Chceli by ste sa dosta\u0165 do riadiacich priemyseln\u00fdch syst\u00e9mov tov\u00e1rn\u00ed, elektr\u00e1rn\u00ed \u010di in\u00fdch subjektov a stv\u00e1ra\u0165 tam neplechu, pr\u00edpadne sa len nen\u00e1padne pozera\u0165? T\u00fd\u017edenn\u00edk Ekonom prin\u00e1\u0161a r\u00fdchlokurz pre za\u010diato\u010dnikov zdarma! Nav\u0161t\u00edvte webov\u00fa str\u00e1nku www.shodan.io<\/a>, ktorej sa hovor\u00ed Google pre internet vec\u00ed (IOT), vyu\u017eite v\u0161emo\u017en\u00e9 filtre a je to! Na dia\u013eku uvid\u00edte zariadenia pripojen\u00e9 na internet, do ktor\u00fdch sa v\u010faka ich zranite\u013enostiam dok\u00e1\u017eete dosta\u0165.<\/strong><\/p>\n\n\n\n Toto nem\u00e1 by\u0165 nab\u00e1danie k trestnej \u010dinnosti, ale len pouk\u00e1zanie na to, \u017ee verejne pr\u00edstupn\u00fdch IOT pr\u00edstrojov s mo\u017enos\u0165ou zneu\u017eitia je obrovsk\u00e9 mno\u017estvo, a \u017ee m\u00f4\u017eu znamena\u0165 zna\u010dn\u00fd probl\u00e9m v kybernetickej bezpe\u010dnosti nielen na \u00farovni firiem a organiz\u00e1ci\u00ed, ale aj \u0161t\u00e1tov.<\/p>\n\n\n\n A probl\u00e9m to skuto\u010dne je. Ukazuje sa, \u017ee v \u010ceskej republike je minim\u00e1lne 1600 vysoko zranite\u013en\u00fdch riadiacich syst\u00e9mov <\/strong>(takzvan\u00fdch PLC alebo ICS), ktor\u00e9 je mo\u017en\u00e9 be\u017ene n\u00e1js\u0165 na internete, \u010d\u00edta\u0165 z nich \u00fadaje a z\u00edska\u0165 k n\u00edm anonymn\u00fd pr\u00edstup bez znalosti mena a hesla. Ovl\u00e1dnutie tak\u00fdch jednotiek m\u00f4\u017ee ma\u0165 fat\u00e1lne dopady na fungovanie dan\u00fdch s\u00fakromn\u00fdch aj \u0161t\u00e1tnych spolo\u010dnost\u00ed.<\/p>\n\n\n\n Slovensk\u00e1 kyberbezpe\u010dnostn\u00e1 spolo\u010dnos\u0165 Void SOC<\/a> ned\u00e1vno v \u010cesku urobila technick\u00fd prieskum<\/a> a zistila, \u017ee medzi spom\u00ednan\u00fdmi zranite\u013en\u00fdmi syst\u00e9mami s\u00fa aj v\u00fdrobn\u00e9 linky, ovl\u00e1dacie syst\u00e9my niektor\u00fdch elektr\u00e1rn\u00ed alebo pristup ku kompletn\u00e9mu ovl\u00e1daniu ist\u00e9ho pivovaru. Tieto derav\u00e9 syst\u00e9my boli detekovan\u00e9 v 280 \u010desk\u00fdch mest\u00e1ch. \u00datoky na tuzemsk\u00e9 nemocnice <\/a>po\u010das posledn\u00fdch mesiacov tak m\u00f4\u017eu potenci\u00e1lne predstavova\u0165 len \u0161pi\u010dku \u013eadovca.<\/p>\n\n\n\n Jedn\u00e1 sa aj o priemyseln\u00e9 syst\u00e9my ozna\u010dovan\u00e9 ako SCADA, ktor\u00e9 s\u00fa hojne roz\u0161\u00edren\u00e9 a bezpe\u010dnostne podcenen\u00e9. Riadiacich syst\u00e9mov ka\u017ed\u00e9ho druhu bude navy\u0161e prib\u00fada\u0165. Koncept vl\u00e1dou vyzdvihovan\u00e9ho Priemyslu 4.0 je toti\u017e postaven\u00fd na chytr\u00fdch strojoch, ktor\u00e9 s\u00fa pripojen\u00e9 do siete a na internet. S\u00fa teda zranite\u013en\u00e9 podobne ako be\u017en\u00e9 po\u010d\u00edta\u010de alebo chytr\u00e9 telef\u00f3ny. Vo v\u0161eobecnosti sa o\u010dak\u00e1va, \u017ee trend e\u0161te viac rozvin\u00fa prich\u00e1dzaj\u00face 5G siete.<\/p>\n\n\n\n N\u00e1rodn\u00fd \u00farad pre kybernetick\u00fa a informa\u010dn\u00fa bezpe\u010dnos\u0165 (N\u00daKIB) u\u017e za\u010dal tieto skuto\u010dnosti zoh\u013ead\u0148ova\u0165.