ИТ-безопасность и АСУ. Вместе и навсегда.

В последнее время стали активно набирает обороты тема по ИТ-безопасности в Автоматических системах управления и наиболее уязвимой части АСУ ТП SCADA. Так как такие системы самым непосредственным образом влияют на нашу жизнь в реальном мире - трудно пройти мимо этой темы. Именно АСУ ТП управляют подачей электроэнергии, системами тепло и водоснабжения. Они участвуют в выпуске любой продукции любого завода, управляют поездами, кораблями и самолетами.
Такие системы - первые претенденты на транформацию в Скайнет, ога. Представьте себе компьютер, к которому приделан ядерный реактор. А теперь представьте, что может сделать такой компьютер.
Да ничего не может, пока у него нет свободной воли :)
Небольшой обзорный поиск на тему безопасности в АСУ.
McAfee сообщила о росте числа ИТ-атак на промышленные объекты

Обиженный сотрудник взломал систему управления ветрогенераторами
Вирус Stuxnet нанес сокрушительный удар по ядерной программе Ирана
Очень грамотная статья по теме:
Безопасность SCADA: Stuxnet – что это такое и как с ним бороться?

В Азии закончились свободные IP-адреса

ААААА!!!! МЫ ВСЕ УМРЕМ!!!! 2012 год наступает в 2011!

Азиатский интернет-центр APNIC, управляющий адресным IP-пространством в данном географическом регионе, сегодня сообщил о распределении последнего блока IPv4-адресов коммерческим потребителям.

В APNIC (Asia Pacific Network Information Centre) говорят, что распределили последние блоки IP-адресов начинающим интернет-компаниям Азиатско-тихоокеанского региона.

На сегодня APNIC является одной из пяти региональных интернет-регистратур, управляющих IP-адресами. Остальные четыре регистратора также недавно получили последние доступные блоки IP-адресов и сейчас занимаются их распределением.

Заметки на полях

Как-то в последние дни блог не идет. Занят я очень - учеба, хоккей, Формула 1, настройка CallManager для хорошего человека... Вот блог и встал.

Хотя заметки есть и интересные. Например, про синхронизацию времени в корпоративных сетях. Почему-то многие админы, особенно начинающие, забывают про такой простой сервис как NTP. Вроде мелочь, а когда куча оборудования и серверов есть, у которых время различается - множество неприятных проблем возникает. Время создания файлов, время работы скриптов начинает различаться, логи читать неудобно. А его настроить фигня делов. Попозже напишу как :)

А сегодня заметки на полях.

Аналог netstat -a для Cisco IOS. Показывает локально открытые на cisco железке порты. Железки то нонче умные пошли - с сервисами. И сами молчат, что с сервисами.

sh control-plane host open-ports

Не показывает некоторые не TCP/UDP сервисы (OSPF, EIPRG, RSVP) и некоторые UDP (RIP)

Взял тут 

Вдогонку пригодиться

sh udp

sh tcp brief

Выполнение произвольного кода в Microsoft Internet Explorer

Честно говоря, я уже давно привык. Или правильнее сказать отвык. Отвык пользоваться Internet Explorer. Для серфинга, то есть повседневного пользования. Но вот для какого - нибудь кривого  Клиент-Банка, приходиться запускать...

Наблюдая за выходом бюллетеней безопасности уже много лет, могу сказать с уверенностью - IE частый в них гость. Как и многие другие. Вот чаще или реже других браузеров - это вопрос, требующий дополнительного изучения.

Microsoft опубликовало на сайте очередной бюллетень MS11-018 12 апреля 2011. Критическая уязвимость. Возможность выполнения произвольного кода. Стоит отдать должное - в этот раз не 0-day. Уже после того как вышли патчи. В этот раз пронесло. Возможно, кстати, пронесло не всех. Информация как обнаружена уязвимость - силами многоуважаемой корпорации или сторонними силами не уточняется.

Каждый специалист по безопасности понимает - наличие критической уязвимости в таком продукте как defaut browser of default system это просто раздолье для тоянописателей. Это один из факторов, который позволяет распространяться троянам со скоростями по 500000 (пятьсот тысяч) заражений в ДЕНЬ. В ДЕНЬ!

