Suojaamattomia automaatiolaitteita suomalaisissa verkoissa

Transkriptio

1 Suojaamattomia automaatiolaitteita suomalaisissa verkoissa

2 Sisällysluettelo Suojaamattomia automaatiolaitteita suomalaisissa verkoissa... 3 Keskeisiä tuloksia ja havaintoja... 3 Mahdollisia uhkia... 4 Kartoituksen toteutus... 5 Ilmoittaminen laitteiden ylläpitäjille... 5 Miten toimia ylläpitäjänä... 5

3 Kyberturvallisuuskeskus - Suojaamattomia automaatiolaitteita suomalaisissa verkoissa Suojaamattomia automaatiolaitteita suomalaisissa verkoissa Viestintäviraston Kyberturvallisuuskeskus on keväällä 2015 kartoittanut internetistä suojaamattomina löytyneitä automaatiolaitteita. Kartoituksen avulla Viestintävirasto opastaa laitteiden omistajia suojaamaan laitteet paremmin sekä muodostaa tilannekuvaa erilaisten internetiin liitettyjen automaatiojärjestelmien osalta. Samalla virasto kerää pohja-aineistoa tulevia vastaavia kartoituksia silmällä pitäen. Viestintävirastolla on käytössään Aalto-yliopiston vuonna 2013 suorittaman vastaavan kartoituksen tulokset. Aineistoja pyritään vertaamaan keskenään. Kartoituksessa suojaamattomaksi laitteeksi on tulkittu laite johon tai jonka kirjautumissivulle on pääsy internetistä. Automaatiolaitteita ei useinkaan ole suunniteltu liitettäväksi suoraan internetiin. Avoimien laitteiden kartoituksessa koko Suomen osoiteavaruus on käyty läpi tiettyjen porttien osalta ja näin saadusta materiaalista on pyritty löytämään automaatioon liittyvät laitteet. Keskeisiä tuloksia ja havaintoja Kyberturvallisuuskeskus on jaotellut löytyneet laitteet seuraaviin luokkiin: Kriittiseen teollisuusautomaatioon kuuluvat automaation hallintajärjestelmät (SCADA), näyttöpaneelit (HMI), logiikat (PLC) kiinteistöautomaatioon kuuluvat, kiinteistöjen ohjaukseen liittyvät laitteet ja järjestelmät, kuten esimerkiksi ilmanvaihdon ja lämmityksen ohjaukset. Näiden lisäksi on joukko laitteita joiden takana olevia yksittäisiä järjestelmiä ei pystytä selvittämään. Kartoituksessa löydetyt laitteet ja laitemäärät vastaavat aiemmissa vastaavissa tutkimuksissa havaittuja laitemääriä. Suurimman yhtenäisen ryhmän muodostavat kiinteistöautomaatioon liittyvät laitteet, joita tässäkin kartoituksessa havaittiin tuhansia. Varsinaisia teollisuusautomaatioon ja teollisuuden hallintajärjestelmiin viittaavia laitteita löytyi joitakin kymmeniä. Näiden lisäksi on joukko erilaisia automaatiolaitteita, joita käytetään todennäköisesti yksittäisten laitteiden ohjaamiseen. Suuri osa näistä on erilaisia protokollamuuntimia, joiden avulla pelkästään sarjaportin tai muun paikalliseen ohjaukseen tarkoitetun portin sisältävä laite on saatu etäohjaukseen. Sopiikin miettiä, onko järkevää kytkeä laite joka on tarkoitettu pelkästään paikallisesti operoitavaksi, suoraan ja suojaamatta internetiin. Runsaasti havaintoja tehtiin myös turvattomien protokollien käyttämisestä ja kytkemisestä suoraan internetiin. Esimerkiksi automaatiossa hyvin yleisesti käytetty Modbus-protokollan TCP/502 -portti oli auki sadoissa laitteissa. Modbus-protokolla on tarkoitettu käytettäväksi esimerkiksi ohjauksiin, eikä sisällä mitään menetelmiä viestinnän osapuolten tunnistamiseen tai sisällön suojaamiseen. Tällaisen portin ollessa auki internetiin siihen voidaan luvattomasti kohdistaa komentoja, jotka laite suorittaa. 3