<\/p>\n\n\n\n Medzi zranite\u013en\u00fdmi IT syst\u00e9mami s\u00fa v\u00fdrobn\u00e9 linky, ovl\u00e1dacie syst\u00e9my elektr\u00e1rn\u00ed alebo pr\u00edstup k ovl\u00e1daniu ist\u00e9ho pivovaru.<\/p>\n\n\n\n V novo pripravenom N\u00e1rodn\u00edm pl\u00e1nu V\u00fdzkumu a v\u00fdvoje v Oblasti kybernetick\u00e9 a informa\u010dn\u00ed bezpe\u010dnosti \u00farad ozna\u010dil za jednu z prior\u00edt bezpe\u010dnos\u0165 priemyseln\u00fdch siet\u00ed a syst\u00e9mov v s\u00favislosti s rozvojom internetu veci.<\/strong> \u201eS narastaj\u00facou digitaliz\u00e1ciou priemyseln\u00fdch siet\u00ed a SCADA syst\u00e9mov sa d\u00e1 o\u010dak\u00e1va\u0165 zvy\u0161uj\u00faci sa tlak na v\u00fdskum a v\u00fdvoj ochrann\u00fdch n\u00e1strojov, ktor\u00e9 bud\u00fa schopn\u00e9 lep\u0161ie chr\u00e1ni\u0165 komunika\u010dn\u00e9 a informa\u010dn\u00e9 siete,<\/em>” uv\u00e1dza \u00farad.<\/p>\n\n\n\n Aktu\u00e1lnu situ\u00e1ciu v\u0161ak m\u00f4\u017eeme ozna\u010di\u0165 za tristn\u00fa. \u201ePovedomie o kyberbezpe\u010dnosti v priemysle je na \u00farovni povedomia o kyberbezpe\u010dnosti v be\u017enom IT v roku 1991,\u201c<\/em> uv\u00e1dza Martin Lohnert zo spolo\u010dnosti Void SOC. Pr\u00edkladom m\u00f4\u017ee by\u0165 jedna z fotovoltaick\u00fdch elektr\u00e1rn\u00ed. K jej ovl\u00e1daciemu syst\u00e9mu sa d\u00e1 dosta\u0165 jednoducho cez web bez zadania mena a hesla. Ovl\u00e1dacie rozhranie pou\u017e\u00edvate\u013ea dokonca v\u017edy informuje, \u017ee \u017eiadne heslo nie je nastaven\u00e9 a \u010di si skuto\u010dne praje pokra\u010dova\u0165 bez neho. Tak\u00fdchto pr\u00edpadov je v r\u00e1mci spom\u00ednan\u00fdch 1600 syst\u00e9mov viac, \u010d\u00edm sa ignoruj\u00fa \u00faplne element\u00e1rne bezpe\u010dnostn\u00e9 pravidl\u00e1.<\/p>\n\n\n V r\u00e1mci nezabezpe\u010den\u00fdch syst\u00e9mov je mo\u017en\u00e9 n\u00e1js\u0165 kontroln\u00e9 prvky od popredn\u00fdch svetov\u00fdch spolo\u010dnost\u00ed ako s\u00fa Schneider Electric, ABB, Siemens, Honeywell, Rockwell Automation a \u010fal\u0161ie. Slab\u00e1 \u00farove\u0148 zabezpe\u010denia v\u0161ak v\u00e4\u010d\u0161inou nie je sp\u00f4soben\u00e1 chybami na ich strane. In\u0161tal\u00e1ciu tak\u00fdchto zaraden\u00ed toti\u017e rie\u0161ia partneri, ktor\u00ed ignoruj\u00fa bezpe\u010dnostn\u00e9 opatrenia. \u00datoky m\u00f4\u017eu prich\u00e1dza\u0165 aj priamo cez t\u00fdchto partnerov, kedy hackeri postupuj\u00fa tak, \u017ee napadn\u00fa jednu s\u00fa\u010das\u0165 dod\u00e1vate\u013esk\u00e9ho re\u0165azca a potom postupuj\u00fa \u010falej.<\/p>\n\n\n Problematick\u00fdch miest je viac. Subjekty \u010dasto k bezpe\u010dnosti pristupuj\u00fa formou \u201e\u010do by kto u n\u00e1s len h\u013eadal” a z\u00e1rove\u0148 v jednotliv\u00fdch syst\u00e9moch nevykon\u00e1vaj\u00fa aktualiz\u00e1cie softv\u00e9ru. Zariadenia v priemyseln\u00fdch syst\u00e9moch tak b\u00fdvaj\u00fa zastaral\u00e9 a zranite\u013en\u00e9.