Team82, die Forschungsabteilung des Industrial-Cybersecurity-Spezialisten Claroty, stellt sein selbstentwickeltes Ethernet/IP-Stack-Erkennungstool „ENIP & CIP Stack Detector „ab sofort allen Interessierten kostenlos über sein GitHub-Repository zur Verfügung. Das Tool kann von Cybersicherheitsforschern, OT-Ingenieuren und Betreibern von industriellen Anlagen dazu genutzt werden, den ENIP-Stack-Code ihrer eingesetzten kommerziellen und selbstentwickelten Produkte zu identifizieren und zu klassifizieren. Auf diese Weise können sie ihre Gefährdung durch neu aufgedeckte Schwachstellen besser einschätzen und anschließend Aktualisierungen priorisieren.
Team82 hat den Ether.et/IP & CIP-Stack-Detector als Kernstück mehrerer ENIP-bezogener Projekte eingesetzt, etwa bei der Offenlegung einer Stack-Overflow-Schwachstelle im 499ES ENIP-Stack von Real-Time-Automation (RTA) im November 2020. Durch weitere Offenlegungen wurde deutlich, dass Anlagenbetreiber oftmals Defizite bei der Identifizierung von betroffenen Geräten haben, sobald eine kritische ENIP-Stack-Schwachstelle identifiziert und veröffentlicht wurde: Bei vielen Produkten ist nicht klar, welche Software-Komponenten sie beinhalten, etwa auch die implementierten Protokoll-Stacks. Mit dem neuen Tool kann dies nun überprüft werden.
Das Tool kann dabei zur Schwachstellenanalyse und -beseitigung oder zur Erkennung von Honeypots eingesetzt werden. So können Anlagenbetreiber das Tool einsetzen, um Geräte mit einem ENIP-Stack zu identifizieren, der von einer neu entdeckten Sicherheitslücke betroffen ist. Ohne eine software bill of materials (SBOM), also eine Art Stückliste der eingesetzten Software, sind die Benutzer häufig blind für die Komponenten, die in kommerziellen Produkten eingesetzt werden, und sind sich möglicherweise nicht bewusst, dass sie von kritischen Schwachstellen betroffen sind. Dies erschwert Entscheidungen über das Patch-Management und kann dazu führen, dass sie anfällig auch für veröffentlichte Sicherheitslücken sind. Das Tool eignet sich zudem, Honeypots zu klassifizieren und so zu optimieren, dass sie für Angreifer kaum als solche identifiziert werden können.
Weitere Informationen zum neuen Tool sowie ein Demo-Video finden sich im Claroty-Blog, das Tool kann hier heruntergeladen werden.
#Claroty
