Начиная с версии PT ISIM 4.1 обновился механизм получения экспертизы из облака
Программно-аппаратный комплекс глубокого анализа технологического трафика PT Industrial Security Incident Manager (PT ISIM) расширил свои возможности. Пользователи версий PT ISIM 4.1 и выше, подключенные к облаку обновлений Positive Technologies1, теперь могут загрузить не только индикаторы компрометации промышленных угроз, но и разбор протоколов АСУ ТП.
«Сегодня новые угрозы и трендовые уязвимости появляются крайне часто, поэтому важно обновлять экспертизу в продуктах между переходами на новые релизы, — говорит Илья Косынкин, руководитель разработки продукта PT ISIM. — Раньше PT ISIM обладал возможностью получать обновления правил обнаружения и индикаторов компрометации для АСУ ТП, а сейчас добавился и разбор протоколов без деплоя2 и настройки параметров вручную. Подключение PT ISIM к серверам базы индикаторов промышленных киберугроз PT ISTI (PT Industrial Security Threat Indicators3) позволяет быстро, бесшовно и автоматически обновлять правила обнаружения актуальных угроз, а также расширять набор поддерживаемых протоколов».
Пакет экспертизы PT ISIM включает новые механизмы обнаружения угроз в оборудовании Siemens, Hirschmann, Yokogawa, Rockwell Automation, а также выявление атак в операционной системе Windows. Например, появилась поддержка протокола HiDiscovery для устройств Hirschmann. Она позволяет обнаружить сетевое сканирование и попытки смены сетевых параметров. Кроме того, расширилась поддержка отдельных функций протокола связи Siemens SIMATIC S7, связанных с отладочными режимами работы и загрузкой программной логики.
Команда экспертного центра безопасности Positive Technologies (PT Expert Security Center) регулярно исследует новые угрозы, в том числе в промышленных системах. При появлении новых способов атак эксперты взаимодействуют с командой PT ISIM, которая готовит наборы правил обнаружения угроз, индикаторов компрометации и механизмов детального разбора протоколов. Они, в свою очередь, становятся доступны всем пользователям продукта. Таким образом, PT ISIM на регулярной основе получает набор индикаторов компрометации, которые не в теории, а на практике заслуживают пристального внимания специалистов по ИБ. Например, в случае с устройствами Hirschmann эксперты Positive Technologies обнаружили атаки, в которых для изменения конфигурации оборудования в сети использовалась утилита High Discovery. Эта тактика была добавлена в новый пакет экспертизы PT ISIM.
Кроме того, PT ISIM получил обновления механизмов обнаружения угроз, которые позволяют:
- обнаружить случаи удаленного управления службами Windows, использующие штатные инструменты операционных систем от Microsoft (например, через MS-SCMR, он же SVCCTL4);
- выявить вредоносный инструмент Bvp475;
- определить попытки эксплуатации уязвимостей CVE-2014-0781 (Yokogawa CENTUM CS 3000) и CVE-2020-12029 (Rockwell Automation FactoryTalk View SE).
Обновление совместимо с PT ISIM версий 4.1 и 4.2. В последних сборках PT ISIM 4.2 новый пакет экспертизы уже установлен. Установка пакета возможна как по сети при подключении к облачному серверу PT ISIM, так и локально.
PT ISIM — часть комплексной платформы для выявления киберугроз и реагирования на инциденты в промышленных системах PT Industrial Cybersecurity Suite (PT ICS), поэтому пользователи PT ICS тоже получают эти и другие пакеты экспертизы и обновления, предназначенные для PT ISIM.
- PT ISIM Overview Center позволяет централизованно обновлять все нижестоящие узлы View Sensor (в том числе подключенные не напрямую, а через другие узлы Overview Center). Чтобы пакеты с обновлениями автоматически появлялись в PT ISIM Overview Center, требуется подключить компонент к серверу обновлений с помощью специального ключа, который поставляется вместе с продуктом.
- Процесс развертывания веб-сервиса в рабочем окружении.
- База индикаторов промышленных киберугроз PT ISTI, которая содержит более 4000 сигнатур и правил обнаружения атак на оборудование ABB, Emerson, Hirschmann, Schneider Electric, Siemens, Yokogawa и других производителей
- Service Control Manager Remote Protocol — удаленный протокол диспетчера управления службами.
- Бэкдор. Получил название Bvp47 из-за многочисленных ссылок на строку Bvp и числовое значение 0x47 в алгоритме шифрования. Был обнаружен в системах под управлением Linux в 2013 году.
- Источник: www.ptsecurity.com
- _Мета слова: _