Как вы знаете, SCADA/ICS-системы по всему миру постоянно подвергаются атакам. Это промышленные системы, которые, в некоторых случаях, способны повлиять на экономику целого государства, и являются главными целями в любой кибервойне. Их легко обнаружить с помощью различных инструментов (nmap / Shodan / и т.д.).
В этом руководстве я продемонстрирую еще один отличный источник для поиска промышленных систем в Интернете — Censys.
Подпишись на наши каналы в телеграме и в Max, там ты найдешь огромное количество качественного контента, без инфошума и воды!
Censys для поиска SCADA/ICS
Censys использует эвристические методы для распределения хостов по «тегам». Эти теги группируют хосты, имеющие схожие признаки. Но, как мы знаем, подобные эвристические системы подвержены ошибкам. На рисунке ниже показан список наиболее распространенных «тегов» Censys.
Мы можем использовать эти теги для поиска систем, похожих на SCADA. SCADA-системы настолько отличаются от других систем, что при сканировании результатов из Censys с помощью Zmap или nmap, большинство окажется действительными.
Мы можем сузить поиск по множеству параметров, например если бы мы искали SCADA-системы, в которых ПЛК (Программируемый Логический Контроллер) произведены немецким промышленным гигантом Siemens (эти ПЛК были целью атаки Stuxnet на Иран), мы могли бы создать такой поисковый запрос:
tags:scada AND metadata.manufacturer:siemens
Мы можем сузить наш поиск до систем в конкретной стране, например в Германии, используя логический оператор AND и добавив дополнительное условие location.country_code со значением DE (Германия).
tags:scada AND metadata.manufacturer:siemens AND location.country_code:DE
Boosting
Одна из функций, которая мне больше всего нравится в Censys — это «boosting». Она пригодится, если у вас есть два поля, одно из которых гораздо важнее другого. Логический «AND» обычно придаёт обоим условиям одинаковый вес. Таким образом, вы можете указать, что одно поле важнее другого, кроме того, этому повышению веса можно задать численное значение.
Например, если бы я искал системы с протоколом modbus и тегом «SCADA», я бы, вероятно, захотел придать значительно больший вес протоколу modbus и меньший — тегу SCADA. Мы можем передать Censys эту неравномерную важность, добавив символ «^» и число, обозначающее вес, который вы хотите присвоить данному полю.
tags:scada AND protocols:"502/modbus"^3
Как видно из приведенных выше результатов, нам удалось получить информацию о сайтах, помеченных тегом SCADA и использующих протокол modbus, с более сильным акцентом на «modbus».
Заключение
Мы можем находить подключенные к Интернету SCADA/ICS-системы с помощью различных инструментов, таких как Shodan и nmap, но Censys может дополнить эти данные информацией из самых разных полей, собираемых через Zmap.
Я считаю, что Censys выводит нас на новый уровень понимания поверхности атаки практически любой системы на планете. Это делает Censys невероятно мощным инструментом для мониторинга ландшафта угроз вашей компании и ландшафта кибервойны в геополитике.
Подпишись на наши каналы в телеграме и в Max, там ты найдешь огромное количество качественного контента, без инфошума и воды!
