Cómo utilizar Cnspec para detectar firmware obsoleto y configuraciones incorrectas en PLCnext Control

Como ejemplo, tomemos el PLCnext Control AXC F 2125 de Phonix Contact, que se basa en el procesador ARM Cortex-A9 y tiene un sistema de tiempo de ejecución IEC 61131. Cnspec es una herramienta de código abierto que ofrece diferentes opciones para escanear el PLCnext Control basado en Linux para detectar firmware antiguo y configuraciones incorrectas. Esta guía proporciona instrucciones paso a paso para escanear un control PLCnext a través del proveedor SSH cnspec.

1. Instale cnspec en su computadora portátil (Guía de instalación)

2. Pruebe la conexión y establezca un shell cnspec para el control PLCnext ejecutando el siguiente comando:

   cnspec shell ssh admin@192.168.1.10 --ask-pass
   

3. Ejecute el siguiente comando MQL dentro del shell cnspec:

   file("/etc/plcnext/arpversion").content
   

Como podemos ver, pudimos conectarnos vía SSH al PLCnext Control y pudimos ejecutar el primer comando MQL.

→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 ___ _ __ ___ _ __ ___ ___ 
 / __| '_ \/ __| '_ \ / _ \/ __|
| (__| | | \__ \ |_) | __/ (__ 
 \___|_| |_|___/ .__/ \___|\___|
 mondoo™ |_| 
cnspec> file("/etc/plcnext/arpversion").content
file.content: "Arpversion: 23.0.0.65
GIT Commit Hash: d755854b5b21ecb8dca26b0a560e6842a0c638d7
Build Job: \"jenkins-PLCnext-Yocto_Targets-Yocto_AXCF2152-release%2F23.0.x-65\"
"

1. Descargue la política de tecnología PLCnext del repositorio público cnspec-policies para realizar una verificación de seguridad básica ejecutando el siguiente comando:

   git clone https://github.com/mondoohq/cnspec-policies
   Cloning into 'cnspec-policies'...
   remote: Enumerating objects: 1075, done.
   remote: Counting objects: 100% (149/149), done.
   remote: Compressing objects: 100% (84/84), done.
   remote: Total 1075 (delta 75), reused 115 (delta 61), pack-reused 926
   Receiving objects: 100% (1075/1075), 699.81 KiB | 402.00 KiB/s, done.
   Resolving deltas: 100% (690/690), done.
   

2. Realice el siguiente comando para ejecutar un escaneo de seguridad completo en el PLCnext Control vía SSH:

   cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass
   

El resultado completo debería verse así:

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass
→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ using service account credentials
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 axcf2152 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% score: F
Asset: axcf2152
---------------
Controls:
✕ Fail: Ensure SSH MaxAuthTries is set to 4 or less
✓ Pass: Ensure secure permissions on SSH public host key files are set
✓ Pass: Ensure only strong MAC algorithms are used
✓ Pass: Ensure only strong ciphers are used
✓ Pass: Ensure SSH IgnoreRhosts is enabled
✓ Pass: Ensure SSH Idle Timeout Interval is configured
✕ Fail: Ensure SSH password authentication is disabled
✓ Pass: Ensure current system time is synchronized
✓ Pass: Ensure only strong Key Exchange algorithms are used
✓ Pass: Ensure SSH LoginGraceTime is set to one minute or less
✓ Pass: Ensure SSH Protocol is set to 2
✓ Pass: Ensure SSH root login is disabled or set to prohibit-password
✓ Pass: Ensure SSH LogLevel is appropriate
✓ Pass: Ensure SSH PermitUserEnvironment is disabled
✓ Pass: Ensure SSH HostbasedAuthentication is disabled
✓ Pass: Ensure SSH access is limited
✓ Pass: Ensure secure permissions on SSH private host key files are set
✓ Pass: Ensure SSH warning banner is configured
✕ Fail: Ensure Firewall is active
✓ Pass: Ensure SSH PermitEmptyPasswords is disabled
✓ Pass: Ensure SSH X11 forwarding is disabled
✓ Pass: Ensure latest PLCnext Firmware is installed
Scanned 1 assets
For detailed output, run this scan with "-o full".

La solución de seguridad de código abierto cnspec proporciona un enfoque integral para identificar vulnerabilidades y configuraciones incorrectas en los sistemas de TI y OT. Al escanear periódicamente sus sistemas, podrá identificar y solucionar de forma proactiva posibles problemas de seguridad antes de que se conviertan en un problema.

Nota:

El Makers Blog muestra aplicaciones e historias de usuarios de miembros de la comunidad que Phoenix Contact no prueba ni revisa. Úselos bajo su propio riesgo.