Значимые уязвимости АСУ ТП (ICS), выявленные в первом квартале 2025 года
Мировой обзор уязвимостей в АСУ ТП
В условиях стремительного развития цифровых технологий и автоматизации производственных процессов системы управления технологическими процессами (АСУ ТП) играют ключевую роль в обеспечении бесперебойной работы критической инфраструктуры Казахстана, включая энергетику, нефтегазовую отрасль и промышленное производство. Эти системы обеспечивают стабильность и эффективность работы объектов, однако их сложность и взаимосвязанность делают их привлекательной мишенью для киберугроз. С ростом зависимости от автоматизированных решений возрастает и риск экплуатации уязвимостей, способных нарушить функционирование критически важных систем.
В первом квартале 2025 года были выявлены значимые уязвимости АСУ ТП, затрагивающие оборудование и программное обеспечение от ведущих производителей, таких как Siemens, Schneider Electric и Rockwell Automation, что подчеркивает необходимость повышенного внимания к вопросам кибербезопасности. Эти уязвимости представляют угрозу для безопасности объектов критической инфраструктуры и своевременное устранение данных проблем и внедрение мер защиты являются приоритетными задачами для обеспечения устойчивости технологических процессов.
Ниже представлен обзор ключевых уязвимостей, выявленных в первом квартале 2025 года, с описанием затронутых систем, типов и степени критичности, потенциальных последствий и рекомендаций по устранению.
Siemens Sinamics S200 (серво-приводы)
Производитель: Siemens
CVE: CVE-2024-56336
Тип затронутых систем: серво-приводы Sinamics S200
Тип и степень критичности: критическая уязвимость загрузчика прошивки (CVSS 9.5)
Описание уязвимости: незаблокированный загрузчик прошивки (bootloader) может позволить злоумышленнику, имеющему физический или сетевой доступ к устройству, загрузить вредоносный код или несанкционированное программное обеспечение.
Рекомендации по устранению: для работы устройств в защищенной ИТ-среде компания «Siemens» рекомендует настроить среду в соответствии с руководством по промышленной безопасности компании «Siemens» (скачать: https://www.siemens.com/cert/operational-guidelines-industrial-security), а также следовать рекомендациям, содержащимся в руководствах к продуктам.
Schneider Electric System Monitor (промышленные ПК)
Производитель: Schneider Electric
Тип затронутых систем: промышленные компьютеры Harmony и Pro-face
Тип и степень критичности: критическая уязвимость раскрытия учетных данных (CVSS: 9.8)
Описание уязвимости: раскрытие чувствительной информации при отправке специальных HTTP-запросов, что может позволить злоумышленнику получить учетные данные без прохождения процедуры авторизации.
Рекомендации по устранению:
· отключить или удалить приложение System Monitor, если его использование не требуется, путем остановки сервисов согласно инструкциям в руководствах Harmony Industrial PC Series User Manual и Pro-face PS5000 legacy industrial PC Series User Manual;
· сегментировать сеть и настроить межсетевой экран для блокировки неавторизованного доступа к HTTP/HTTPS-портам.
Schneider Electric PLC Modicon M580 и модуль BMENOR2200H
Производитель: Schneider Electric
CVE: CVE-2024-11425
Тип затронутых систем: программируемые логические контроллеры Modicon M580 и модуль BMENOR2200H
Тип и степень критичности: высокая уязвимость неправильного расчета размера буфера (CVSS 8.7)
Описание уязвимости: уязвимость связана с некорректным расчётом размера буфера в веб-сервере контроллера. Эксплуатация уязвимости может позволить злоумышленнику инициировать атаку отказа в обслуживании (DoS) посредством отправки специально сформированного HTTPS-пакета.
Рекомендации по устранению:
· обновить прошивку до исправленных версий (SV4.30 для стандартных моделей, SV4.21 для безопасных моделей, версия 1.3.10 для зарядных станций EVLink Pro AC);
· ограничить сетевой доступ к контроллерам, в частности, закрыть внешний доступ к порту 443/TCP.
Rockwell Automation FactoryTalk AssetCentre
Производитель: Rockwell Automation
CVE: CVE-2025-0477
Тип затронутых систем: система управления активами FactoryTalk AssetCentre
Тип и степень критичности: критическая уязвимость криптографической защиты (CVSS 9.3)
Описание уязвимости: недостаточная криптографическая защита данных, используемая до версии 15.00.01, может позволить злоумышленнику извлечь пароли пользователей из зашифрованных данных и выполнить эскалацию привилегий.
Рекомендации по устранению:
· обновить FactoryTalk AssetCentre до версии 15.00.01 или более поздней;
· контролировать доступ к базе данных, где хранятся зашифрованные данные, ограничив его для неосновных пользователей;
· ограничить доступ к базе данных в соответствии с принципом наименьших привилегий.
