Bu ses otomatik olarak oluşturulur. Geri bildiriminiz varsa lütfen bize bildirin.
Dalış Kılavuzu:
- Yaklaşık 200.000 endüstriyel kontrol sistemine kamuya açık olarak erişilebilir, birçoğu zayıf güvenliğe sahip yeni etkinleştirilmiş cihazlar. Güvenlik firması Bitsight dedi Perşembe günü.
- Bitsight’a göre, maruz kalan ICS cihazlarının sayısı 2024 başında 160.000’den 2024’ün sonunda 180.000’den fazla yükseldi.
- Bitsight araştırmacıları, “Bunlar sadece unutulmuş eski sistemler değil,” diye yazdı. “Giderek artan bir şekilde yeni ICS/OT maruziyetlerinin internet erişimi ile canlı, genellikle modası geçmiş veya güvensiz protokoller, minimum kimlik doğrulama ve ağ segmentasyonu veya saldırı yüzey azaltma için çok az değerlendirme anlamına geliyor.”
Dalış içgörü:
İnternete maruz kalan ICS cihazları, enerji ve sudan telekomünikasyon, sağlık ve üretime kadar değişen sektörlerdeki operasyonel teknoloji kuruluşlarına büyük riskler oluşturmaktadır. Birçok siber güvenlik uzmanı, unutulmuş veya modası geçmiş endüstriyel ekipmanların tehlikeleri hakkında uyarı ile eski teknoloji merceğiyle maruz kalma sorununa yaklaştı. Ancak Bitsight’ın raporu, yeni ekipmanın aynı risklerin çoğunu nasıl taşıdığını göstermektedir.
İnternete maruz kalan OT cihazları, mantık kusurları, web kimlik doğrulaması baypas kusurları ve uzaktan kod yürütülmesine izin verebilecek güvenlik açıkları dahil olmak üzere, artan sayıda OT’ye özgü güvenlik açıkları sergiliyor. Araştırmacılar, “Bunlar niş hatalar değil” diye yazdı. Bitsight, mümkün olan en yüksek şiddet skoru ve “önemsiz sömürü yollarına” sahip güvenlik açıklarının yanı sıra “yakıt altyapısı, bina otomasyonu, su arıtma sistemleri ve eleştirel üretim” i uygulayabilecek kusurlar gördü.
Daha da kötüsü, maruz kalan cihazlardaki artıştan tek bir OT ağ protokolü sorumlu değildir. Bunun yerine, Bitsight, çalıştığı en yaygın 13 protokolün çoğunda maruz kalmada “hafif bir artış eğilimi” gördü.
ABD’nin en çok maruz kalan cihazları (80.000), ardından İtalya (75.000) ve İspanya (63.000) izledi. Bitsight’ın çalıştığı protokollere maruz kalan cihazların çoğu ABD ve Avrupa’da idi.
Bitsight, tanımladığı bazı cihazların kasıtlı olarak internete erişilebilir olacak şekilde yapılandırılmış olabileceğini kabul etti, böylece şirket çalışanlarının bunları uzaktan yönetebilmesi, ancak açıkta kalan cihazların sayısının “ICS/OT varlıklarının nasıl yönetildiğini ve güvence altına alındığında yanlış hizalama” olduğunu söyledi.
Şirket, güvensiz internete dönük ekipmanların gerçek dünyaya zarar verebileceğine dair bir örnek sundu. Araştırmacılarının, bazıları güvensiz protokoller aracılığıyla erişmek veya desteklenen girişlere parola gerektirmeyen “yakıt seviyelerini izleyen, sızıntıları ve hatta pompa rölelerini ve diğer çevre birimlerini kontrol eden” yakıt istasyonlarında binlerce internete erişilebilir otomatik tank ölçüm sistemleri bulduğunu söyledi. “En kötü senaryoda,” diye uyardı Bitsight, “bu cihazlar ölçekte güvenlik açısından kritik parametrelerle yakıt erişimini kesmek veya kurcalama için istismar edilebilir.”