超過8800個工業物聯網雲中心暴露於公網-DTU資料中心態勢感知報告
一、關鍵詞定義
DTU:資料終端單元(Data Transfer unit)。
DSC:資料服務中心(Data Service Center),即DTU中心站,DTU通過無線GPRS/CDMA網路將資料上傳至中心站監聽的某個埠。
DDP:DTU和資料服務中心(DSC)之間的通訊協議。
二、應用場景
在工業現場中,存在許多現場是有線無法到達的場景,DTU無線資料終端基於GPRS/CDMA資料通訊網路,可專門用於將串列埠資料轉換為IP資料或將IP資料轉換為串列埠資料,並通過無線通訊網路進行傳輸,目前廣泛應用在電力、環保監測、車載、水利、金融、路燈監控、熱力管網、煤礦、油田等行業。
三、DTU資料中心指紋特徵分析
DTU與DSC中心站通訊可使用TCP/UDP方式,DTU會根據配置主動連線DSC中心站IP和開放的資料服務埠進行資料上傳。
通訊埠
根據廠家和應用的不同,DSC開放的資料上傳埠也不盡相同,我們根據廠商官方提供的一些解決方案和文件,蒐集了一些知名廠商的預設埠,具體如下:
廠商 | 預設埠 |
巨集電DTU | 5002 |
深證漢科泰 | 5003 |
廈門才茂通訊科技 | 5001 |
濟南有人物聯網 | 5007 |
聚英電子 | 5004 |
拓普瑞GPRS DTU | 5000 |
TLINK | 5006 |
廈門銳谷通訊 | 8002 |
藍斯通訊 | 10000 |
鑫芯物聯 | 2009 |
四信科技 | 5020 |
山東力創 | 3030 |
協議介紹
DDP協議(DTU DSC Protocol)是DTU與DSC之間的通訊協議,DDP是一種廠商定義的私有公開性質的通訊協議,用於資料的傳輸和DTU管理,對於DDP協議廠商一般會提供協議文件和SDK開發包,使用者可以通過組態軟體或開發包,將資料中心整合到自己的平臺軟體中,國內的組態王、三維力控、崑崙通態、紫金橋等著名組態軟體公司也均可以對接DTU實現資料採集。
以DTU市場佔有量較高的巨集電公司的DTU為例,巨集電DDP協議官方提供了通訊協議文件和資料中心SDK樣例可供使用者進行二次開發和整合。
巨集電DDP協議資料幀格式
起始標誌 | 包型別 | 包長度 | DTU 身份識別 | 資料 | 結束標誌 |
(1B) | (1B) | (2B) | (11B) | (0~1024B) | (1B) |
0x7B | 0x7B |
巨集電DDP協議DTU請求功能型別
包型別 | 包型別描述 | 傳輸型別 |
0x01 | 終端請求註冊 | GPRS |
0x02 | 終端請求登出 | GPRS |
0x03 | 查詢某一DTU IP 地址 | GPRS |
0x04 | 無效命令或協議包(一般在查詢或設定指令時使用) | GPRS |
0x05 | DSC接收到使用者資料的應答包 | GPRS |
0x09 | DSC傳送給 的使用者資料包 | GPRS |
0x0B | DTU查詢引數的應答包 | GPRS |
0x0D | DTU設定引數的應答包 | GPRS/SMS |
0x0E | DTU提取日誌的應答包 | GPRS |
0x0F | 遠端升級的迴應包 | GPRS/SMS |
指紋構造
通過構造符合DDP協議的DTU“註冊”請求傳送到DSC中心站,可以作為識別中心站的一種手段,如果目標應用的埠執行有中心站服務將會返回符合DDP協議標準的資料包。
四、安全隱患分析
DTU與DSC中心站之間通訊使用的DDP協議構造簡單,通訊時一般使用DTU中插入的SIM卡的11位手機號碼作為“身份識別”的手段,DTU主動連結DSC中心站開放的TCP/UDP埠上傳資料,並且以明文方式傳輸,從目前DTU無線資料遠傳的通訊模型上來看,最易受攻擊的攻擊面主要在DSC中心站上。
根據我們的本地分析與測試,暴露在網際網路的DTU中心站易受到如下攻擊:
終端偽造風險
根據DTU與DSC中心站的通訊協議,攻擊者可以構造任意手機號碼(11個位元組的DTU身份識別標識)的“註冊”請求,如果使用者的應用邏輯上沒有判斷該手機號碼是否可信,該裝置將可以被註冊到DSC中心站。
資料偽造風險
攻擊者可以構造任意手機號碼(11個位元組的DTU身份識別標識)的“註冊”請求,並在同一時間或一段時間內傳送大量“註冊”登入請求到DSC中心站,對於未做身份標識驗證和判斷的DSC中心站應用將會消耗大量系統資源,甚至導致中心站的採集應用崩潰,所有DTU裝置無法連結至DSC中心站,使資料採集中斷。
