attacco a sistema scada gestione pompe acquedotto

[Palur]

è qui che si parla di pompe?

[Alkabar]

Non capisco l'argomentazione onestamente. C'è un problema di sicurezza? Bene, allora aiuta a metterlo a posto invece che rovinare l'infrastruttura, no? Boh, non capisco il pro dell'essere arroganti e buttare giu' tutto facendo dei danni.
Cos'è una cosa tipo "siccome hai fatto degli errori, allora ho il diritto di farti dei danni?" "Sei un coglione, te la sei cercata quindi ti inculo, pero' è per il tuo bene???". A me sembra abbastanza criminale fare dei danni, fine.

Poi possono anche essere i re di sto cazzo fondamentalmente io stavo tutti i giorni con gente del dipartimento di informatica e sicurezza della R.H.U.L, riconosciuti come massimi esperti di informatica al mondo,. e loro studiano della gran matematica per migliorare la sicurezza informatica, non vanno a fare i fenomeni al fine di foraggiar il proprio ego.

[Axet]

Non capisco l'argomentazione onestamente. C'è un problema di sicurezza? Bene, allora aiuta a metterlo a posto invece che rovinare l'infrastruttura, no? Boh, non capisco il pro dell'essere arroganti e buttare giu' tutto facendo dei danni.
Cos'è una cosa tipo "siccome hai fatto degli errori, allora ho il diritto di farti dei danni?" "Sei un coglione, te la sei cercata quindi ti inculo, pero' è per il tuo bene???". A me sembra abbastanza criminale fare dei danni, fine.

Poi possono anche essere i re di sto cazzo fondamentalmente io stavo tutti i giorni con gente del dipartimento di informatica e sicurezza della R.H.U.L, riconosciuti come massimi esperti di informatica al mondo,. e loro studiano della gran matematica per migliorare la sicurezza informatica, non vanno a fare i fenomeni al fine di foraggiar il proprio ego.

Boom. Headshot.
Secondo me Shamir buttava giu siti random in passato

[Drugnon]

Uhm, mi sa che ti sfugge cosa sia uno SCADA...
Ma forse ti manca anche il concetto di Sistema...
Fammi capire io dall' esterno accedo alla Pompa?
O forse accedo allo scada, il quale mostra delle vulnerabilità? E secondo te la vulnerabilità cos'è? Una porta TELNET aperta???? :rotfl

Il problema e' la leggerezza con cui e' stato progettato quell'impianto.


Controllare una qualsiasi cosa senza mettere interblocchi all'accensione, controlli di spegnimento, controlli sul circuit breaker, controlli sulla temperaturar, sul livello del lubrificante e' una cosa da incompetenti. Ho visto cinesi fare di meglio...

Questi controlli di cui parlo NON li puoi modificare con lo SCADA, sono decodificati nel PLC.
E per modificarli a PLC devi avere il software di partenza, modificarlo e farne un download sul PLC e facendo quest'ultima operazione fermi tutto l'impianto e gia li la tua azione viene rilevata.


Certo se poi la gente mette su un sistema di controllo di una pompa senza interblocchi e nello SCADA mette un comando di start, uno di stop e uno di ciclo automatico e poi connette tutto a internet grazie al cazzo che il primo malintenzionato che conosce il sistema leva la pompa dal ciclo automatico, la mette in start e la lascia lavorare finche' non si fotte...


E ci tengo a dire che normalmente un sistema di automazione normale NON ha falle simili.


Edit:
Esempio di sistema sicuro (anche troppo..)
Il cliente per cui sto lavorando adesso mi ha fatto fare il lockdown del PC a livello SSLF (Specialized Security-Limited Functionality), vuole mettere 4 firewall (uno per edificio), vuole installare un antivirus su ogni SCADA workstation (che mi rileva lo SCADA come virus.... -_________-), la rete in cui lavorera' il sistema non e' accessibile dall'esterno e mi ha fatto disabilitare tutte le porte USB dei PC.


E mi sta rompendo il cazzo perche' non e' possibile eliminare la shortcut ease of access quando fai ctrl+alt+canc con windows 7 -____-

[Zaider]

Da nerd economista mi viene naturale chiedere una cosa.

Che ci vuole per tenere un sistema del genere ABBASTANZA protetto? quanto costa sviluppare la sicurezza informatica? e quanta gente serve per tenerla up in modo efficiente?

[Nazgul Tirith]

LINK

tl;dr
Alcuni "hacker" hanno violato il sistema SCADA di un acquedotto per poi bruciarne una pompa.

Quoto dall'articolo:


davvero

La prossima sarà una centrale nucleare

Salto a pie pari il flame e la discussione che ne e' nata che non mi interessa giusto per rispondere a te elta che hai aperto il topic.

