กลับไปที่สํานักงาน? ปกป้องเครื่องจักร

พอร์ตเปิดที่ส่งข้อมูลไปยังและออกจากเครื่องในสํานักงานอาจกลายเป็นเวกเตอร์การโจมตี โดยเฉพาะอย่างยิ่งเมื่อพนักงานจํานวนมากขึ้นกลับไปยังสภาพแวดล้อมสํานักงานจริง หากผู้โจมตีสามารถเข้าถึงเครือข่ายของคุณผ่านพอร์ตที่ไม่ปลอดภัยและมักถูกลืมข้อมูลที่ละเอียดอ่อนของคุณอาจมีความเสี่ยง บทความนี้พิจารณาความเสี่ยงด้านความปลอดภัยสําหรับท่าเรือที่เกี่ยวข้องกับเครื่องจักรสํานักงาน

อุปกรณ์เครือข่ายสร้างความเสี่ยงใหม่

ด้วยหลายองค์กรที่ใช้นโยบายการกลับไปทํางานอุปกรณ์เครือข่ายที่ไม่ได้ใช้งานในช่วงไม่กี่ปีที่ผ่านมาจะกลับมาใช้งานได้อีกครั้ง เครื่องพิมพ์ เครื่องชงกาแฟ ตัวควบคุมอุปกรณ์ และอุปกรณ์ทางกายภาพอื่นๆ ที่เชื่อมต่อกับระบบของคุณควรได้รับการพิจารณาในแผนการรักษาความปลอดภัยเครือข่ายของคุณ

เครื่องพิมพ์ในเครือข่ายอาจดูเหมือนไม่ใช่เวกเตอร์การโจมตีที่เหมาะสมสําหรับอาชญากรไซเบอร์ แต่บริการที่เปิดเผยอาจนําไปสู่การเข้าถึงโดยไม่ได้รับอนุญาต ตัวอย่างเช่น ในการประเมินความเสี่ยงและช่องโหว่ปี 2023 ที่ดําเนินการโดย Cybersecurity and Infrastructure Security Agency (CISA) องค์กรสาธารณสุขประสบกับการประนีประนอมจําลองระหว่างการทดสอบการเจาะระบบ ซึ่งผู้เชี่ยวชาญด้านความปลอดภัยใช้ประโยชน์จากเครื่องพิมพ์ในเครือข่ายเพื่อเข้าถึงและสกัดกั้นข้อมูลประจําตัวของผู้ใช้

"ขณะลงชื่อเข้าใช้อินเทอร์เฟซเครื่องพิมพ์ในฐานะผู้ดูแลระบบ ทีมงาน 1) แก้ไขการกําหนดค่า "บันทึกเป็นไฟล์ " เพื่อใช้ File Transfer Protocol (FTP) แทน Server Message Block (SMB) และ 2) เปลี่ยนชื่อเซิร์ฟเวอร์และเส้นทางเครือข่ายเพื่อชี้ไปที่เครื่องที่ควบคุมโดย CISA ที่ใช้ Responder [T1557] จากนั้นทีมงานได้ดําเนินการ "การทดสอบการเชื่อมต่อ" ที่ส่งชื่อผู้ใช้และรหัสผ่านผ่าน FTP [T1187] ไปยังเครื่อง CISA ที่ใช้ Responder ซึ่งบันทึกข้อมูลประจําตัวแบบข้อความที่ชัดเจนสําหรับบัญชีโดเมนที่ไม่มีสิทธิพิเศษ (บัญชี 2)" (CISA, คําแนะนําด้านความปลอดภัยในการเสริมสร้างความยืดหยุ่นทางไซเบอร์, หน้า 5)

อุปกรณ์ทางกายภาพที่เชื่อมต่อกับเครือข่ายของคุณอาจมีตัวเลือกทางโลก เช่น เครื่องพิมพ์ รวมถึงฮาร์ดแวร์ที่สําคัญ เช่น ตัวควบคุมสําหรับเครื่องจักรอุตสาหกรรม เนื่องจากอุปกรณ์เหล่านี้อาจส่งผลกระทบอย่างมากต่อการดําเนินธุรกิจของคุณ และเนื่องจากผู้โจมตีสามารถใช้จุดอ่อนใดๆ ในสภาพแวดล้อมซอฟต์แวร์ของคุณ จึงจําเป็นอย่างยิ่งที่จะต้องระมัดระวังทรัพย์สินทางกายภาพใดๆ และทั้งหมด พอร์ตที่ปิดสามารถช่วยป้องกันปัญหาด้านความปลอดภัยที่สํานักงานกลับไปทํางานได้