Количество вирусов в спаме увеличилось в 4 раза после уничтожения Rustock

Конечно все исправят и полечат. А в корпоративной среде и так превентивно вырезают опасный контент на шлюзах и отбирают админские права у сотрудников. И даже 500000 компьютеров это не более 0,05% от текущего количества устройств с доступом в Интернет.

Да только есть другая сторона. Трояны сейчас используются для зарабатывания бабла. Рассылки спама, DDoS атак, промышленного саботажа, взлома SIP аккаунтов.
Бот - сеть в 100000 компьютеров вполне способна организовать DDoS атаку с тафиком 100 Gbps. От такой нагрузки ложатся целые страны. Европейские страны, и не самые маленькие. Я уж умолчу про пресловутый ЖЖ, у которого на коннективити без слез не взглянуть. Эффективно бороться с ddos пока не научились. Управляться такая сеть вполне может подростком, который, к примеру, решил задосить какой - нибудь ресурс просто так, от нечего делать. Как вам находиться рядом с ребенком, у которого боевая граната и забрать её нельзя? А мы все заперты в клетушке 20х20. На кого бог пошлет...

Конечно, это скорее бородатый дядя, работающий за деньги. И даже не один. Но нам от этого не легче.

С пятидесятилетним юбилеем нас!

12 октября 1961 года Юрий Алексеевич Гагарин, старший лейтенант Военно - Воздушных Сил Союза Советских Социалистических Республик совершил первый пилотируемый полет в ближнем космосе.

Полет был совершен на корабле "Восток - 1", вывод на орбиту осуществлен ракетой-носителем "Восток", с космодрома "Байконур". Комплекс корабль - ракета-носитель был разработан в ОКБ - 1 под руководством гениального конструктора, великого организатора и  железного человека Сергея Павловича Королева. Строительство корабля, ракеты-носителя и космодрома "Байконур" потребовало усилий огромного количества КБ, НИИ, заводов и, несомненно, всего народа СССР.

Такие Люди как Сергей Павлович и Юрий Алексеевич без оглядки, не жалея живота своего жертвуют свои жизни, судьбы, а так же жизни и судьбы своих близких, ради достижения, которое все Человечество назовёт одним из важнейших в истории.

День 12 октября 1961 останется навсегда в истории. Нужно помнить что это не просто один день. Тысячи дней до этого были для Сергея Павловича, ОКБ-1 и тысяч других людей днями надежд, смятения, ожидания и нечеловеческого труда.

Я надеюсь, когда - нибудь такая же команда сможет отправить старшего лейтенанта ВВС к звездам. И я надеюсь до этого дожить.

ICQ поворачивается лицом к народу

Mail.ru Group повернулось лицом к разработчикам IM клиентов. Теперь протокол ICQ открыт для сторонних проектов, в что числе open source. 

«Легализация всех существующих на сегодняшний день неофициальных ICQ-клиентов – одна из важнейших задач для Mail.Ru Group на текущем этапе развития продукта. Анонсируя новое лицензионное соглашение, мы хотим еще раз официально подтвердить готовность к переговорам и поиску приемлемых вариантов сотрудничества с другими игроками рынка. Ведь наша общая цель – создание безопасных и удобных условий общения для пользователей. Совсем недавно было официально анонсировано решение о поддержке протокола ICQ в Nimbuzz. Продукты, сотрудничество с которыми мы надеемся объявить в ближайшее время – open-source программы Adium, Pidgin, R&Q», - сказал Александр Горный, глава ICQ в России.
Прижало, наверное, сильно. Народ продолжает уходить с ICQ, приходиться принимать меры. HAIL JABBER!