Prima di tutto, ormai l'informazione in generale (e soprattutto Italiana) scrive un sacco di puttanate. Quindi bho, permettimi francamente di mettere in dubbio quest'articolo che mi sembra scritto piu con uno stile per fare la solita cassa di risonanza del "OMG GLI HACKERRR" poi vorrei tanto leggere l'articolo ufficiale americano, giusto per comprendere quanto in realta' vi e' stato ricamato sopra dall'autore italiano in questa vicenda (nella solita e spesso beata ignoranza dell'argomento). Gia solo il fatto che si paragoni una presunta (si parlo di presunta, perche' di quell'articolo sinceramente mi fido zero) intrusione in un sistema SCADA con (a fine articolo) il paragone del "problema attuale" di un furto in una banca dati norvegese di un'azienda petrolifera fa capire come....non si sia capito un cazzo.

Oltre il fatto, per inciso che cosa si crede che rubare un account SCADA basti un Keylogger od un Trojan? Al 60/70% l'informazione e' uscita fisicamente, non virtualmente. Ed allora non si tratta di "pirati informatici bravizzimi che commettono un reato" ma di criminali veri e proprio che han dato delle informazioni al di fuori, per poter creare un danno ad una comunita'.

Riguardo la centrale nucleare ovviamente era una battuta, quindi evito di farti la ramanzina

Concludo cmq per dire che in sintesi come gia ti dissi al tempo, questi non sono Hacker, ma "semplicemente" criminali, basterebbe chiamarli con il loro nome e non usare un termine inappropriato. Un po come al tempo quando si discuteva dei Lulzsec & co, quelli che a detta tua (e di molti) pareva che stavano la a rivoluzionare la Rete e che sarebbero durati nei secoli dei secoli.

Invece, come ti dissi per cosa si sono rivelati? Una bolla di sapone fatta di bimbiminchia volata via talmente rapida che la rete gia non li ricorda piu'.

Gia solo qua, dove vi e' un articolo un attimino piu dettagliato e SERIO di quella spazzatura postata:

http://www.zdnet.com/blog/security/s...on-hacked/9821

https://threatpost.com/en_us/blogs/w...nment+Security

si parla di come abbiano sfruttato una FALLA esistente del sistema. Quindi non han creato un qualcosa per bucare il sistema nel qual caso che l'informazione sia uscita o sia stata rubata virtualmente e non fisicamente, una falla che gia era conosciuta e non era "nascosta" come informazione, tanto che e' stata catalogata dall'FBI come atto di terrorismo vero e proprio. Quindi dove starebbe l'abilita' mostruosa nell'informarsi sul fatto che un sistema abbia una falla e sfruttarla a dovere per creare un crimine?

Non c'e abilita' c'e da essere dei criminali, prendere e via in carcere magari ti passano le voglie da fanatico.

Per inciso, sicuramente IDIOTA chi ha progettato questo sistema, sa che ce la falla e non la fixa. (23 MARZO 2011, pubblicate TRENTAQUATTRO FALLE dello scada..)

Essere Hacker, e' altro.

E' un po come il discorso dei Luzsec & co "idolatrati" come dicevo prima come MASTERUBBAHACKER del mondo, che altro che non facevano che sfruttare l'ignoranza e le falle di determinati sistemi per "allegramente rubare dati e pubblicarli facendo casino" gli stessi MASTERUBBAHaCKER che dovevano rivoluzionare la retehh.

Gentaglia, non Hacker.

[Drugnon]

Che ci vuole per tenere un sistema del genere ABBASTANZA protetto? quanto costa sviluppare la sicurezza informatica? e quanta gente serve per tenerla up in modo efficiente?

Basterebbe poco, nessun collegamento con internet e installare solo software da cd originali

Oltre il fatto, per inciso che cosa si crede che rubare un account SCADA basti un Keylogger od un Trojan? Al 99% l'informazione e' uscita fisicamente, non virtualmente.

Gli scada sono attivi 24 ore su 24 (devono, fanno monitoraggio di dati/allarmi/eventi), quindi uno si connette da remoto al pc con lo scada e fa danni visto che non deve avviare niente

[Amiag]

Da nerd economista mi viene naturale chiedere una cosa.

Che ci vuole per tenere un sistema del genere ABBASTANZA protetto? quanto costa sviluppare la sicurezza informatica? e quanta gente serve per tenerla up in modo efficiente?

dalla mia esperienza, costa un sacco

ed i motivi principali sono due :

1) e' considerata un "di piu" dalla maggior parte delle alte sfere, a meno che tra i rischi del progetto non ci siano danni alle persone (ad esempio nei sistemi di automazione & co per ospedali, mezzi di trasporto etc) in tal caso balza al primo posto (e onestamente io in un acquedotto la considero piuttosto importante in tal senso). L'essere considerata un' aggiunta la porta ad essere inserita a forza nel design, solitamente quando si e' gia ben avanti con lo sviluppo, con conseguenze che potete immaginare.