อุปกรณ์ที่ไม่มีอันตราย เช่น เครื่องชงกาแฟและเครื่องพิมพ์มักประสบกับการจัดการแพตช์ที่ไม่ดีหากไม่ได้รับการอัปเดตเป็นประจํา แม้ว่าเครื่องชงกาแฟอัจฉริยะที่ซ่อนอยู่ที่มุมห้องพักผ่อนอาจไม่เป็นเป้าหมายที่แข็งแกร่งเท่ากับแล็ปท็อปขององค์กรของพนักงาน แต่อุปกรณ์เครือข่ายใดๆ ก็ยังคงเป็นเวกเตอร์การโจมตีที่อาจเกิดขึ้น โดยเฉพาะอย่างยิ่งอุปกรณ์รุ่นเก่าอาจพึ่งพาความละเอียดของชื่อเดิมหรือเฟิร์มแวร์ที่ล้าสมัยซึ่งสิ้นสุดการสนับสนุนแล้ว

ทีมรักษาความปลอดภัยควรรวมอุปกรณ์เหล่านี้ไว้ในโปรแกรมการจัดการสินทรัพย์ใดๆ แม้ว่าจะเป็นพื้นผิวการโจมตีที่เล็กกว่าก็ตาม ใช้ระบบอัตโนมัติหรือเครื่องสแกนพอร์ตเพื่อระบุพอร์ตที่เปิดอยู่ในอุปกรณ์เครือข่ายของคุณ

ความเสี่ยงที่เกี่ยวข้องกับเครื่องจักรสํานักงาน

ความเสี่ยงด้านความปลอดภัยอยู่เหนือเซิร์ฟเวอร์เพื่อรวมเครือข่ายที่ซับซ้อน เช่น อุปกรณ์ที่เป็นส่วนหนึ่งของ Internet of Things (IoT) และเครื่องจักรอุตสาหกรรม ตลอดจนอุปกรณ์เครือข่ายทั่วไป เช่น เครื่องพิมพ์หรือเครื่องชงกาแฟ ด้วยพื้นผิวการโจมตีที่หลากหลายนี้ สิ่งสําคัญคือต้องรู้ว่าเครื่องใดสื่อสารผ่านเครือข่ายของคุณเพื่อให้สามารถรักษาความปลอดภัยได้

UpGuard Breachsight จะระบุพอร์ตที่เปิดอยู่ที่หลากหลายโดยอัตโนมัติ เช่น การค้นพบความเสี่ยงต่อไปนี้สําหรับพอร์ตเฉพาะอุปกรณ์:

• พอร์ต 'สถานะกาแฟ' เปิดอยู่
• พอร์ต 'เครื่องชงกาแฟ' เปิดอยู่
• พอร์ต 'DVR SerialNo' เปิดอยู่
• เปิดพอร์ต 'Gardasoft Controller'
• พอร์ต 'Omron PLC' เปิดอยู่
• เปิดพอร์ต 'OPC UA'
• พอร์ต 'เครื่องพิมพ์' เปิดอยู่
• พอร์ต 'สถานะเครื่องพิมพ์' เปิดอยู่
• เปิดพอร์ต 'Ubiquiti'

แม้ว่าเครื่องเหล่านี้บางเครื่องจะพบได้ทั่วไปมากกว่าเครื่องอื่นๆ เช่น เครื่องชงกาแฟหรือเครื่องพิมพ์ แต่เครื่องอื่นๆ ก็เฉพาะเจาะจงอุตสาหกรรม เช่น ตัวควบคุมลอจิกแบบเป็นโปรแกรม (PLC) ของ OMRON ที่ใช้สําหรับการควบคุมอุปกรณ์ หากคุณใช้เครื่องเหล่านี้หรือเครื่องอื่นๆ ที่มีพอร์ตเฉพาะสําหรับการจัดการบริการและการตรวจสอบระยะไกล ให้กําหนดค่าพอร์ตสําหรับเครือข่ายภายในเท่านั้น คุณสามารถเลือกจํากัดการเข้าถึง VPN หรือที่อยู่ IP ที่ได้รับอนุญาตเท่านั้น

