Закрыть шлюзы: Port уйдёт в карантинную VLAN

Крупная кибератака, предположительно совершённая хакерской группой UNC3886, связанной с Китаем, ставит под угрозу критически важные объекты Сингапура. Целями злоумышленников стали энергетические сети, системы водоснабжения и платёжные системы страны.

Атаки на критическую инфраструктуру Сингапура демонстрируют глобальный характер угроз и актуальность проблемы защиты промышленных систем управления (АСУ ТП). Методы, используемые UNC3886, могут быть применены и против российских объектов.

«UNC3886 уже ломает критическую инфраструктуру Сингапура, эксплуатируя zero-day в Fortinet, VMware ESXi и Juniper, чтобы закрепиться в энергосетях, водоканалах и платёжных системах, о чём прямо предупреждает OT-ISAC и сингапурские власти», — отметил Михаил Спицын, инженер-аналитик компании «Газинформсервис». Он подчеркнул важность проактивных мер защиты, способных предотвратить проникновение злоумышленников ещё на этапе попытки получения доступа. Также он отмечает, что разработка и внедрение передовых отечественных решений становится критически важной задачей для обеспечения национальной кибербезопасности.

APT-группа UNC3886 использует тактику zero-day-уязвимостей в распространённых продуктах, таких как Fortinet, VMware ESXi и Juniper. Эксплуатируя эти уязвимости, хакеры получают доступ к системам управления критической инфраструктурой, что представляет собой прямую угрозу национальной безопасности.

Эксперт добавляет, что современные методы защиты должны быть на шаг впереди атакующих. «Чтобы закрыть такой вектор ещё на уровне физического порта, достаточно посмотреть, что умеет Efros Defence Operations, а именно модуль NAC. Он централизует RADIUS-аутентификацию и профилирование устройств, отсекая всё, что не прошло 802.1X или не соответствует политике безопасности. Движок Efros умеет блокировать MAC-spoofing, сопоставляя OUI вендора и "отпечаток" стека. Если злоумышленник перегрузит свич с подменённым адресом, порт сразу уйдёт в карантинную VLAN. Вот так, при попытке использовать свежий 0-day атакующий ещё до установки бэкдора не получит доступа ни к гипервизорам ESXi, ни к управляющим PLC-сетям», – подчёркивает он.