4 Kyberturvallisuuskeskus - Suojaamattomia automaatiolaitteita suomalaisissa verkoissa Kartoituksessa löytyi myös joukko kotiautomaatiolaitteita joissa ei ollut lainkaan pääsynhallintaa. Niistä saatavien tietojen avulla rikolliset voivat esimerkiksi ajoittaa asuntomurron niin, ettei ketään ole murron aikana kotona. Mahdollisia uhkia Suojaamattomana internetissä oleva laite on alttiina erilaisille uhille. Myös laitteen käyttötarkoitus vaikuttaa siihen, millaisia uhkia siihen kohdistuu tai muodostavatko avoimet laitteet potentiaalisen uhan muille internetin käyttäjille. Suojaamaton automaatiolaite voi olla uhka muille internetin käyttäjille esimerkiksi silloin, jos hyökkääjä valjastaa helposti murrettavia laitteita palvelunestohyökkäyksiin. Mikäli murretun laitteen havaitaan osallistuvan esimerkiksi palvelunestohyökkäyksiin tai aiheuttavan tietoturvauhan on teleoperaattorin mahdollista katkaista tietoliikenneyhteys tietoturvasyistä. Pelkkä salasanasuojaus ei suojaa automaatiolaitetta riittävästi, sillä laitteiden haavoittuvuuksia voidaan käyttää hyväksi murtautumisissa. Salasanan murtaminen ei useinkaan ole nopein keino laitteeseen murtautumisessa. Haavoittuvuuden hyväksikäyttäminen automatisoidusti mahdollistaa hyökkääjälle pääsyn yhdellä kertaa lukuisiin saman haavoittuvuuden sisältäviin laitteisiin. Toki esimerkiksi oletussalasanat tulee muuttaa hyvälaatuisiin salasanoihin murtautumisten vaikeuttamiseksi. Teollisuuden automaatiolaitteissa laitteeseen murtautuminen tai siihen vaikuttaminen esimerkiksi palvelunestohyökkäyksellä kohdistuu pääasiassa kyseisen yrityksen tuotantoon. Tuotantokatkoksilla on usein välittömiä vaikutuksia, jotka on helposti mitattavissa rahassa tai maineen menetyksenä. Tämän vuoksi teollisuusyrityksen intresseissä on kiinnittää huomiota kuinka laitteet on internetiin kytketty ja millaisia suojaustoimenpiteitä on tarpeen käyttää. Kiinteistöautomaatioon liittyvässä laitteessa vaikutukset kohdistuvat usein yksittäiseen rakennukseen tai ympäristöön, jossa laitteeseen vaikuttaminen ei näy selvästi tai nopeasti kustannuksina toimijalle. Hyökkääjä voi silti aiheuttaa kohteelleen mittavia seurannaisvahinkoja. Esimerkiksi kauppakeskuksen toimintoja ohjaavaan laitteeseen päässyt murtautuja voi aiheuttaa kauppakeskuksen tyhjentämisen valaistusta ohjaamalla. Tällöin laitteen väärinkäytöllä voidaan aiheuttaa mittaviakin kustannuksia. Laitteen käyttötarkoitus vaikuttaa siis siihen kohdistuviin ja sen aiheuttamiin uhkiin hyvin voimakkaasti. Uhkakuvia on kuvattu laajemmin automaatioon keskittyneen teemakuukauden aikana julkaistuissa Tietoturva nyt! -artikkeleissa Kodin ja teollisuuden älykkäät järjestelmät tulilinjalla (julk ) Huonot etäyhteydet ovat myrkkyä automaatiojärjestelmille (julk ) 4

