Інтернет речей Архіви - Блог Грідінсофт

Уразливості Microsoft Azure дозволяють використовувати RCE в пристроях IoT

Оскільки світ IoT швидко зростає, експерти з кібербезпеки витрачають більше часу на дослідження цієї конкретної галузі технологій. Нещодавно дослідники з Sentinel Lab опублікували звіт про виявлені вразливості в Microsoft Azure для пристроїв IoT, які дозволяють віддалено виконувати код.

Які вразливості було виявлено?

Минулого року дослідники з Sentinel Lab виявили кілька вразливостей у Microsoft Azure Defender для пристроїв IoT. І деякі з них були оцінені як критичні, отримавши оцінку CVSS 10,0.

Вперше спеціалісти із безпеки з Sentinel Lab повідомили про вразливості в продукті Microsoft у червні 2021 року. Компанія негайно випустила виправлення для всіх виявлених уразливостей. Наразі немає доказів того, що ці вразливості використовувалися хакерами.

Уразливості Microsoft Azure дозволяють використовувати RCE в пристроях IoT — Механізм відновлення паролю в Microsoft Azure Defender for IoT

Згідно з опублікованим звітом, неавторизований зловмисник може віддалено експлуатувати пристрій, захищений Microsoft Azure Defender, для IoT, скориставшись перевагами вразливостей, виявлених у механізмі відновлення пароля Azure. Уразливості стосуються як хмарних, так і локальних клієнтів.

Виявлені вразливості отримали такі ідентифікації: CVE-2021-42311, CVE-2021-42313, CVE-2021-37222, CVE-2021-42312 і CVE-2021-42310. Фахівці з кібербезпеки закликають користувачів негайно вжити відповідних заходів.

У разі успішної атаки експлуатація може призвести до повної скомпрометації мережі.

Окрім інших заходів безпеки спеціалісти також радять користувачам продуктів, які постраждали, відкликати будь-які привілейовані облікові дані, розгорнуті на платформі, та перевірити журнали доступу на наявність будь-яких порушень.

Що таке Microsoft Azure Defender для Інтернету Речей?

Microsoft Defender для IoT — це рішення безпеки, яке можна використовувати як локально, так і в хмарі. Він здійснює безперервне виявлення активів IoT/OT, керує вразливими місцями та виявленням загроз, не вимагаючи змін у існуючому середовищі.

Ця пасивна безпека мережевого рівня складається з двох основних компонентів:

Microsoft Azure Defender For IoT Sensor – постійно виявляє та контролює пристрої в мережі;

Microsoft Azure Defender для керування Інтернетом речей – допомагає командам SOC аналізувати дані, зібрані з кількох пристроїв IoT, і керувати ними. На одній інформаційній панелі спеціалісти SOC також можуть контролювати, чи захищені мережі.

Користувачі можуть встановлювати обидва компоненти або на пристрій, або на віртуальну машину.

Поверхня атаки вразливостей в Microsoft Azure

Фахівці з кібербезпеки кажуть, що через те, що обидва компоненти мають майже однакову кодову базу, вони мають однакові вразливості.

Для експлуатації цих уразливостей потенційні загрози будуть використовувати веб-інтерфейс, який дозволить їм легко контролювати цільове середовище. Крім того, датчики додатково забезпечують поверхню атаки своєю службою DPI (горизонтом), яка аналізує мережевий трафік.

Взагалі, Defender for IoT — це продукт (раніше відомий як CyberX), придбаний Microsoft у 2020 році.

Для використання обох компонентів зловмисник використовуватиме механізм відновлення пароля Azure для першого кроку атаки.

Механізм відновлення пароля працює однаково як для датчиків так і керування. Маніпулюючи ними, хакер отримує новий пароль і таким чином отримує внутрішній доступ до облікового запису.

Щоб зрозуміти, як саме працює цей механізм, фахівці з кібербезпеки пояснюють, що механізм відновлення пароля складається з двох основних компонентів:

Веб-API Java (tomcat, внутрішній);

Веб-API Python (зовнішній).

І саме тут вони кажуть вводиться уразливість “час перевірки-часу використання” (TOCTOU), оскільки не застосовується механізм синхронізації.

