利用PLC自帶網絡功能劫持PLC
責編：gltian ｜2019-01-24 14:12:54鑒于內置安全的明顯缺失，可編程邏輯控制器(PLC)長久以來都是攻擊者眼中誘人的目標。如今，安全研究人員更進一步，將在近期舉行的S4大會上演示如何通過PLC本身的高級通信功能控制這些PLC。
ICS/SCADA網絡安全監測公司Indegy高級軟件工程師 Roee Stark 發現，可以利用羅克韋爾自動化公司的 CompactLogix PLC 內置的兩個通信功能發起網絡攻擊。網絡罪犯或民族國家黑客組織可以將這些功能作為秘密滲透和控制工業過程及運營的新手段，甚至以此摸進目標的IT網絡基礎設施。
截至目前的大多數PLC安全研究都集中在如何黑進PLC或往PLC中植入惡意軟件上，目的要么是改變工業過程，要么是篡改其梯形邏輯(用于編碼PLC的編程語言)。用于PLC的rootkit和蠕蟲都早已出現。
但Stark的黑客研究關注PLC的連接功能。PLC對網絡連接開放，這一設計讓它們對基于網絡的攻擊毫不設防。利用PLC的聯網功能比改變該控制器的編程或讓它爆炸來得容易得多。
Stark利用的第一個PLC內置功能名為復雜路徑，存在于羅克韋爾 CompactLogix PLC 中，是通用工業協議(CIP)芯片集的一部分。CIP是將工業操作與IT網絡和互聯網集成的工業網絡所用的通信架構，運行于EtherNet/IP、Control/IP和其他流行工業網絡協議之上。
復雜路徑功能可供黑客在兩個沒有直接連接的PLC之間創建CIP會話。所以，如果 PLC A 連接 PLC B，PLC B 連接 PLC C，就可以通過 PLC B 在 PLC A 和 PLC C 之間構建通路。該功能允許PLC之間轉發和傳輸消息。
第二個被利用的功能名為套接字對象，可供PLC收發TCP或UDP數據包。
組合使用這兩個功能，就可以從已被掌控的PLC向與其連接的其他PLC發送/接收消息，不用考慮連接類型。
能直接或遠程訪問羅克韋爾PLC的攻擊者可以濫用這兩個功能收集數據，探測環境，滲漏數據，以及運用已知安全漏洞進一步攻擊該工業網絡。
只要攻擊者可以通過局域網或互聯網訪問廠房車間的PLC，就能摸清這些控制器中的通信模塊是哪些，然后利用復雜路徑功能建立通信。
通信建立起來之后就能通過套接字接口用查詢和掃描來收集數據。
因為尚未一一測試，Stark不確定此類攻擊在其他供應商的PLC上有沒有效。不過，他也指出，即便羅克韋爾PLC的這兩個內置功能可能被黑客濫用，其CompactLogix系列也比其他大多數PLC含有更多高級通信協議和功能。這些高級通信協議和功能是相當獨特的。
Indegy并未向羅克韋爾披露該研究，因為這不是純粹的漏洞披露而是濫用控制器功能的一種方法。攻擊者并沒有繞過什么防護，也沒有利用任何控制措施漏洞。濫用該功能的時候程序流正是忠實執行了自己的既定任務。
羅克韋爾自動化公司的發言人拒絕就Indegy的研究發表任何評論。
缺失環節
羅克韋爾PLC實際上有個日志功能可以幫助捕獲此類攻擊，只不過，該日志功能默認是禁用的。而開啟該功能有點麻煩，得深入PLC的Web接口層層查找，然后用特殊的CIP指令將之打開并開始記錄。
身份驗證也有助于挫敗此類攻擊，但PLC并未設置身份驗證功能。Stark還表示，Indegy的持續網絡監視產品能夠發現利用羅克韋爾設備中合法PLC通信功能的任何惡意網絡活動。另外，路由器白名單也可以防止未授權PLC流量。
相較之下，保護工廠車間內PLC的工作歷來把重點放在如何避免惡意固件更新或防止惡意軟件感染帶來的危害，往往只考慮執行流，沒有關注通信流。