5 Kyberturvallisuuskeskus - Suojaamattomia automaatiolaitteita suomalaisissa verkoissa Kartoituksen toteutus Kartoituksessa Suomen IP-osoiteavaruus on skannattu tiettyjen yleiskäyttöisten ja yleisesti tunnettujen automaation käytössä olevien porttien osalta. Näin saadusta materiaalista on erikseen pyritty tunnistamaan automaatioon liittyviä laitteita esimerkiksi etsimällä viitteitä tuotenimiin tai käyttöpaikkoihin. Automaatiojärjestelmien käyttämistä porteista löytyneet laitteet ovat suurella todennäköisyydellä automaatiolaitteita ja tulosten koostaminen siltä osin on nopeaa. Haasteen etsinnälle asettavat laitteet, joiden hallintaan käytetään yleisessä käytössä olevia portteja kuten esimerkiksi www-selailussa käytettävät portit TCP/80 ja TCP/443. Automaatioon liittyviä laitteita etsitään niiden vastauspaketeissa palauttamien tietojen perusteella. Eri laitteet palauttavat laitteisiin liittyvät tiedot hieman eri tavoin, joten laitteiden löytäminen vaatii useita eri tunnistustapoja. Peruskartoituksen yhteydessä kuvataan menetelmät laitteiden löytymiseksi ja luodaan prosessi, joka helpottaa saman kartoituksen tekemistä tulevaisuudessa uudestaan. Ilmoittaminen laitteiden ylläpitäjille Kyberturvallisuuskeskus ilmoittaa havaituista järjestelmistä niiden ylläpitäjille. Suurin osa havaittujen järjestelmien ylläpitäjistä on saavutettavissa vain laitteen käyttämän IP-osoitteen perusteella. Tieto IP-osoitteen haltijasta on teleyrityksillä, joten valtaosa yhteydenotoista tuleekin tapahtumaan teleyritysten kautta, teleyritysten välittäminä. Joitakin suuria käyttäjätahoja on pystytty tunnistamaan laitteiden palauttaman tiedon perusteella ja yhteydenotot näihin toimijoihin voidaan tehdä suoraan. Viestintäviraston periaatteena on ilmoittaa välittömästi ja toistuvasti, mikäli havaitaan kriittiseen infrastruktuuriin tai teollisuusautomaatioon liittyvä laite avoimena verkossa. Kiinteistöautomaatioon liittyvien yksittäisten laitteiden ilmoittaminen on suunniteltu tehtäväksi harvemmin, esimerkiksi kerran vuodessa. Miten toimia ylläpitäjänä Onko käytössäsi automaatiolaitteita, joita pääset käyttämään etäyhteyden avulla? Jos pääsyä ei ole rajoitettu esimerkiksi vpn-tekniikalla tai pääsylistalla, on syytä miettiä keinoja yhteyden suojaamiseksi. Poista käytöstä turvattomat palvelut, esimerkiksi telnet, jos mahdollista. Rikolliset etsivät verkosta pääsyä automaatiojärjestelmiin automaattisilla menetelmillä ja saattavat käyttää löytämiään järjestelmiä väärin joko itse tai myymällä tiedot eteenpäin. Murrettu laite voi toimia myös porttina yrityksen sisäverkkoon. Mikäli sinulla on automaatiolaite kytkettynä suojaamattomana internetiin tai saat ilmoituksen sellaisesta, arvioi mitkä ovat riittävät suojaustoimenpiteet laitteen turvallisen käytön mahdollistamiseksi. Lisätietoa laitteiden suojaamisesta saa valmistajalta tai laitetoimittajalta. 5

6 Yhteystiedot Viestintävirasto PL 313 Itämerenkatu 3 A Helsinki Puh: (vaihde) kyberturvallisuuskeskus.fi viestintävirasto.fi