Выполнение произвольного кода в Adobe Flash Player и Adobe Reader

Очередная критическая дыра в Adobe Flash Player и Adobe Reader

• Adobe Flash Player версия 10.2.153.1 и ниже для Windows, Macintosh, Linux и Solaris
• Adobe Flash Player версия 10.2.154.25 и ниже для Chrome
• Adobe Flash Player версия 10.2.156.12 и ниже для Android
• Authplay.dll входящая в Adobe Reader и Acrobat X версия 10.0.2 и ниже 10.x и 9.x для Windows и Macintosh

http://www.adobe.com/support/security/advisories/apsa11-02.html
Заметьте, пользователи Android телефонов, вас это тоже касается!
Способа закрытия дыры пока нет. По заявлению Adobe исправления выйдут в ближайшее время для Adobe Flash Player и Adobe Reader. Так как уязвимость в Acrobat X не представляет большой угрозы, обновление будет выпущено только с очередным квартальным обновлением, которое планируется 14 июня.
P.S. Уязвимость эксплуатируется в настоящий момент

Факс-сервер на роутере cisco. Часть 3.

Продолжение материала. Часть 1. Часть 2.

Особенность удаленных офисов в том, что каналы связи обычно загружены очень сильно. Может кому-то и повезло в этом, но когда используются выделенные каналы связи в какой-нить угол мира, приходиться беречь каждый килобит в секунду.

Как было рассказано в Части 2 на загруженных каналах связи T.37 мало работоспособен. Потому, что если происходит ошибка в tcp сессии smtp соединения, шлюз не повторяет отправку. Сессия разрывается. В tiff документе появляются незаконченные страницы. Народ волнуется и бегает. Может когда - нибудь это и исправят, но работать нужно сегодня.

Киберпреступники или ?

Киберпреступники украли у челябинца 3 миллиона рублей

Человек купил SIP аккаунт у местного оператора телефонной связи. В терминологии МРК это называется "услуги сети NGN". Поставил дома шлюз, звонил и улыбался. До поры.

В какой-то момент у человека украли или подобрали пароль аккаунту. В течении 19 часов с абонентского номера совершены около 10 тысяч соединений общей продолжительностью около 90 тысяч минут. Звонки совершены в Кубу, Египет, Гаити, Гватемалу, Марокко, Гондурас, Гамбию. Разнообразный такой международный трафик. Запомним это.
Ход судебного процесса описан достаточно подробно. В наличии и "нет во мне никакой вины" и заявление - "он сам продал пароль хакерам. Вот он - перед вами. Мы только посчитали по своим тарифам".

Решение суда интересно само по себе. Законом "О связи" на оператора возложена обязанность обеспечивать защиту сетей связи и сооружений от несанкционированного доступа к ним, которая не была обеспечена. Т.е. всю ответственность возложили на оператора связи. Это редкость для МРК и заслуживает внимания.

Но есть и другая сторона. Ведь это за 19 часов (!) звонков на 90 тысяч (!) минут! Если взять калькулятор и посчитать получается чуть менее 200 одновременных (!) звонков в течении 19 часов в среднем. А вот это уже интересней.

Допустим, был злоумышленник с IP адресом из США. Допустим, он перебором получил пароль. Факт подбора пароля доказан. Но где злоумышленник единовременно взял такое количество голосового трафика? На 90000 минут за 19 часов? 200 одновременных сессий? Это ведь трафик нескольких тысяч "обычных" абонентов, которые постоянно на телефоне не висят. Получается действует команда фрикеров у которой есть трафик тысяч абонентов? И его направляют на взломанные железки и аккаунты?

Тогда все должно быть поставлено на поток. Поиск дает 1 аналогичный случай в этом году Тюменские предприятия пострадали от хакеров. Может быть еще были факты, не ставшие публичными. Получается, что - намечается тенденция?

А может инсайдеры стараются подзаработать немного денег на простых пользователях?

Или простое головотяпство отдельных персонажей?

Переполнение буфера FreeBSD, NetBSD

Очень серьезная уязвимость во FreeBSD 7.1 - 8.1 и NetBSD 4.0 (возможно и в других версиях).
Возможен срыв стека специально сформированным IP пакетом. Со всеми вытекающими последствиями. Вплоть до выполнения произвольного кода с привилегиями ядра на NetBSD.
Во FreeBSD заявлен только отказ в обслуживании.
В обоих случаях доступны исправления по CVS.
Торопитесь, эксплоиты уже в наличии.
http://www.openwall.com/lists/oss-security/2011/04/01/1