Lue uutinen mobiilisivustolla

Konesalien tukilaitteistot tietoturvan riskialue

Viileä konesali lukkojen takana – mutta pääseekö sinne murtautumaan ilmastoinnin hallintajärjestelmän nettiliittymän kautta?

28.4.2009 14:24 Konesalien valvontasensorijärjestelmät voivat Louhi Networksin mukaan tarjota hyökkääjille tien haavoittaa yritysten tietojärjestelmiä ja it-infrastruktuuria.

Konesaleissa pyörii palvelinten lisäksi useita muita laitteita turvaamassa palvelinten häiriötöntä toimintaa ja hälyttämässä, jos palvelinympäristössä tapahtuu uhkaavia muutoksia.

– Näissä infrastruktuurin hallintalaitteissakin web-sovellukset ja -hallintaliittymät ovat yleistyneet voimakkaasti uusia uhkia ja haavoittuvuuksia paljastaen, Louhi Networksin haavoittuvuustutkija Henri Lindberg kertoo tiedotteessa.

Louhi Networksin tuoreessa haavoittuvuustutkimuksessa kohteeksi otettiin konesalisensoreiden hallintajärjestelmä, jota käytetään muun muassa lämpötilasensoreiden ohjaamiseen.

Normaalitilanteessa hallintajärjestelmä lähettää hälytyksen palvelinten ylläpitäjälle, jos ympäristössä tapahtuu palvelinten tai muiden laitteistojen toiminnalle vaarallisia muutoksia.

– Löysimme nopeasti useita haavoittuvuuksia, jotka pahimmillaan mahdollistavat hallintalaitteen täydellisen haltuunoton. Lisäksi koko ohjelmisto oli konfiguroitu päivityksiä varten siten, ettei tietoturva vaikuta olleen kovin korkealla prioriteettitasolla yleensäkään hallintaohjelmistoa suunniteltaessa, Lindberg arvioi.

Käytännössä löydetty haavoittuvuus tarkoittaa sitä, että suurenkin konesalin saisi pois pelistä kaappaamalla sensoreiden hallintajärjestelmän ja aiheuttamalla esimerkiksi ilmastointijärjestelmälle pientä käytännön vahinkoa. Tällöin salin lämpötila pääsisi nousemaan vaarallisen korkeaksi ilman, että ylläpitäjä huomaa mitään.

– Tällainen uhka on vielä melko hypoteettinen, mutta esimerkiksi näitä ilmastointilaitteiden rikkoutumisia ja muita palvelinympäristöjen vahinkoja sattuu säännöllisesti. Olennaista onkin huomata, että helpoimmin löydettävät haavoittuvuudet ovat usein houkuttelevin kohde hyökkääjälle, Lindberg muistuttaa jatkuvan testaamis- ja turvaamistoiminnan välttämättömyydestä.

Louhi Networks kehottaakin kaikkia konesalien ylläpitäjiä välttämään hallintaliittymien avaamista julkiseen verkkoon ja muuttamaan laitteistojen konfiguraatiot oletusasetuksia tiukemmiksi. Tärkeintä kuitenkin olisi, että valmistajat huolehtisivat paremmin laitteiden ja niiden oletuskonfiguraatioiden riittävästä tietoturvatasosta.

– Mitä vanhempi web-sovellus on kyseessä, sitä todennäköisempää on, ettei tietoturvaa ole huomioitu kattavasti sitä kehitettäessä. Kansainvälinen tai tunnettu valmistajakaan ei ole takuu turvallisesta toteutuksesta. Valmistajien tuoteturvallisuusprosesseissa on merkittäviä eroja, kertoo Lindberg kokemuksistaan.

Jarmo Lahti toimitus@digitoday.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (7)

0

0

Ihme mainostusta taas sama firma esillä jo monta kertaa.

Lainaa Ilmoita asiaton viesti

# 28.4.2009 14:28

2

3

välttämään hallintaliittymien avaamista julkiseen verkkoon ja muuttamaan laitteistojen konfiguraatiot oletusasetuksia tiukemmiksi

Minä kehotan kaikkia konesalien ylläpitäjiä hengittämään ilmaa tarkasti sopivalla frekvenssillä. Muutoin on vaara, että ylläpitäjä kaatuu akuuttiin hapenpuutteeseen tai hyperventiloi itsensä tainnoksiin.