Коротше кажучи, сценарій експлойта виконує атаку TOCTOU, щоб скинути та отримати пароль аутентифікації обхідного облікового запису.

Після отримання внутрішнього доступу до облікового запису суб’єкт загрози отримує більш широку поверхню атаки. Наступна вразливість, яку дослідники кібербезпеки виявили, — це звичайна вразливість ін’єкції команд у механізмі зміни пароля.

Решта вразливостей – це базові ін’єкції SQL, одна з них- вразливість у структурі обробки трафіку.

Якщо вас цікавить більш детальний опис уразливостей, ви також можете прочитати оригінальний звіт, який був підготовлений спеціалістами з Sentinel Lab.

Як захистити свої пристрої IoT?

Якщо ви використовуєте будь-який пристрій IoT, вам обов’язково потрібно знати основні правила гігієни кібербезпеки пристроїв IoT. Легко уявити, що з усіма видами пристроїв IoT сьогодні ця частина нашого будинку може становити не меншу загрозу, ніж компрометація комп’ютера чи телефону.

Найочевиднішим пристроєм у вашому домі, який слід захищати найбільше, є Wi-Fi роутер. Метафорично кажучи, це двері вашого розумного дому. Тому забезпечення його безпеки стає одним із перших пріоритетів.

Якщо говорити про способи забезпечення безпеки пристроїв IOT, вони будуть наступними:

Використання брандмауера нового покоління (NGFW)

Як правило, ваш маршрутизатор буде мати вбудований брандмауер, але часто цього недостатньо. Традиційні брандмауери не мають таких необхідних функцій безпеки, як віртуальна приватна мережа (VPN), керування QoS, перехоплення SSL/SSH, фільтрація вмісту, захист від шкідливих програм, система запобігання вторгненням (IPS).

Звичайно, брандмауер наступного покоління (NGFW) є досить дорогою річчю, але якщо ви можете дозволити собі придбати пристрій IoT, то хіба не зможете витратити додаткові гроші на їх безпеку? NGFW поєднує традиційний брандмауер з більш надійними функціями безпеки, щоб допомогти вам захистити вашу конфіденційність.

Увімкнення багатофакторної аутентифікації

Напевно, ви знаєте, що таке багатофакторна аутентифікація? Це спосіб додатково захистити свій пристрій, встановивши отримання другого підтвердження ідентифікації, наприклад, одноразовий PIN-код (OTP) або підтвердження у вигляді смс коду/ листа на електронну пошту, щоб підтвердити, що людина, яка намагається увійти, це дійсно ви.

Деякі пристрої Інтернету речей мають багатофакторну автентифікацію за замовчуванням, а інші — ні. Можливо, ваш пристрій IoT має багатофакторну автентифікацію за допомогою пов’язаного з ним мобільного додатка, але ви також можете використовувати сторонні служби, такі як Google Authenticator, щоб вбезпечити додаткову безпеку пристроїв IoT.

Оновлюйте свої пристрої

Деякі маршрутизатори Wi-Fi не оновлюються автоматично, тому часто перевіряйте, чи є якісь оновлення для вашого пристрою. У деяких випадках ці оновлення несуть в собі значні виправлення безпеки, тому візьміть за звичку регулярно перевіряти їх. Те саме правило стосується пристроїв IoT та їхніх програм. Не зволікайте з цим, робіть це негайно.

Вимкніть функції, які ви не використовуєте

Правило просте, якщо ви не користуєтеся, наприклад, голосовим керуванням на смарт-телевізорі, краще його відключити. Або якщо ви використовуєте лише домашнє з’єднання Wi-Fi, вимкніть віддалений доступ. Коли ви блокуєте ці невикористовувані функції, ви блокуєте багато точок входу, які потенційно можуть бути зламаними.

Створіть окрему мережу Wi-Fi для пристроїв IoT

У багатьох сучасних маршрутизаторах Wi-Fi користувач може налаштувати гостьову (або вторинну) мережу. Таким чином, створюючи її, ви захищаєте свою основну мережу від будь-яких загроз, які виникають від скомпрометованого пристрою IoT.