終端列舉風險
DTU與DSC中心站之間使用11位手機號碼作為“身份識別”,攻擊者如果知道DTU終端的11位手機號碼,即可以偽造對應的終端進行資料上傳或將終端請求登出,如果確定了該應用場景或準確的地市區,針對終端號碼的列舉或爆破將會縮小到較小的嘗試範圍。
五、DTU資料中心聯網分佈
鑑於DSC中心站各家應用開放埠不一致的情況,我們實驗室對國內3億IP超過160個常用於釋出DDP服務的埠進行了識別掃描,其中發現執行有DDP協議服務的主機超過了8800個,具體分佈如下:
廣東 | 1998 |
香港 | 1052 |
浙江 | 710 |
上海 | 676 |
北京 | 631 |
廣西 | 556 |
江蘇 | 500 |
山東 | 427 |
福建 | 251 |
河北 | 212 |
天津 | 208 |
四川 | 171 |
湖北 | 164 |
遼寧 | 144 |
安徽 | 125 |
河南 | 119 |
雲南 | 99 |
新疆 | 88 |
中國 | 84 |
甘肅 | 81 |
湖南 | 80 |
陝西 | 73 |
黑龍江 | 71 |
吉林 | 66 |
江西 | 58 |
山西 | 57 |
重慶 | 48 |
內蒙古 | 41 |
貴州 | 41 |
青海 | 22 |
西藏 | 17 |
海南 | 17 |
寧夏 | 9 |
總計 | 8896 |
釋出DDP服務最多的前30個埠:
排行 | 埠 | 暴露數量 |
1 | 5060 | 1302 |
2 | 9999 | 1248 |
3 | 5002 | 802 |
4 | 60000 | 575 |
5 | 55555 | 547 |
6 | 50123 | 537 |
7 | 51960 | 418 |
8 | 65000 | 392 |
9 | 61697 | 385 |
10 | 2000 | 296 |
11 | 3000 | 234 |
12 | 8000 | 204 |
13 | 6000 | 108 |
14 | 1025 | 92 |
15 | 5001 | 88 |
16 | 6004 | 87 |
17 | 33333 | 81 |
18 | 10001 | 76 |
19 | 5000 | 75 |
20 | 60001 | 69 |
21 | 5007 | 67 |
22 | 5003 | 61 |
23 | 5005 | 61 |
24 | 8001 | 60 |
25 | 4000 | 56 |
26 | 6002 | 45 |
27 | 7001 | 41 |
28 | 7000 | 40 |
29 | 5004 | 39 |
30 | 8888 | 32 |
六、聯網企業與應用分析
根據對掃描到的資料,我們實驗室通過IP開放服務、IP位置,分析驗證了執行公網的DSC中心站所屬的企業和單位,具體行業分佈如下,我們目前已經準確驗證了超過300家公司和單位的DDP服務暴露情況。
七、解決方案與應對策略
在本次針對DSC資料中心站的安全分析的過程中,像終端使用GPRS/CDMA直接經過網際網路與中心站的固定/動態IP進行通訊,這種快捷、廉價的組網應用廣泛,目前雖然沒有出現專門針對此類系統公開的攻擊事件,但根據我們的判斷,對於DDP協議這種ICS協議暴露將縮短攻擊者發現重要工業控制系統入口的時間,隨著DDP服務的開放易導致該IP目標成為針對性的被攻擊物件,我們建議使用此類組網的使用者,尤其應該做好邊界入口的安全防護、應用服務(Web、Telnet、SSH)的安全加固、主機安全配置。
燈塔實驗室依據工信部《工業控制系統資訊保安防護指南》以及相關國家標準,給出如下具體應對建議:
身份認證
我們建議在網際網路開放DDP服務的使用者,應檢查除DDP服務以外,如Telnet、SSH、Web服務等服務配置的安全性,避免使用預設口令或弱口令,合理分類設定賬戶許可權,以最小特權原則分配賬戶許可權,對於關鍵系統和平臺的訪問採用多因素認證。
遠端訪問安全
我們推薦有條件的使用者在中心與終端之間使用電信運營商提供的APN專網進行組網,DTU的SIM卡開通專用APN接入,使用APN專線後所有終端及資料中心分配的IP地址均為電信運營商的內網IP地址,通過APN專網終端與資料中心的資料通訊無需通過公網進行傳輸,專網實現了端到端加密,避免了中心在網際網路開放網路埠。
原文來自:燈塔實驗室(http://plcscan.org/blog)