หากสภาพแวดล้อมในสํานักงานของคุณมีเครื่องชงกาแฟอัจฉริยะและเครื่องพิมพ์ในเครือข่าย ควรเรียกใช้บริการบนเครือข่ายภายในเท่านั้น เรียกใช้การอัปเดตเฟิร์มแวร์และซอฟต์แวร์เป็นประจําเพื่อให้แน่ใจว่าเครื่องไม่มีช่องโหว่ที่ยังไม่ได้แก้ไขซึ่งสามารถใช้ประโยชน์ได้ง่าย ในทํานองเดียวกันพอร์ต DVR ที่เปิดเผยอาจทําให้ผู้โจมตีสามารถเข้าถึงระบบเฝ้าระวังของคุณเพื่อลาดตระเวนได้

Gardasoft Controller เป็นฮาร์ดแวร์ที่ใช้ควบคุมพลังงาน ความเข้ม และเวลาสําหรับไฟ LED ของ Gardasoft ตัวควบคุมแสงให้การควบคุมที่แม่นยําสําหรับแมชชีนวิชัน หากผู้โจมตีสามารถเข้าถึงคอนโทรลเลอร์ผ่านพอร์ตที่เปิดเผย พวกเขาสามารถประนีประนอมระบบหรือสกัดกั้นและแก้ไขข้อมูลที่ส่งได้ การเข้าถึงควรจํากัดเฉพาะที่อยู่ IP ที่ได้รับอนุญาตเท่านั้น

Omron PLC เป็นตัวควบคุมที่ใช้บ่อยในระบบอัตโนมัติทางอุตสาหกรรม ตัวควบคุม Omron ที่ถูกบุกรุกสามารถขัดขวางการดําเนินงาน ทําให้อุปกรณ์เสียหาย และสร้างความเสี่ยงด้านความปลอดภัยให้กับผู้ปฏิบัติงาน เพื่อปกป้องตรรกะการควบคุมและข้อมูลการผลิต ให้ปิดพอร์ตที่ใช้งานอยู่ (พอร์ต TCP [.rt-script]102[.rt-script] โดยค่าเริ่มต้น) และกําหนดให้มีการรับรองความถูกต้อง VPN สําหรับทุกคนที่ต้องการเข้าถึงคอนโทรลเลอร์

OPC UA (Open Platform Communications Unified Architecture) ให้การสื่อสารระหว่างเครื่องกับเครื่องสําหรับระบบอัตโนมัติและ Internet of Things (IoT) OPC UA ใช้พอร์ต [.rt-script]4840[.rt-script] ตามค่าเริ่มต้น ซึ่งควรปิดอินเทอร์เน็ต

หากองค์กรของคุณใช้ผลิตภัณฑ์ Ubiquiti ในการจัดการเครือข่ายไร้สาย ให้ใช้มาตรการรักษาความปลอดภัยเพื่อปกป้องตัวควบคุมซอฟต์แวร์ส่วนกลาง พอร์ต Ubiquiti ควรปิดอินเทอร์เน็ตและต้องมีการรับรองความถูกต้อง VPN เพื่อให้ผู้ใช้เข้าถึงหรือจัดการอุปกรณ์

UpGuard กําลังเพิ่มการตรวจจับใหม่สําหรับพอร์ตที่เปิดอยู่อย่างต่อเนื่อง โปรดติดต่อทีมสนับสนุนของเราหากคุณต้องการหารือเกี่ยวกับพอร์ตที่ไม่ได้กล่าวถึงในบทความนี้ นอกจากพอร์ตเครื่องเหล่านี้แล้ว UpGuard ยังระบุบริการอื่นๆ ที่หลากหลายและความเสี่ยงที่อาจเกิดขึ้นกับระบบของคุณ สําหรับข้อมูลเพิ่มเติมเกี่ยวกับการค้นพบความเสี่ยง โปรดอ่านบทความในหมวดความเสี่ยงและช่องโหว่ของเรา

วิธีรักษาความปลอดภัยพอร์ตที่เปิดออก

เมื่อคุณระบุบริการที่เปิดเผยผ่านการสแกนพอร์ตและการตรวจสอบเครือข่ายแล้ว คุณจําเป็นต้องอัปเดตการกําหนดค่าอุปกรณ์และนโยบายอุปกรณ์เครือข่ายเพื่อคํานึงถึงปัจจัยเสี่ยงใหม่ๆ

ปิดพอร์ตที่ไม่จําเป็น

การดําเนินการแรกในการปกป้องพอร์ตที่เปิดเผยคือการรักษาความปลอดภัยโดยการจํากัดการรับส่งข้อมูล ท่าเรือไม่ควรสามารถเข้าถึงได้แบบสาธารณะ เว้นแต่จําเป็นอย่างยิ่งสําหรับวัตถุประสงค์ในการปฏิบัติงาน ตัวอย่างเช่น ผู้ที่ไม่ใช่พนักงานไม่จําเป็นต้องเข้าถึงการตั้งค่าเวลาชงบนเครื่องชงกาแฟในห้องพักผ่อนของคุณ

