34% систем управления инфраструктурой ЦОД работают на устаревших прошивках

Специалисты компании «Информзащита» выявили, что 34% систем управления инженерной инфраструктурой ЦОД работают на устаревших прошивках. В выборке из 66 395 систем управления зданиями и инженерными процессами BMS более чем у трети устройств использовались неактуальные версии программного обеспечения. Одновременно 84% BMS обмениваются данными по небезопасным протоколам, а 800 устройств содержат известные эксплуатируемые уязвимости из категории KEV. Годом ранее исследование BMS в 529 организациях показывало другую сторону той же проблемы: 72% компаний эксплуатировали BMS с KEV, у 66% организаций присутствовали уязвимости, которые ранее использовались в ransomware-атаках, а у 48% такие уязвимости сочетались с небезопасным подключением к сети. Устаревшая прошивка опасна именно в сочетании с открытым протоколом и доступом из соседнего сегмента сети – а именно так выглядит типичная BMS.

Причина такой ситуации во многом связана с жизненным циклом инженерного оборудования. В реальности за медленным патчингом чаще стоит более простая причина – у BMS просто нет владельца с точки зрения безопасности. Для корпоративной рабочей станции установка обновления может укладываться в стандартное окно обслуживания. С контроллером BMS, системой мониторинга электропитания или устройством, участвующим в управлении охлаждением, процедура устроена иначе. Перед обновлением необходимо проверить совместимость новой версии с контроллерами, датчиками, шлюзами и программным обеспечением диспетчеризации, согласовать работы с эксплуатационной службой и убедиться, что изменение прошивки не повлияет на технологический процесс. В дата-центре цена ошибки особенно высока, так как некорректная работа BMS способна затронуть охлаждение, энергоснабжение, резервные генераторы, пожарную автоматику и другие системы, работа которых связана с непрерывностью сервиса. Поэтому обновление нередко откладывается до следующего регламентного окна, а временное решение постепенно превращается в постоянное.

Кроме того, значительная часть оборудования проектировалась в расчете на закрытую технологическую сеть, где основным требованием была стабильность обмена данными. Отсюда широкое распространение BACnet, MODBUS и других протоколов, в базовых реализациях которых отсутствуют привычные для IT-среды механизмы аутентификации и шифрования. 84% BMS используют небезопасные протоколы, причем BACnet применяется примерно на 42% таких систем. Это значит, что даже свежая прошивка не решает проблему целиком: обновление закрывает уязвимости в коде, но не меняет архитектуру протокола без аутентификации. Для систем мониторинга электропитания доля небезопасных протоколов составляет 82%, для UPS – 86%, для OT-контроллеров – 85%. В результате проблема старой прошивки редко существует изолированно. Одно устройство может одновременно иметь неподдерживаемую версию ПО, доступную для эксплуатации уязвимость и возможность принимать команды по протоколу, который изначально не предусматривает полноценной проверки отправителя.

Разбивка по векторам атак показывает, что прямое подключение BMS к интернету представляет лишь один из сценариев. Из 66 395 исследованных BMS напрямую доступны из внешней сети 369 устройств, то есть менее 1%. Вместе с этим, реальный сценарий атаки — не сканирование интернета, а один шаг lateral movement из уже скомпрометированного IT-сегмента. Гораздо существеннее риск перемещения злоумышленника из уже скомпрометированного сегмента. В отдельной выборке инфраструктуры ЦОД 5 410 из 39 335 BMS, или 14%, находились всего в одном сетевом переходе от системы, связанной с интернетом.

Ситуацию осложняет организационное устройство эксплуатации ЦОД. Инженерная инфраструктура нередко находится в зоне ответственности служб, для которых приоритетами служат доступность, температурный режим, энергопотребление и выполнение SLA. ИБ-подразделение при этом может видеть серверы, сетевое оборудование и корпоративные системы, но не иметь такой же полноты данных о версиях прошивок контроллеров, шлюзов и BMS. Часть устройств устанавливается интеграторами или поставщиками инженерных систем и годами работает без пересмотра исходной конфигурации.

Самая высокая доля устаревших прошивок обнаружена в системах мониторинга электропитания – 59%. Далее идут OT-системы управления с 48%, BMS с 40%, IoT и интеллектуальные датчики с 37% и UPS с 23%. Для операторов коммерческих и colocation-ЦОД особенно чувствительны BMS, PDU и охлаждение, поскольку нарушение их работы затрагивает одновременно инфраструктуру нескольких клиентов. Для облачных площадок и центров обработки данных с высокой плотностью вычислений возрастает зависимость от охлаждения и управления питанием. В корпоративных ЦОД тот же риск дополняется длительным сроком эксплуатации инженерного оборудования, которое зачастую обновляется значительно реже серверной части.