Ripple20:중요한 취약점으로 인해 IoT/OT 장치가 위험에 처할 수 있음

JSOF의 사이버 보안 연구원은 Treck에서 개발한 TCP/IP 스택에 영향을 미치는 Ripple20이라는 일련의 19가지 취약점을 발표했습니다. 이 소프트웨어 스택은 의료, 운송, 제조, 통신 및 에너지 시장에서 사용되는 수백만 개의 시스템에 통합되어 잠재적으로 수많은 조직과 중요 산업에 영향을 미칩니다.

이 취약점은 2019년에 발표된 Urgent/11 취약점과 유사하며 Interpeak에서 개발한 TCP/IP 스택에 영향을 미칩니다. Urgent/11과 마찬가지로 Ripple20 취약점을 통해 공격자는 원격 코드 실행 및 서비스 거부(DoS)를 트리거할 수 있습니다. HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, Baxter 등과 같은 많은 공급업체는 이미 Ripple20의 영향을 받는 것으로 확인되었습니다.

산업 환경을 위해 설계된 Cisco IoT 솔루션은 Ripple20의 영향을 받지 않습니다. 실제로 Cisco Cyber ​​Vision 및 Cisco Industrial Security Appliance ISA3000과 같은 제품은 Cisco Talos의 Snort 서명과 함께 네트워크의 Ripple20 취약점을 식별하고 위험을 수정하는 데 도움이 됩니다. 일부 Cisco 제품은 취약하며 여기에서 공식 Cisco 권고를 읽을 수 있습니다.

Treck은 1997년에 설립되었으며 실시간 임베디드 시스템을 위한 프로토콜 스택을 개발합니다. 이 소프트웨어는 일반적으로 메모리나 처리 능력이 제한된 IoT 장치에 최적화된 성능을 제공하기 때문에 많은 장비 공급업체에서 사용합니다. 공급업체가 원하는 프로토콜 레이어만 통합하고 특정 애플리케이션에 맞게 수정할 수 있도록 소스 코드 형태로 판매됩니다.

결과적으로 제조업체가 이러한 라이브러리를 전문화하고 통합하는 방법에 따라 사실상 식별할 수 없게 될 수 있습니다. 또한 제조업체가 인수됨에 따라 일부는 이 소프트웨어 구성 요소를 추적하지 못하여 영향을 받는 제품을 식별하는 것이 불가능하지는 않더라도 상당히 어려울 수 있습니다.

또 다른 중요한 사실은 Treck과 일본 회사 Elmic System(현재 Zuken Elmic) 간의 과거 협력입니다. 이러한 협력을 통해 두 개의 유사한 TCP/IP 스택이 각 게시자에 의해 독립적으로 유지 관리되고 다른 지역(미국 시장과 아시아 시장에서 각각 하나씩)에서 판매되었습니다. 여러 Ripple20 취약점은 Zuken Elmic에서 유지 관리하는 TCP/IP 스택에도 영향을 미칩니다.

Ripple20에 빨리 대처하세요!

Ripple20은 19개의 취약점 시리즈로 구성되어 있습니다. 그 중 4개는 CVSS 심각도 척도에서 9점 이상의 점수로 중요합니다. 이는 임의의 원격 코드 실행, 서비스 거부 공격 및 정보 공개에 악용될 수 있으므로 신속하게 해결해야 합니다.

CVE-2020-11901은 아마도 가장 심각한 취약점일 것입니다. 장치의 DNS 요청에 응답하여 트리거될 수 있으며 원격 코드 실행이 발생할 수 있습니다. DNS 요청은 일반적으로 네트워크를 떠나기 때문에 쉽게 가로채어 공격자가 침입할 수 있습니다. 또한 이 취약점을 악용하기 위해 전송되는 패킷은 다양한 RFC를 준수하므로 방화벽이 공격을 감지하기 어렵습니다.

이것은 단지 예일 뿐입니다. Ripple20 취약점의 전체 목록과 이에 대한 설명은 여기 JSOF 웹 사이트에서 찾을 수 있습니다.

IoT/OT 네트워크에서 Ripple20 감지

JSOF는 많은 공급업체가 자신이 개발하는 시스템에 Treck TCP/IP 프로토콜 스택의 전체 또는 일부를 통합했기 때문에 수십억 개의 장치가 Ripple20 취약점의 영향을 받을 수 있다고 추정합니다. 영향을 받는 공급업체 목록은 CISA ICS-CERT에 의해 설정되었으며 여기에서 찾을 수 있습니다.

영향을 받는 공급업체의 세부 정보와 목록이 계속해서 나오고 있지만 이러한 취약점을 식별하고 보호하기 위해 취할 수 있는 몇 가지 단계가 있습니다.

공급업체가 영향을 받는 제품을 식별하기 위해 보안 권고를 게시함에 따라 Cisco는 영향을 받는 자산을 찾을 수 있도록 Cyber ​​Vision 지식 기반을 계속 업데이트할 것입니다. Cisco Cyber ​​Vision은 IoT/OT 장치에 대한 공격을 탐지하도록 특별히 설계된 솔루션입니다. 산업 네트워크의 가장 작은 세부 사항을 자동으로 찾아내고 Ripple20과 같은 알려진 취약점을 강조하는 포괄적인 자산 인벤토리를 구축합니다.

Cyber ​​Vision 기술 자료는 자주 업데이트되며 모든 Cyber ​​Vision 고객에게 무료로 제공됩니다. 아직 설치하지 않았다면 지금 여기에서 최신 버전을 다운로드하여 설치하는 것이 좋습니다.

Ripple20 취약점의 특성과 영향을 받는 장치 유형으로 인해 취약한 자산을 패치하지 못할 수도 있고 일부 자산이 취약한지 전혀 알지 못할 수도 있습니다. 귀하를 보호하기 위해 취할 수 있는 몇 가지 대안이 있습니다.

즉시 자신을 보호하는 방법

단기적으로는 침입 탐지 시스템(IDS)을 활용하여 이러한 취약점을 악용하려는 시도를 탐지하고 경고할 수 있습니다. Cisco Cyber ​​Vision은 Cisco Talos에서 개발한 규칙을 활용하여 SNORT IDS 엔진으로 구성할 수 있습니다. Cisco Industrial Security Appliance ISA3000은 동일한 IDS와 이러한 동작을 차단하는 기능 등을 모두 제공하는 견고한 폼 팩터로 보호하는 산업용 장치와 함께 바로 배포할 수 있습니다.

ISA3000은 또한 산업 네트워크를 분할하고 서로 통신할 필요가 없는 자산을 분리하는 데 이상적으로 적합합니다. 이렇게 하면 잠재적인 공격을 억제할 수 있고 전체 네트워크로 확산되지 않습니다.

JSOF는 ISA3000으로도 구현할 수 있는 다른 많은 개선 권장 사항을 제공했습니다. 여기에는 IP 조각을 차단하고, IP ​​터널링에서 IP를 차단하고, 잘못된 TCP 패킷을 거부하고, 사용하지 않는 ICMP 메시지를 차단하고, DHCP 트래픽을 제한하고, 환경에서 예기치 않고 필요하지 않은 통신 및 프로토콜을 제한하는 기능이 포함됩니다.

Cisco가 산업용 네트워크를 보호하는 데 어떻게 도움이 되는지 자세히 알아보려면 IoT Security Hub를 방문하거나 당사에 연락하여 산업용 IoT 보안 문제에 대해 논의하십시오.