<\/p>\n\n\n\n \u201eSCADA syst\u00e9my s\u00fa dramaticky nezabezpe\u010den\u00e9,”<\/em> popisuje Martin Uher zo spolo\u010dnosti CyberG, ktor\u00e1 v \u0158itce pri Prahe prev\u00e1dzkuje \u201ekybernetick\u00fa telocvi\u010d\u0148u”, kam firmy chodia tr\u00e9nova\u0165 obranu proti hackersk\u00fdm \u00fatokom. \u201eSpolo\u010dnosti niekedy pou\u017e\u00edvaj\u00fa tak star\u00e9 verzie syst\u00e9mov, \u017ee ich m\u00e1me probl\u00e9m zohna\u0165 do testovacieho prostredia,<\/em>” kon\u0161tatuje Uher. Upozor\u0148uje aj na pr\u00edstup organiz\u00e1ci\u00ed v \u0161t\u00fdle \u201enechyta\u0165 sa toho, hlavne \u017ee to funguje” a ignorovanie skuto\u010dnosti. \u201e\u013dudia, ktor\u00ed so SCADA technol\u00f3giami pracuj\u00fa, boli dlho presved\u010den\u00ed, \u017ee sa ich bezpe\u010dnostn\u00e9 hrozby pr\u00edli\u0161 net\u00fdkaj\u00fa, preto\u017ee \u0161lo o takzvan\u00e9 ostrovn\u00e9 in\u0161tal\u00e1cie predt\u00fdm nepripojen\u00e9 na internet,”<\/em> dop\u013a\u0148a Uher.<\/p>\n\n\n\n Priemyseln\u00e9 syst\u00e9my m\u00f4\u017eu pre \u00fato\u010dn\u00edkov predstavova\u0165 vstupn\u00fd bod, skrz ktor\u00fd sa potom dostan\u00fa do \u010fal\u0161\u00edch \u010dast\u00ed siete. Priemern\u00e1 doba odhalenia tak\u00e9ho \u00fatoku je 214 dn\u00ed<\/strong>, kedy je mo\u017en\u00e9 v sieti vy\u010dk\u00e1va\u0165, pozorova\u0165 dianie a postupova\u0165 hlb\u0161ie. Riadiacie jednotky s\u00fa z\u00e1rove\u0148 s\u00fa\u010das\u0165ou aj \u00faplne be\u017en\u00e9ho vybavenia ako s\u00fa klimatiz\u00e1cie, odkia\u013e je mo\u017en\u00e9 \u201epresko\u010di\u0165” \u010falej.<\/p>\n\n\n\n To, ako sa riadiace a IOT zariadenia vyu\u017e\u00edvaj\u00fa na komplexn\u00e9 \u00fatoky, ukazuje Unicorn RedTeam. Ide o mal\u00fa organiz\u00e1ciu vo vn\u00fatri \u010deskej softv\u00e9rovej spolo\u010dnosti Unicorn, ktor\u00fa si naj\u00edmaj\u00fa banky a \u010fal\u0161ie in\u0161tit\u00facie, aby viedla \u00fatoky na ich infra\u0161trukt\u00faru. N\u00e1sledne im experti z \u201e\u010derven\u00e9ho t\u00edmu” predlo\u017eia, \u010do je zle a \u010do treba vylep\u0161i\u0165.<\/p>\n\n\n\n Hackersk\u00fdm \u00fatokom sa d\u00e1 napr\u00edklad prehria\u0165 k\u00e1vovar a vo firme tak sp\u00f4sobi\u0165 po\u017eiar.<\/strong> Alebo sa cez chytr\u00fa \u017eiarovku nab\u00fara\u0165 do po\u010d\u00edta\u010dovej siete. RedTeam \u010dasto postupuje ako v \u0161pion\u00e1\u017enom filme (fotenie monitorov zamestnancov z hotelovej izby oproti kancel\u00e1ri\u00e1m banky a pod.). Z\u00e1rove\u0148 v\u0161ak do svojej pr\u00edpravy zah\u0155\u0148a aj monitoring IOT cez spom\u00ednan\u00fd Shodan a \u010fal\u0161ie n\u00e1stroje. IOT je d\u00f4le\u017eitou \u010das\u0165ou vybavenia \u00fato\u010dn\u00edka. \u201eTypicky m\u00e1me zak\u00e1zan\u00e9 un\u00e1\u0161a\u0165 deti zamestnancov, rozb\u00edja\u0165 okn\u00e1 a z\u00e1mky \u010di cielene \u00fato\u010di\u0165 na \u010dlenov predstavenstva. Inak je to ale na n\u00e1s,\u201d<\/em> prezradili \u010dlenovia RedTeamu, ktor\u00ed nechc\u00fa by\u0165 menovan\u00ed.