هل يمكن اختراق أنظمة التحكم الصناعية

 كشفـت شركة Schneider Electric بتاريخ 11-ابريل-2023 عن ثغرة أمنية عالية الخطورة على أحد منتجاتها وهو برنامج EcoStruxure™ Control Expert نسخة رقم V15.1 والاصدارات الأحدث، تمكن المخترقين من تنفيذ أوامر عن بعد remote code execution (RCE) على الجهاز المخترَق.

رابط تبليغ شركة Schneider Electric عن الثغرة:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-101-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-101-03.pdf

ما هو EcoStruxure™ Control Expert

يعد نظام EcoStruxure™ Control Expert من البرمجيات الهامة لخبراء انظمة التحكم، فمن خلاله يتم برمجة وإعداد وحدات وأنظمة التحكم المنتجة من شركة Schneider Electric بشقيها PLCs (Programmable Logic Controllers) وPACs (Programmable Automation Controllers) وتحديدا منتجات Modicon M340 و Modicon M580 وأيضا Modicon M580 Safety Momentum, Premium, Quantum applications.

يوفر البرنامج امكانيات متقدمة  لاعداد وحدات وأنظمة التحكم (PLCs  أو PACs) سالفة الذكر من خلال بناء البرامج والتطبيقات المنطقية للتحكم (logic controller) عبر  تعريف العلاقات (statement lists) والروابط (ladder logic) والمخططات الوظيفية (functional block diagram) بين مكونات الأنظمة المراد التحكم بها ومراقبتها، وإدارة مكونات وحدة التحكم وتسمية نقاط التحكم. وتحميلها إلى وحدات أنظمة التحكم، وعمل تمثيل (simulation) للبرامج والتطبيقات المنطقية للتحكم وفحص الاعطال (debugging)، وكذلك ادارة ملفات المصادر (libraries) والبرمجيات الأخرى المساعدة على وحدات التحكم.

وصف الثغرة

هذه الثغرة تحمل الرقم CVE-2023-27976 وتم تصنيف خطورتها بدرجة 8.8، وهي تتصف بالخصائص الأمنية التالية حسب مقياس تصنيف الثغرات CVSS 3.1:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

يتسطيع المخترق عند استغلال هذه الثغرة تنفيذ أوامر عن بعد (RCE) على أجهزة التحكم المخترَقة. وحسب الخصائص الأمنية لها تعتبر درجة التعقيد لاستغلال الثغرة لعمل تهديد ذات مستوى منخفض (AC:L) كما لا تحتاج لاسم استخدام لعمل والاختراق، وهذا يساهم في رفع مستوى خطورة الثغرة.

أثر الثغرة على أنظمة التحكم الصناعية؟

يتم استخدام نظام EcoStruxure™ Control Expert لتهيئة وحدات التحكم واعدادها بالبرامج المنطقية للتحكم لتؤدي هذه الوحدات وظائف المراقبة والتحكم حسب المشروع الذي تعمل به، فعلى سبيل المثال يتم تركيب هذه الوحدات للتحكم بخطوط انتاج المصانع الكبرى، او لتشغيل مرافئ الموانئ، أو تشغيل وحدات معالجة المياه العادمة، او للتحكم في شبكة القطارات، أو لإدراة ومراقبة أنظمة السلامة (safety system) في المنشآت الكبرى وغيرها من التطبيقات الصناعية. لذا فإن حساسية الاستخدام لهذه الأنظمة في قطاع أنظمة التحكم الصناعية (ICS) تجعل اختراقها أمر في غاية الخطورة.

يعتمد نظام EcoStruxure™ Control Expert على تشغيل خدمات web endpoint للتواصل بين جهاز الحاسوب (PC) الذي يعمل عليه هذا النظام مع وحدات التحكم لبرمجتها أو لتحميل أوتنزيل ملفات من هذه الوحدات أو أية عملية أخرى من العمليات المعتادة. عند تنصيب هذا النظام على جهاز الحاسوب يقوم بانشاء مجلدات تحتوي على عدة ملفات، احد الملفات يقدم خدمة web endpoint وهو ملف SE.SODB.Host.exe. وهذا الملف هو الذي يتسبب بوجود هذه الثغرة ويتم اسغلاله لرفع ملفات على وحدات التحكم من أجل تغيير الوظائف المعدة عليها او تتسبب في احداث هجمات على مكونات الأنظمة التشغيلية (OT).

الرابط التالي يقدم تحليل لبرمجية الملف التنفيذي وكيفية استغلال الثغرة والقدرة على الدخول على وحدات التحكم العاملة دون الحاجة لاسم استخدام، وبالتالي امكانية ارسال أوامر تحكم لعمليات تشغيلية (control commands for industrial systems):

https://www.reversemode.com/2023/04/losing-control-over-schneiders.html

مقدمة عن مطاردة هجمات الاستطلاع السيبرانية عبر سجلات الاحداث

 

للكشف عن نشاطات سيبرانية مشبوهة على أنظمة تشغيل ويندوز مرتبطة بهجمات الاستطلاع (Reconnaissance) ولعمل مطاردة للتهديدات (Threat Hunting)، يلزم بشكل مبدئي بالتفتيش بسجلات الاحداث (event viewer) ضمن قسم سجلات الحماية (Security Event Log) على سجلات تحمل الارقام التالية:

·       Event ID 4624: Successful logon events

·       Event ID 4625: Failed logon events

·       Event ID 4634: Successful logoff events

·       Event ID 4647: User initiated logoff events

ايضا في حال كان Sysmon مفعل ويقوم بحفظ سجلات، يلزم البحث عن سجلات اضافية على النحو التالي:

·       Event ID 1: Process creation events

·       Event ID 3: Network connection events

·        Event ID 7: Image load events

·       Event ID 8: CreateRemoteThread events

ثم تحليل السجلات المنوعة محط الاهتمام والتي جمعها وأهمية دراسة ترابط هذه السجلات التي توثق احداث مشبوهة للاستدلال عن طبيعة الهجوم من أجل اكمال رحلة التحري الرقمي ومعرفة الضرر والأثر الذي احدثه الاختراق ونطاق الانتشار داخل الشبكة وكذلك الأنظمة والأجهزة العاملة المتضررة. وبناء عليه  عمل اجراءات الاصلاح والتعافي واحتواء الاختراق.

وبعد يجب توثيق تفاصيل الحادثة بما يشمل كيفية اكتشاف الاختراق، والاجراءات التي تمت واستخراج مؤشرات الاختراق (IoCs).