Aurinko paistaa ja linnut lentää. Vieläkö jotain..?

Lainaa Ilmoita asiaton viesti

# 28.4.2009 15:35

5

1

On ihan hyvä, että näitä "ammattilaiselle itsestäänselviä" asioita ajoittain nostetaan tapetille. Hyvällä onnella tälläinen uutinen tavoittaa sitä epäteknisempää johtoporrastakin, joka pitää oman talon tietoturvaväkeä paranoideina turvatekniikoiden hypettäjinä.

Ai tässä on tälläinen hallintaliittymäkin. Next next next ok.

Lainaa Ilmoita asiaton viesti

# 28.4.2009 18:15

2

0

Kenellehän tämä uutinen on tarkoitettu?

Konesaleja on käytännössä vain suurilla yrityksillä ja kaikissa niissä joilla on osaavat ylläpitäjät on ollut jo vuosia (5-10v) erilliset hallintaverkot, jossa kaikki infran ja raudan hallintaan tarvittavat liittymät ovat. Eikä sinne ole mitään asiaa muilla kuin hallintatyöasemilla ja etähallinnalla vpn:n kautta.

Kaikkihan sen tietää, että SCADA ym. laitteiden tietoturva mättää, on mättänyt vuosia. Valmistajat eivät ymmärrä käytännössä mitään tietoturvasta, hyvä kun edes tietoliikenteestä. Niitä kiinnostaa vaan nysvätä oman ydinosaamisensa kanssa.

Kenelläkään ei sen vuoksi ole ollut aikaa odottaa, että viat korjataan edes seuraavalla vuosikymmenellä ja kaikki tälläiset laitteet laitetaan oletuksena heti halintaverkkoihin. Sielltä ei pääse mihinkään muualta kuin lueteltuihin paikkoihin eikä sinne pääse asiattomat.

Jos jollain puupäällä ei vielä ole asia kunnossa v2009 omassa konesalissaan, niin olisi syytä vaihtaa alaa. Selvästikään, jos ei tähän mennessä ole asiaa ymmärtänyt niin on paljon muitakin asioita jotka on jäänyt ymmärtämättä.

Wanha Pieru

Lainaa Ilmoita asiaton viesti

# 29.4.2009 7:45

3

0

"Ammattilaiselle" asiat taitaa usein olla päivän selviä, mutta miten usein resurssipuutteen takia oiotaan prosesseja tai luotetaan että Ostravassa "pojat kyllä osaa"?

Asennusohjeistuksella ja checklistillä pääsee tosi pitkälle, mitään uuttahan tässä ei sinänsä. Paskaa softaa on myyty niin kauan kuin koodia tehty.

IT-tukija

Lainaa Ilmoita asiaton viesti

# 28.4.2009 22:03

0

0

Nuo Rittal-aukothan julkaistiin jo yli kuukausi sitten, myös advisoryn tiedostonimi Rittal_090323.txt kertoo sen. Onko tässä kyse mistään muusta kuin Louhen näkyvyyden lisäämisestä - haavoittuvuuksilla joiden luokitus on Secuniankin nmukaan vain Vähemmän kriititnen eli 2/5:
http://secunia.com/advisories/34406/2/

Mitä uutisoitavaa näissä on?

Lainaa Ilmoita asiaton viesti

# 30.4.2009 8:23

0

0

Tosiaan mainos vaihteeksi, hohhoijaa. Taitaa olla Digitoday:lla Louhin kavereita hommissa. Jotain rajaa, tämäkin uutinen taas, ei ole mikään uutinen. Rajattomien it-resurssien maailmassa voidaan mennä bittitasolle suojauksissa.

Raunozi

Lainaa Ilmoita asiaton viesti

# 30.4.2009 9:02

Sivut: 1 Edellinen Seuraava

Kirjoita vastaus

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa

• Hyvinkään epäilty ampuja poistui kesken illanvieton hakemaan aseita
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa
• Hyvinkään ampumisista epäiltyä luonnehditaan ujoksi ja hiljaiseksi
• Epäilty ampuja yöllä Facebookissa: "Oli kivaa toverit"