернет.
Алгоритъмът е наречен PLCHound и според създателите му използва усъвършенствани техники за обработка на естествен език и машинно обучение за идентифициране на устройствата.
Според изследователите PLCHound им е позволил да идентифицират 37 пъти повече PLC, свързани с интернет, отколкото е било изчислено досега.
Изследователите са се свързали с някои от организациите, излагащи PLC на интернет – включително летища, болници и правителствени организации – и са съобщили, че един месец по-късно са видели, че 34% от идентифицираните IP адреси вече не излагат PLC устройства.
По-рано тази година Пикрен и други изследователи от Технологичния институт в Джорджия публикуваха статия, в която описваха зловреден софтуер, който бяха създали с цел да демонстрират, че PLC могат да бъдат дистанционно насочвани от заплахи.
Зловредният софтуер е бил насочен към PLC, произведени от Wago, и е използвал уязвимости, които преди това са били идентифицирани от изследователите. Въз основа на изследването на PLC на Wago експертите разработиха PLCHound.
Пикрен заяви, че до момента PLCHound е тестван с PLC от Wago, Allen Bradley и Omron, но той и екипът му вярват, че е способен да открие устройства от всеки доставчик.
„Просто предоставяте „начална заявка“ и тя автоматично намира повече от този тип устройства“, обясни Пикрен.
Струва си да се отбележи, че PLCHound не е самостоятелен скенер. Вместо това той генерира заявки, които могат да се използват с интернет търсачки като Shodan и Censys.
Понастоящем PLCHound е в процес на патентоване и изследователите търсят партньори за комерсиализацията му.
Емили Остин, главен изследовател в областта на сигурността в Censys, заяви, че са запознати с PLCHound и макар да не са го използвали вътрешно, се радват да видят, че изследователите намират нови начини да използват данните на Censys, особено в областта на ICS.
„Както изследователите, стоящи зад PLCHound, посочиха, точното определяне на общата популация от устройства на индустриалните системи за управление (ICS), изложени на интернет, е сложен проблем“, каза Остин.
„Има стотици доставчици и продукти, които се използват в различни сектори, и са необходими иновативни методи за откриване като PLCHound, за да се идентифицира и измери точно повърхността за атаки на ICS в целия интернет. Радваме се да видим повече от тази група и други, които намират креативни начини за идентифициране на интересуващите ни артефакти в данните на Censys“, добави тя.
Джон Матерли, основател на Shodan, изрази разочарование от факта, че PLCHound ще бъде патентован, което ще ограничи използването му до организации, които могат да си позволят да платят за него.
„Смятам, че има много възможности за предоставяне на инструменти, които опростяват процеса на идентифициране на различни видове активи, така че сигурността да стане по-достъпна за всички, а не само за корпоративните организации“, каза Джон Матерли.
Основателят на Shodan обаче отбеляза, че по-големият проблем не е идентифицирането на изложените на риск ICS, а по-скоро идентифицирането на собствениците и установяването на контакт с тях. Матерли изрази скептицизъм по отношение на твърденията на изследователите от Georgia Tech относно 34% намаление на излагането на риск, като отбеляза, че не е виждал такова намаление на излагането на риск на ICS и че не е характерно за OT услуги да се изключват толкова бързо.
Матерли изтъкна, че броят на ICS устройствата в Shodan от известно време насам е сравнително стабилен, като с течение на времето леко намалява.