Состояние уязвимостей АСУ ТП в Казахстане
В ходе мониторинга казахстанского сегмента Интернета Национальным координационным центром информационной безопасности был выявлен ряд IP-адресов, использующих протокол Modbus (порт 502) и протокол IEC 60870-5-104 (порт 2404). Оба протокола активно применяются в АСУ ТП, а также в критически важной инфраструктуре, что делает их особенно уязвимыми для атак.
В ходе анализа выявленных IP-адресов было установлено, что они принадлежат организациям, работающим в таких ключевых отраслях, как энергетика, промышленность, автоматизация и строительство. Эти компании занимаются производством и поставкой оборудования для учета электрической и тепловой энергии, воды и газа, а также разработкой инновационных решений для распределения энергии. Помимо этого, организации реализуют проекты, требующие высокой квалификации в области строительства, экологии и радиационной безопасности, а также занимаются разработкой специализированного программного обеспечения для различных отраслей.
Протокол Modbus был разработан в 1979 году и изначально не предусматривал современных требований кибербезопасности. Он обеспечивает обмен данными между устройствами в системах автоматизации, таких как контроллеры, сенсоры и SCADA-системы. При этом Modbus лишен механизмов аутентификации и шифрования. Это означает, что любой, кто получает доступ к сети, может отправлять команды или перехватывать данные, что делает систему уязвимой для атак.
При дальнейшем анализе на одном из IP-адресов была обнаружена версия оборудования Schneider Electric TM200CE24T V0.2, применяемого в промышленности, энергетике, транспорте и других сферах. TM200CE24T является частью линейки контроллеров Schneider Electric. При оценке безопасности данного устройства важно учитывать возможные уязвимости, обнаруженные в других моделях и программном обеспечении Schneider Electric. В частности, уязвимости, связанные с протоколами Modbus TCP (например: CVE-2021-22779), могут представлять потенциальные риски, такие как обход аутентификации и выполнение удаленного кода. Эти уязвимости характерны для некоторых других моделей контроллеров Schneider Electric и могут служить основанием для усиленного внимания к информационной безопасности TM200CE24T V0.2.
Протокол IEC 60870-5-104 предназначен для передачи данных в реальном времени в системах телемеханики и SCADA, особенно в сфере энергетики. Он работает поверх TCP/IP и обеспечивает управление объектами инфраструктуры. Однако, как и Modbus, этот протокол не имеет встроенных механизмов безопасности. Это делает его уязвимым для атак MITM, подмены сообщений, а также повторного использования ранее отправленных команд.
Порт 2404 в сети Интернет, используемый протоколом IEC 60870-5-104, предназначен для передачи данных в телемеханических системах и по функциональности обеспечивает доступ к управляющим сигналам и телеметрическим данным. Если он открыт для общего доступа в Интернет, злоумышленники могут получить доступ к этим данным и даже вмешаться в управление объектами, что может привести к серьезным последствиям, таким как нарушение работы энергосетей или отключение критически важного оборудования. Также наличие открытого порта 2404 на обнаруженных IP-адресах позволяет злоумышленникам получить доступ к телеметрическим данным или управляющим сигналам. Это увеличивает риск проведения DoS/DDoS-атак, которые могут перегрузить систему, вывести из строя критически важные процессы или даже нарушить работу целых объектов инфраструктуры.
Подводя итоги, можно с уверенностью сказать, что кибербезопасность для АСУ ТП требует особого внимания. Обнаруженные нами уязвимости в протоколах Modbus и IEC 60870-5-104 свидетельствуют о необходимости модернизации подходов к защите таких систем.
Отсутствие встроенных механизмов безопасности делает указанные протоколы легкой мишенью для злоумышленников, что может привести к остановке производственных процессов, утечке данных или повреждению оборудования. Это особенно опасно для объектов критической инфраструктуры, где такие сбои могут повлечь серьезные экономические и социальные последствия.
Для минимизации рисков, связанных с выявленными уязвимостями, Национальный координационный центр информационный безопасности подготовил рекомендации.
· Своевременно устанавливать обновления и патчи, предоставляемые производителями.
· Сегментировать сети управления, изолируя их от внешних и внутренних сетей.
· Исключить доступ к системам управления из Интернета. Размещать сети управления и удалённые устройства за межсетевыми экранами и изолировать их от корпоративной сети.
· Ограничивать удалённый доступ с использованием VPN и многофакторной аутентификации.
· Проверять все носители, предназначенные для обмена данными (например, USB-накопители, CD-диски), перед их использованием в изолированных сегментах сети.
· Применять строгие политики паролей и регулярно обновлять учётные данные.
· Внедрять мониторинг сетевой активности для выявления аномалий.
· Проводить регулярные аудиты безопасности и обучение персонала принципам кибербезопасности в промышленной среде.
Соблюдение данных мер позволит снизить вероятность эксплуатации уязвимостей и обеспечить надёжность систем АСУ ТП в условиях современных киберугроз.
Ссылки на источники:
https://cert-portal.siemens.com/productcert/html/ssa-787280.html
https://www.cisa.gov/news-events/ics-advisories/icsa-25-030-03
https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1721.html