ให้การแบ่งส่วนเครือข่าย

สร้างการแยกระหว่างอุปกรณ์และบริการโดยใช้การแบ่งส่วนเครือข่าย ด้วยส่วนทางกายภาพที่จัดการอุปกรณ์จริงทั้งหมดของคุณคุณสามารถกําหนดระยะห่างระหว่างอุปกรณ์เช่นเครื่องชงกาแฟและข้อมูลที่ละเอียดอ่อนที่จัดเก็บไว้เสมือน ในขณะเดียวกัน คุณสามารถเพิ่มการแบ่งส่วนเสมือนของคุณด้วยไฟร์วอลล์ที่แข็งแกร่งขึ้นและการควบคุมการเข้าถึง

ต้องมีการเข้าถึงที่รับรองความถูกต้อง

ตรวจสอบให้แน่ใจว่าพนักงานใช้เครือข่ายส่วนตัวเสมือน (VPN) และการรับรองความถูกต้องแบบหลายปัจจัย (MFA) เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อน หากสมาชิกในทีมจะจัดการการตั้งค่าการกําหนดค่าสําหรับอุปกรณ์จริงใดๆ ให้กําหนดเส้นทางกระบวนการจัดการและการกําหนดค่านั้นผ่านขั้นตอนการรับรองความถูกต้อง

อัปเดตซอฟต์แวร์โดยอัตโนมัติ

กําหนดค่าอุปกรณ์จริงของคุณให้เรียกใช้การอัปเดตอัตโนมัติเมื่อพร้อมใช้งาน เพื่อให้ทรัพยากรของคุณสามารถมุ่งเน้นไปที่ความปลอดภัยโดยรวม ไม่ใช่แค่การอัปเดตด้วยตนเอง สร้างแผนการบํารุงรักษาที่ทําให้แน่ใจว่าสินทรัพย์ทั้งหมดได้รับการดูแลและตรวจสอบตามปกติ

สแกนหาบริการที่เปิดเผย

สแกนเครือข่ายของคุณอย่างสม่ําเสมอและตรวจสอบพอร์ตที่เปิดอยู่ คุณสามารถใช้เครื่องมือสแกนเครือข่าย เช่น nmap เพื่อประเมินความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับพอร์ตเฉพาะ หรือคุณสามารถใช้โซลูชันอัตโนมัติ เช่น UpGuard เมื่อคุณพบบริการที่เปิดเผยและหมายเลขพอร์ตที่เกี่ยวข้องแล้ว คุณสามารถอัปเดตไฟร์วอลล์ของคุณเพื่อจํากัดการรับส่งข้อมูลบนพอร์ตนั้นได้

UpGuard BreachSight ช่วยให้คุณเข้าใจความเสี่ยงที่ส่งผลกระทบต่อเสถียรภาพการรักษาความปลอดภัยภายนอกของคุณ ด้วยแพลตฟอร์มที่ใช้งานง่ายของเรา คุณสามารถดูความปลอดภัยทางไซเบอร์ขององค์กรได้อย่างรวดเร็ว และสื่อสารภายในเกี่ยวกับความเสี่ยง ช่องโหว่ หรือเหตุการณ์ด้านความปลอดภัยในปัจจุบัน

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับแนวทางปฏิบัติของโดเมนเฉพาะของคุณที่เกี่ยวข้องกับการค้นพบพอร์ตที่เปิดเผยเหล่านี้และข้อกังวลด้านความปลอดภัยอื่นๆ ให้เข้าถึงโปรไฟล์ความเสี่ยงของคุณใน BreachSight เพื่อค้นหาการค้นพบแต่ละรายการตามชื่อ เมื่อคุณระบุข้อกังวลแล้ว คุณสามารถจัดการกระบวนการแก้ไขภายใน UpGuard ได้เช่นกัน คุณสามารถติดต่อทีมสนับสนุนของเราเพื่อตรวจสอบและตรวจสอบการค้นพบพอร์ตที่ระบุสําหรับสินทรัพย์ของคุณ

หากคุณไม่ใช่ผู้ใช้ UpGuard ปัจจุบัน และต้องการตรวจสอบเนื้อหาที่เปิดเผยต่อสาธารณะสําหรับข้อค้นพบเหล่านี้และอื่นๆ ให้ลงทะเบียนเพื่อทดลองใช้