Останніми порадами щодо гігієни кібербезпеки буде використання надійного та унікального паролю, зміна назви за замовчуванням вашого маршрутизатора Wi-Fi. Подивіться, яке у вас шифрування. Це має бути WPA2. Тому що, якщо це протоколи WPA або WEP, то варто придбати новий маршрутизатор.

Звіт стану кібер безпеки пристроїв інтернету речей у сфері охорони здоров’я у 2022 році

Cynerio, компанія, яка надає закладам охорони здоров’я послуги платформи іінтернету речей в сфері охорони здоров’я, нещодавно опублікувала звіт про поточний стан кібер безпеки підключених медичних пристроїв у лікарнях усіх типів. У дослідницькому звіті компанії щодо галузі охоплюються широкотематичні питання. Звіт також містить підсумування результатів дослідження та його методологію.

«Протягом десятиліть у медичній сфері догляду за пацієнтами завдяки пристроям інтернету речей та їх викоританню спостерігалися покращення в її роботі.
Проте зі збільшенням кількості цих пристроїв зросла і кількість загроз, вразливостей і точок експулуатації комп’ютерних мереж медичних закладів,» — йдеться у доповіді компанії Cynerio.

Статистика безпечності пристроїв інтернету речей у сфері охорони здоров’я

Інформація в цьому звіті базується на аналізі компанією більш ніж 10 мільйонів пристроїв інтернету речей і медичних пристроїв інтернету речей, зібраних із поточних реалізацій продуктів Cynerio у понад 300 лікарнях та інших медичних установах у США та по всьому світі, дані з яких при аналізі були повністю анонімізовані дослідницькою командою компанії.

У вступі до звіту фахівці надали статистичні дані з різних ресурсів щодо поточного стану кібербезпеки в галузі охорони здоров’я. І згідно зібраних статистичних даних:

У 2021 році було зафіксовано понад 500 порушень кібер безпеки у сфері охорони здоров’я (Департамент охорони здоров’я та соціальних служб США (HHS);

За минулий рік кількість атак програм-вимагачів на лікарні зросла на 123% (Звіт про кіберзагрози компанії SonicWall за 2021 рік);

Минулого року атаки програм-вимагачів коштували лікарням майже 21 мільярд доларів США (Компанія Comparitech);

Середні збитки лікарень становлять 8 мільйонів доларів США за кожну атаку програми-вимагача, і лікарням потрібно 278 днів, щоб повністю відновити свою роботу після неї. (Звіт Emsisoft: The State of Ransomware in the US);

Відсоток порушень кібер безпеки у сфері охорони здоров’я, спричинених підключеними пристроями, прямо пропорційний відсотку таких порушень, спричинених фішинговими атаками (Ponemon Research Report: The Impact of Ransomware on Healthcare during COVID-19 and Beyond);

Сфера охорони здоров’я стала лідером серед найбільш прибуткових жертв програм-вимагачів, обігнавши другі місця на 100–200%. Фахівці з кібербезпеки кажуть, що персональна медична інформація (PHI) може бути в 50 разів більш ціннішою з точки зору прибутку для кіберзлочинців, ніж викрадені банківські картки на чорному ринку.

На що націлені кіберзлочинці в галузі охорони здоров’я?

IoT (Інтернет речей). Фахівці використовують цей термін на позначення будь-яких мережевих пристроїв або інших устаткувань, які не можна вважати традиційними інформаційними технологіями (ІТ). Сюди відносяться дверні смарт замки, VOIP-телефони та камери спостереження. Але комп’ютери чи сервери не належать до цієї категорії.

IoMT (Інтернет медичних речей). Такі апарати використовуються в лікарнях в безпосередніх медичних цілях. Найпоширеніші види включають: глюкометри, кардіомонітори, внутрішньовенні насоси та апарати МРТ. Можливо, десять років тому у них не було так багато різноманітних інтернет-з’єднань, але сьогодні їхня кількість значна.

OT (Операційні технології). OT означає апаратне забезпечення, програмне забезпечення та комунікаційні системи, які допомагають керувати великомасштабним промисловим обладнанням та устаткуванням. У лікарнях це зазвичай такі пристрої, як електричні мережі, ліфти, системи HVAC (опалення, вентиляції та кондиціонування).

