Нещодавні результати пошуку в системі ZoomEye виявили тривожну кількість пристроїв, що використовують фреймворк Niagara, доступних безпосередньо з публічного інтернету. Запити, виконані 27 вересня 2026 року, зафіксували 902 191 хост на порту 1911 та 816 986 хостів на порту 4911. Ці порти є стандартними для Niagara, яка відіграє роль ключового рівня управління в сучасних будівлях, дата-центрах та промислових об'єктах, забезпечуючи інтеграцію між різними протоколами, такими як BACnet, Modbus та LonWorks.
Важливість Niagara полягає в її здатності об'єднувати дані з різних систем у єдиний інтерфейс для операторів. Однак саме ця функціональність робить систему критичною точкою вразливості. Оскільки супервізор Niagara має повний доступ до контролерів нижчого рівня, він зберігає облікові дані та маршрути для всієї мережі. Таким чином, зловмисник, що отримує контроль над супервізором, автоматично успадковує авторизований доступ до всіх підпорядкованих систем, що значно підвищує ризик для безпеки об'єкта.
Аналіз показує, що висока доступність цих пристроїв часто є наслідком неправильно налаштованого віддаленого доступу. Багато систем залишаються відкритими через переадресацію портів, незахищені VPN-з'єднання або застарілі облікові записи вендорів. Оскільки обслуговування таких систем часто здійснюється за контрактами на експлуатацію будівель, а не через стандартні ІТ-процеси оновлення, багато пристроїв роками працюють на застарілих версіях програмного забезпечення, що містять відомі вразливості.
Історія вразливостей Niagara включає серйозні проблеми з веб-інтерфейсом та механізмами обробки файлів, які вже неодноразово експлуатувалися зловмисниками. Ситуація ускладнюється тим, що ці пристрої часто не проходять регулярне патчування. Для операторів систем це означає, що першочерговим завданням є не лише моніторинг портів, а й перевірка актуальності версій програмного забезпечення та обмеження доступу до супервізорів ззовні корпоративної мережі.
Для мінімізації ризиків рекомендується відмовитися від прямої переадресації портів на користь захищених VPN-з'єднань з обов'язковою автентифікацією користувачів. Також необхідно провести аудит прав доступу, щоб переконатися, що облікові дані супервізора не мають надлишкових повноважень для підключених систем. Важливо обмежити маршрути, якими користується драйвер для зв'язку з обладнанням, щоб у разі зламу обмежити радіус ураження зловмисника.
Ефективним методом виявлення аномалій є аналіз логів самого супервізора, який за своєю природою детально фіксує всі зміни налаштувань та дії операторів. Замість того, щоб покладатися виключно на моніторинг мережевого трафіку, адміністраторам варто зосередитися на відстеженні нових підключень драйверів та модифікацій облікових записів. Такий підхід дозволяє швидше виявити несанкціоноване втручання та забезпечити цілісність системи управління будівлею в довгостроковій перспективі.
🔗 Першоджерело: Читати оригінал