UA-38584763-46
SON DAKİKA
Amarok’un tasarımcısı ASSİM’de
Tüketiciler Birliği’nden Başkan Uysal’a ziyaret
Irak Türklerinden KKTC Antalya Başkonsolosluğu’na ziyaret
Akdeniz Üniversitesi Fen Bilimleri Enstitüsü’nde Devir Teslim Töreni
Çevreci Komşu Kart’ı incelediler
ABD,PKK’YA KORUMAK İÇİN SURİYE’YE PATRİOT GETİRDİ.,S-400’LERİ NE YAPACAĞIMIZI SÖYLEYEMEZ
AESOB Başkanı, Dere’den Vali Ersin Yazıcı’ya Ziyaret
AK Parti kadrolarında büyük değişim!
Antalya Eğitim Sen, Eğitim ve Bilim Emekçilerine Aşı Hemen Yapılsın
Başkan Boztaş, turizme yönelik iyi haberler gelmeye başladı
Smart TV deneyimi
Şantiye Şefliği Tam Zamanlı Bir Görevdir, Birden Fazla Şantiyede Yapılamaz!
HAYVAN SEVGİSİ ENGELLERİ AŞACAK
Döşemealtı Belediyesi Esnaftan 6 ay kira almayacak
AKP’Lİ ÖZLEM ZENGİN’E BAHAR ÖNAL’DAN TEPKİ
Tütüncü: “Kadının olmadığı siyaset eksiktir”
Muratpaşa’da ders zili yeniden çalıyor
Muhtarlar anlatıyor, Konyaaltı Belediyesi yapıyor
Antalya İçin Silikon Vadisi Hedefi Uzak Değil
AKP’NİN TALANI SON SÜRAT DEVAM EDİYOR
KIZILAY’DAN JANDARMAYA ALTIN ÖDÜL
BAZ İSTASYONU AKÜLERİNİ ÇALDILAR
Kepez’den hayvanlara bir iyilik yatırımı daha
Doğa Ekonomiye İsyan Ediyor
AK Parti Antalya Milletvekili Atay Uslu, Kumluca Hastanesi Ek Bina İnşaatını İnceledi
Hıdırlık Kulesi’ndeki kazı Antalya’nın tarihine ışık tutuyor
Irak Türklerinden, Kıbrıslı kardeşlerine ziyaret
Türkiye İstatistik Kurumu, Evlenme ve Boşanma İstatistikleri, 2020
Akseki’de çiftçiye budama eğitimi verildi
Dijital dönüşüm!
BAŞKAN BAHAR, “ÜRETİM VE HİZMET SEKTÖRÜ ÇALIŞANLARINA AŞILAMADA ÖNCELİK TANINMALI”
GELECEK NESİLLERE DAHA YEŞİL BİR ANTALYA BIRAKACAĞIZ
Olga’lı Muratpaşa İzmir deplasmanında
RUS TİCARET MÜMESSİLİNE DOMATES SİTEMİ
Yüzmede 66 madalya
Dünya Türk çikolatasına müptela oldu
TDP Genel Başkanı, Sarıgül Antalya’ya Geliyor
Ekmeğini kendi yapmak isteyenlere süper fırsat!
CHP’li Arı, ‘Siyaset Üstü Bakılması Gereken Meseleler’
Nasreddin Hoca Parkı’nda Yangın izleri silindi
Tütüncü: “Bizlerden daha çok yaşayacak eserler üretiyoruz”
Kent Konseyi’nden Kamuoyuna Duyuru
Başkan Böcek, e İNGEV’den iki ödül
ALANYA’DA PRESTİJ KAZANDIRAN YATIRIMLARA DEVAM!
Tapılması gereken coğrafya: Antalya!..
Antalya edebiyatçılara iyi geliyor
ATSO Başkanı Çetin,“20 Gün Seferberlik İlan Edelim”
Manavgat’a 4 milyon Avro’luk kanalizasyon yatırımı
Ak Parti Antalya Milletvekili, Uslu’dan Batı Antalya Turu
Büyükşehir’den Kumluca’da alt yapı çalışması
Memur-Sen, 28 Şubat’ın İzleri Silinmeli
ASSİM’den dünyaya açılıyor
Büyükşehir Belediyesi çiftçi için adaçayı fidesi üretiyor
ATB ŞUBAT MECLİSİ TOPLANDI
Türkiye İstatistik Kurumu, Yapı izin istatistikleri açıklandı
Türkiye İstatistik Kurumu, Turizm gelirleri 2020’de yüzde 65 düştü
Borç yapılandırmasının bozulmaması için ilk taksit ödemesinin 1 Mart’a kadar yapılması gerekiyor
Yüz yüze eğitimin tüm sınıflarda başlatılma kararını Milli Eğitim Bakanlığı değil valilikler verecek
Nar ihracatında 126 milyon dolarlık tarihi rekor
Vitel desteği
DOLAR
EURO
ALTIN
BIST
Adana Adıyaman Afyon Ağrı Aksaray Amasya Ankara Antalya Ardahan Artvin Aydın Balıkesir Bartın Batman Bayburt Bilecik Bingöl Bitlis Bolu Burdur Bursa Çanakkale Çankırı Çorum Denizli Diyarbakır Düzce Edirne Elazığ Erzincan Erzurum Eskişehir Gaziantep Giresun Gümüşhane Hakkari Hatay Iğdır Isparta İstanbul İzmir K.Maraş Karabük Karaman Kars Kastamonu Kayseri Kırıkkale Kırklareli Kırşehir Kilis Kocaeli Konya Kütahya Malatya Manisa Mardin Mersin Muğla Muş Nevşehir Niğde Ordu Osmaniye Rize Sakarya Samsun Siirt Sinop Sivas Şanlıurfa Şırnak Tekirdağ Tokat Trabzon Tunceli Uşak Van Yalova Yozgat Zonguldak
Antalya 21°C
Az Bulutlu

