Дата публікації: 19 травня 2014

Ми багато чули про те, що автоматизовані системи управління допомагають розвантажувати міські пробки, економити електроенергію і воду, підвищувати ефективність виробничих процесів ... Але що, якщо один-єдиний хакер cможет порушити роботу всієї міської інфраструктури управління? Думаєте, це просто страшилка з фантастичного фільму? Давайте перевіримо!

Конкурс Critical Infrastructure Attack дозволить учасникам вивчити безпеку реальних систем АСУ ТП (SCADA), використовуваних на заводах і гідроелектростанціях, для управління міським транспортом і освітленням, в нафтовій і газовій промисловості. Переможцем стане той, хто знайде більше вразливостей і продемонструє їх використання на нашому живому макеті розумного міста.

Історія і легенда

У минулому році на конференції PHDays III пройшов конкурс Choo Choo Pwn, в якому пропонувалося перевірити на міцність систему управління транспортом. Даний конкурс і побудований для нього стенд з моделлю залізниці на основі трьох SCADA-систем стали хітом не тільки на нашій конференції, але і на інших заходах з безпеки. Так, більше 30 фахівців із захисту інформації взяли участь у зломі стенду Choo Choo Pwn на конференції Power of Community в Сеулі.

Цього року учасники конкурсу проінспектують безпеку ТЕЦ, систем міського освітлення та транспорту, кранів і промислових роботів-маніпуляторів.

Цього року наш стенд поповнився новими моделями, управління якими включає SCADA / DCS-сервери, HMI-пристрої, PLC і OPC. Учасники конкурсу будуть мати справу з ТЕЦ, транспортом, міським освітленням, а також кранами і промисловими роботами-маніпуляторами. Користуючись нагодою, організатори конкурсу висловлюють подяку компанії « КРОК », Яка надала для стенду один з найсучасніших промислових контролерів.

Незважаючи на іграшковий вигляд макета, на всьому представленому апаратному забезпеченні будуть встановлені реальні, найостанніші версії програмних продуктів АСУ ТП (SCADA). Чи не буде заздалегідь відомих вразливостей, помилок конфігурації і слабких паролів. Ми надамо учасникам справжню промислову мережу, готову до роботи, - і подивимося, чи зможуть вони її зламати, тобто провести самостійне дослідження і знайти нові уразливості.

Ілля Карпов - головний розробник АСУ ТП конкурсу

правила та умови

Учасники конкурсу CIA починають з чистого аркуша: все, що у них є, це мережева розетка з доступом до промислових блокам різних АСУ ТП. Якщо пощастить, то ці ж продукти можна буде скачати з сайтів виробників (хоча і з обмеженнями для використання).

Переможцем конкурсу стане той, хто набере найбільшу кількість балів за виявлені вразливості. Уразливості повинні бути представлені організаторам в форматі advisory. Формат включає детальний опис уразливості, приклад експлуатації (proof of conсept), рекомендації по усуненню і оцінку рівня небезпеки на основі CVSS версії 2. При нарахуванні балів враховується черговість перебування уразливості (хто раніше), її поширеність і складність виявлення.

Додатково буде враховуватися використання уразливості (або декількох вразливостей) для отримання контролю над частиною макета: потрібно буде на практиці показати, як ви керуєте транспортом, освітленням або роботами.

Всі виявлені вразливості залишаються у власності у тих, хто їх знайшов. Однак організатори конкурсу прагнуть підтримувати відповідальний підхід до розголошення інформації. Тому конкурс містить важливу умову: учаснику слід протягом 6 місяців з моменту виявлення уразливості повідомити про неї виробника ПО. Під час конкурсу весь трафік буде записуватися, і якщо автор не повідомить про уразливість, то організатори конференції зв'яжуться з виробником самі.

Відповідальний підхід передбачає, що ви можете:

• зв'язатися з розробником ПО і надати безпосередньо йому докладний опис знайдених вразливостей;
• передати інформацію про уразливість в CERT;
• передати інформацію, взявши участь в офіційних програмах винагороди за знайдені вразливості.

На переможця чекає приз - камера Phantom 2 Vision + .