Підключені пристрої. Пристрої цієї категорії набагато простіші за згадані вище. Приклади включають кавоварку або вимикач світла.

Які найпоширеніші вразливості пристроїв Інтернету речей у сфері охорони здоров’я?

Якщо ви читали минулорічні заголовки новин з кібербезпеки, вам могло здатися, що найпоширенішими уразливими місцями в таких пристроях є Ripple20 або URGENT/11. Проте все навпаки, найпоширеніші з них набагато очевидніші та пов’язані з поганою елементарною кібергігієною, як-от використання стандартних паролів та налаштувань. Потенційні зловмисники можуть легко знайти в Інтернеті інструкції до пристроїв і, звісно, першою чергою спробувати найочевиднішу річ: паролі та налаштування за замовчуванням. Також у більш ніж половини пристроїв Інтернету речей у сфері охорони здоров’я є одна критична вразливість.

Звіт стану кібер безпеки пристроїв Інтернету речей у сфері охорони здоров’я у 2022 році — Рейтинг найпоширеніших вразливостей в медичних пристроях інтернету речей

Підсумування результатів дослідження

Внутрішньовенні насоси є найпоширенішим пристроєм інтернету речей у сфері охорони здоров’я та мають найвищий ступінь ризику. Насоси для внутрішньовенного введення складають 38% від усіх пристроїв інтернету речей в медичних закладах. І вражаюча кількість в 73% має вразливість, яка може поставити під загрозу доступність послуг, конфіденційність даних або безпеку пацієнтів.

53% пристроїв інтернету речей та медичних пристроїв інтернету речей містять критичні вразливості. Більше половини підключених медичних та інших пристроїв інтернету речей у лікарнях мають одну добре відому критичну вразливість. Факт, що ставить під загрозу конфіденційність даних, доступність послуг та безпеку пацієнтів. Третина приліжкових пристроїв інтернету речей тих, які безпосередньо використовуються у догляді за пацієнтами, і ті, від яких пацієнти найбільше залежать, мають визначений критичний ризик.

Urgent11 та Ripple20 отримали найбільше заголовків, але найпоширеніші ризики для кібер безпеки пристроїв — це проста недбалість до кібергігієни. Найпоширеніші пристрої медичних пристроїв інтернету речей та звичайних пристроїв інтернету речей часто мають паролі та налаштування за замовчуванням, які зловмисники можуть знайти без особливих зусиль. Їм просто потрібно знайти інструкції для конкретних пристроїв онлайн. Також варто додати, що зазначені вразливості Urgent11 і Ripple20 торкнулися лише 10 відсотків пристроїв із векторами атак, експлуатацію яких зазвичай складно проводити.

Деякі критичні пристрої інтернету речей у медичній сфері працюють із застарілими версіями Windows. Хоча пристрої, які працюють під управлінням старішої версії Windows, ніж Windows 10, становлять невелику частину інфраструктури інтернету речей типової лікарні, вони використовуються в одних з найбільш критичних відділах. Оскільки самі версії Windows в таких пристроях вже давно віджили своє, цей факт створює значний ризик для пацієнтів, які ними користуються. Але проблема в тому, що заміна машин, на яких працюють ці версії, у більшості випадків займе надто багато років.

Більшість медичних пристроїв інтернету речей використовуються настільки регулярно, що їх складно вчасно оновлювати. Майже 80% пристроїв інтернету речей у сфері охорони здоров’я щомісяця й навіть частіше використовуються для догляду за пацієнтами, що означає, що у них майже немає часу простою і на те, щоб служба кібер безпеки лікарні проаналізувала їх на предмет ризиків і можливих атак, застосувала останні доступні виправлення та здійснила сегментацію для захисту пристроїв у мережі.

На завершення фахівці окреслили майбутні можливі рішення щодо покращення безпеки пристрої інтернету речей в медицині. За їхніми словами, те, що спеціалісти почали визначати та усувати вектори ризику, які вже експлуатуються зловмисниками є першим дієвим кроком до впровадження вкрай необхідних заходів безпеки.