Kritik Güvenlik açıkları

12.05.2018
275
A+
A-

Kaspersky Lab ICS CERT, sunucular ile kritik altyapılar gibi endüstriyel sistemlerdeki istemciler arasında güvenli veri transferi için tasarlanan OPC UA (Object Linking and Embedding for Process Control Unified Automation) protokolünü analiz etti. Analizlerde protokolün uygulanmasında 17 adet sıfır-gün açığı tespit edildi. Bu açıklar hizmet engelleme (Denial of Service) ve uzaktan kod çalıştırma saldırılarına yol açabiliyor. Ayrıca, bu protokol üzerine kurulu ticari ürünlerde de çok sayıda açık bulundu. Tüm açıklar geliştiricilere bildirildi ve Mart 2018 sonuna kadar kapatıldı.

OPC UA, endüstriyel bir ağdaki çok sayıda sistem arasında sağlam ve güvenli veri iletimi sağlamak için 2006 yılında OPC Foundation tarafından geliştirilip kullanıma sunulan bir endüstriyel protokol. Bu protokol üretim, petrol ve gaz, ilaç ve başka sektörlerde faaliyet gösteren büyük markalar tarafından endüstriyel tesislerde sıkça kullanılıyor. Protokolün ağ geçitleri; otomatik süreç kontrolü ve uzaktan ölçümde iletişim, takip ve uzaktan denetim sistemleri için her geçen gün artan sayıda endüstriyel kurum tarafından kullanılıyor. Böylece bu kurumlar yönetim süreçlerini birleştirebiliyor. Protokol ayrıca, siber saldırganların dikkatini çeken Endüstriyel IoT ve akıllı şehir bileşenlerinde de kullanılıyor.

Kaspersky Lab ICS CERT uzmanları OPC UA mimarisini ve ürünlerini analiz etti. Örnek bir sunucuyla birlikte protokolün açık kaynaklı kodlarını (GitHub’da bulunabilir) inceleyen uzmanlar, mevcut uygulamanın kod tasarımında ve yazımında hatalar buldu. Bu hatalar, bu kadar yaygın kullanılan bir kritik altyapı yazılımında bulunmaması gereken türde hatalardı. OPC Foundation ürünlerinde toplamda 17 adet sıfır-gün açığı belirlendi ve geliştiricilere bildirildi. Geliştiriciler de ardından bu açıkları kapattı.

Kaspersky Lab ICS CERT ayrıca bu endüstriyel protokol üzerine kurulu üçüncü taraf yazılımları da inceledi. İncelenen yazılımlar arasında önde gelen endüstri markalarının çözümleri de bulunuyordu. Çoğu durumda açıkların, protokolün bazı uygulama işlevleri düzgün bir şekilde kullanılmadığı için ortaya çıktığı tespit edildi. Bazı durumlarda ise açıkların nedeni protokolün altyapısına hatalı değişiklikler uygulanmasıydı. Bu yüzden, OPC Foundation’ın orijinal uygulamasında hata olmamasına rağmen uzmanlar ticari bir üründe güvensiz işlevler keşfetti. Markaların bilinmeyen nedenlerle protokolün mantığında yaptığı bu değişiklikler riskli işlevlere neden oluyordu.

OPC UA protokolünün uygulanmasında tespit edilen tüm açıklar endüstriye büyük zarar verebilecek cinstendi. Bir yandan, endüstriyel süreçleri aksatıp veya durdurup sistemlere ciddi tehdit oluşturabilecek hizmet engelleme (Denial of Service) riski ortaya çıkıyordu. Diğer yandan ise, saldırganlara endüstriyel süreçleri kontrol etmesini veya ağa sızmaya devam etmesini sağlayacak sunucu komutları gönderme imkanı tanıyan, uzaktan kod çalıştırma yöntemi de uygulanabiliyordu.

Kaspersky Lab ICS CERT Kıdemli Güvenlik Araştırmacısı Sergey Temnikov, “Yazılım geliştiriciler genellikle endüstriyel protokollere fazlasıyla güveniyor. Ürün kodlarını güvenlik denetiminden geçirmeden teknolojiyi çözümlerine uyguluyorlar. Böylece, bu örnekteki gibi açıklar ürün serilerinin tamamını etkileyebiliyor. Markaların yaygın kullanılan teknolojilere dikkat etmesi büyük önem taşıyor. Ayrıca, markaların kendi yazılımlarını tasarlayacabilecekleri fikrine de kapılmamaları gerekiyor. Çoğu bunun mevcut yazılımlardan daha verimli ve güvenli olabileceğini düşünüyor fakat yepyeni bir yazılım bile çok sayıda açığa sahip olabiliyor.” dedi.

Kaspersky Lab kurumlara şunları öneriyor:

Uygulama geliştirme sürecinde güvenlik kontrollerini ve testleri zorunlu bir adım olarak görün. Protokollere tamamen güvenmeyin.

Açıkları keşfetmek için denetimler ve sızma testleri uygulayın.

Yazılım geliştirme süreçlerini diğer süreçlerden ayrı tutun. Böylece bir uygulama ele geçirildiğinde saldırganlar tüm ağa erişemez.

 

YORUMLAR

Henüz yorum yapılmamış. İlk yorumu yukarıdaki form aracılığıyla siz yapabilirsiniz.

sanalbasin.com üyesidir