聯網 UPS 設備成為駭客攻擊對象
科技產業資訊室 (iKnow) - May 發表於 2022年3月30日
圖、聯網 UPS 設備成為駭客攻擊對象
2022 年 3 月 29 日，美國網路安全和基礎設施安全局 (CISA) 警告美國機構要保護聯網的 UPS 設備免受駭客攻擊。由於，UPS設備經常用於關鍵任務環境中的應急電源備用解決方案，包括數據中心、工業設施、伺服器機房、公共基礎設施和醫院。還有，連接到 Internet 以允許管理員執行各種遠端任務，例如電源監控和日常維護，這也使它們容易受到攻擊。CISA和能源部意識到，威脅行為者可以訪問各種聯網的不間斷電源 (UPS) 設備，通常是藉由未更改的默認(default)用戶名稱和密碼。
如何阻止UPS受到攻擊
建議的緩解措施，包括查找組織網路上的所有 UPS 和其他應急電源系統，並確保它們無法通過 Internet 訪問。如果無法避免將其管理界面連接到 Internet，建議管理員 [ PDF ] 將設備置於虛擬專用網絡 (VPN) 後面，啟用多因素身份驗證 (MFA)，並使用強密碼或密碼短語來阻止暴力破解的試探。
這些建議，還包括檢查 UPS 是否沒有使用出廠默認憑據、來防止攻擊者嘗試使用它們並接管目標設備。還敦促美國企業實施登錄超時/鎖定策略，以阻止這些針對 UPS 和類似系統的持續攻擊。除了默認憑據外，威脅者還可使用關鍵安全漏洞來遠程接管不間斷電源 (UPS) 設備，並允許他們遠程燒毀或禁用電源。例如，一組被跟踪駭客攻擊TLStorm 的關鍵零日漏洞，可被未經身份驗證的攻擊者遠程利用而無需用戶交互驗證，這些漏洞已知會影響施耐德電氣子公司 APC 的 SmartConnect 和 Smart-UPS 設備。(503字；圖1)
參考資料：
CISA warns of attacks targeting Internet-connected UPS devices. Bleeping Computer, 2022/3/29.
相關文章：
1. 醫療保健網路安全也是國家關鍵基礎建設
2. Check Point：2022年網路安全預測 Deepfake、加密貨幣成犯罪新武器
3. 松下為聯網汽車開發網路安全系統
4. 中國13部門修訂《網路安全審查辦法》開始施行
5. 網路安全產業吸引新創投資 2021年已誕生9家獨角獸
6. 網路紅色警戒 Log4j嚴重漏洞
--------------------------------------------------------------------------------------------------------------------------------------------
【聲明】
1.科技產業資訊室刊載此文不代表同意其說法或描述，僅為提供更多訊息，也不構成任何投資建議。
2.著作權所有，非經本網站書面授權同意不得將本文以任何形式修改、複製、儲存、傳播或轉載，本中心保留一切法律追訴權利。
|