2) le risorse competenti in sicurezza sono scarse e costose


per quanto riguarda tenerla up invece non credo ci siano costi particolari ... fondamentalmente una volta che e' su se ne occupano le stesse persone che curano il resto.

ovviamente questo per fare un discorso molto generale, poi dipende completamente dal progetto.

[Nazgul Tirith]

Basterebbe poco, nessun collegamento con internet e installare solo software da cd originali






Gli scada sono attivi 24 ore su 24 (devono, fanno monitoraggio di dati/allarmi/eventi), quindi uno si connette da remoto al pc con lo scada e fa danni visto che non deve avviare niente

No Drugnon, non fraintedere, non ho scritto che non sono connessi a internet o meglio ad un altro PC, ma che non e' come rubare le info del tuo account hotmail. Come poi ho scritto editando dopo e' ovvio che un sistema con 34 falle prima o poi lo stronzo che le sfrutta per fare il danno di turno lo trovi.

Ma non c'e nulla di eccezionale in questo.

[Drugnon]

http://www.zdnet.com/blog/security/s...on-hacked/9821
https://threatpost.com/en_us/blogs/w...nment+Security

son da mettere in galera l'haker E gli sviluppatori del software...

mettere in avviamento un sistema senza cambiare la password di default e' CRIMINALE...




Lo SCADA in questione potrebbe essere un sw coros, ma vedendo solo il printscreen e' impossibile esserne certi

[Drugnon]

Dal primo link di Naz:

There was damage – the SCADA system was powered on and off, burning out a water pump.


mi pare incorretto, er definizione lo scada e' un sistema di monitoraggio con alcuni controlli e' il solo avviare il sistema non basta a riavviare la pompa in questione, piu' probabile che l'Hacker o chi per lui abbia trovato l'indirizzo IP del plc che controlla la pompa e abbia riavviato il plc piu' e piu' volte.

[Nazgul Tirith]

Infatti e' errata, tanto che dovrebbe riprendere una notizia collegata ad un altro sito che parlava della notizia che e' ovviamente not found in quanto sara' stata una cagata, prontamente cancellata

[Eltarion]

scusate voglio solo chiarire una cosa:
non ho mai detto che questi siano pro o che abbiano fatto bene. Questo in parte proprio per la discussione che avevo fatto con Naz (a cui mi tocca dare ragione, sono giovine).

Il topic come ho già scritto era per discutere sul fatto che esistono ancora molte applicazioni anche critiche che possono essere sforazzate. E chi vende sti software si fa pagare anche MOLTO bene. Ciò denota che, oltre che in Italia, anche nel resto del mondo spesso il problema della sicurezza viene preso sottogamba. Questo era più o meno il tema che volevo proporre. Ok ci ho mesos un po' di provocazione, ma sennò che palle no?

Invece la cosa si è trasformata in un "sono dei coglioni falliti" etc. Che secondo me centrava davvero poco.

[Nazgul Tirith]

Eltarion, ma la provocazione ci sta, fatta in maniera garbata come te hai fatto, infatti ti ho risposto mica mandato a cagare

Per il resto son daccordo eh, infatti con Drugnon si diceva per l'appunto che loro sono assolutamente dei criminali a sfruttare tali falle per bruciare una pompa dell'acqua, ma altrettanto i programmatori che lasciano certe falle dichiarate li tanto per, in attesa che passi lo stronzo di turno. Il concetto che volevo far arrivare e' che qua la "bravura hacker" c'entra ben poco.

[Eltarion]

scusate voglio solo chiarire una cosa:
non ho mai detto che questi siano pro o che abbiano fatto bene. Questo in parte proprio per la discussione che avevo fatto con Naz (a cui mi tocca dare ragione, sono giovine).

Il topic come ho già scritto era per discutere sul fatto che esistono ancora molte applicazioni anche critiche che possono essere sforazzate. E chi vende sti software si fa pagare anche MOLTO bene. Ciò denota che, oltre che in Italia, anche nel resto del mondo spesso il problema della sicurezza viene preso sottogamba. Questo era più o meno il tema che volevo proporre. Ok ci ho mesos un po' di provocazione, ma sennò che palle no?

Invece la cosa si è trasformata in un "sono dei coglioni falliti"...non possono essere definiti "hacker" (chi l'hai mai voluto insinuare?).. Insomma tutti argumenti che secondo me centravano davvero poco, non erano cose su cui discutere insomma. Però vabbhe questo è il bello di internet