<\/p>\n\n\n\n S postupn\u00fdm rozvojom internetu vec\u00ed sa tento princ\u00edp bude st\u00e1va\u0165 \u010doraz v\u00e4\u010d\u0161\u00edm probl\u00e9mom. Izraelsk\u00e1 kyberbezpe\u010dnostn\u00e1 spolo\u010dnos\u0165 Check Point napr\u00edklad dok\u00e1zala vyu\u017ei\u0165 zranite\u013enosti v chytr\u00fdch \u017eiarovk\u00e1ch Philips Hue (chytr\u00e9 s\u00fa v tom, \u017ee si m\u00f4\u017eete cez mobil zmeni\u0165 farby a podobne) pripojen\u00fdch na internet. V \u017eiarovk\u00e1ch bolo mo\u017en\u00e9 prevzia\u0165 kontroln\u00fa jednotku a z tej sa dosta\u0165 do \u010fal\u0161\u00edch \u010dast\u00ed po\u010d\u00edta\u010dovej siete.<\/strong><\/p>\n\n\n\n \u201ePhilips sme si pre testy vybrali z toho d\u00f4vodu, \u017ee ide o obrovsk\u00fa firmu, ktor\u00e1 ve\u013ea investuje do kyberbezpe\u010dnosti. Nemali sme \u010das ani kapacity sk\u00fa\u0161a\u0165 \u010fal\u0161ie IOT \u017eiarovky, ktor\u00fdch je na trhu dos\u0165, ale zranite\u013enosti by sme stopercentne na\u0161li v\u0161ade,”<\/em> popisuje pre Ekonom Itzik Feiglevitch z Check Pointu, ktor\u00fd sa na pokuse podie\u013eal.<\/p>\n\n\n\n Podobn\u00fd k\u00fasok sa podaril \u010desk\u00e9mu Avastu, kde jeho v\u00fdskumn\u00edci hackli be\u017en\u00fd k\u00e1vovar. \u201eBoli sme schopn\u00ed z neho urobi\u0165 stroj, ktor\u00fd rozposiela ransomware s \u017eiados\u0165ou o platbu. Tie\u017e sme vedeli k\u00e1vovar pou\u017ei\u0165 ako br\u00e1nu na sledovanie v\u0161etk\u00fdch zariaden\u00ed pripojen\u00fdch v dom\u00e1cej sieti,”<\/em> popisuje Martin Hron z Avastu s t\u00fdm, \u017ee \u00fatokom k\u00e1vovar dok\u00e1zali prehria\u0165 a mohli potenci\u00e1lne sp\u00f4sobi\u0165 po\u017eiar.<\/p>\n\n\n\n Avast vo svojom prieskume zistil aj to, \u017ee viac ako 42 % \u010desk\u00fdch dom\u00e1cnost\u00ed m\u00e1 aspo\u0148 jedno chytr\u00e9 zariadenie zranite\u013en\u00e9 vo\u010di \u00fatokom<\/strong>. Spolo\u010dnos\u0165 si preto vo svojom s\u00eddle v Prahe na Pankr\u00e1ci koncom minul\u00e9ho roka postavila vlastn\u00e9 IOT laborat\u00f3rium a internet vec\u00ed sa stal jednou z d\u00f4le\u017eit\u00fdch \u010dast\u00ed ich podnikania.<\/p>\n\n\n\n Podobne sa na Slovensku internetu veci venuje spolo\u010dnost ESET. Tej sa napr\u00edklad v r\u00e1mci v\u00fdskumu podarilo odhali\u0165 zranite\u013enosti centr\u00e1lnych riadiacich jednotiek, pomocou ktor\u00fdch bolo mo\u017en\u00e9 ovl\u00e1dnu\u0165 zariadenia v sieti, podstr\u010di\u0165 v\u00edrusy alebo odpo\u010d\u00fava\u0165 sie\u0165. ESET si od agent\u00fary Median nechal urobi\u0165 aj prieskum medzi \u010desk\u00fdmi pou\u017e\u00edvate\u013emi. Ten uk\u00e1zal, \u017ee 71 % z nich m\u00e1 zariadenia internetu vec\u00ed pripojen\u00e9 do rovnakej siete ako be\u017en\u00e9 po\u010d\u00edta\u010de a telef\u00f3ny.<\/strong> T\u00fdm sa zvy\u0161uje riziko \u00fatoku a odborn\u00edci na IOT odpor\u00fa\u010daj\u00fa oddelen\u00fa sie\u0165.<\/p>\n\n\n\n\u00darove\u0148 ako z roku 1991<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.soitron.com\/wp-content\/uploads\/2020\/08\/obrazok_post-1-1024x300.png\")
<\/figure>\n\n\n\nHacknut\u00e1 \u017eiarovka\u2026<\/h2>\n\n\n\n
\u2026 alebo k\u00e1vovar<\/h2>\n\n\n\n