Comment utiliser Cnspec pour détecter les micrologiciels obsolètes et les erreurs de configuration sur PLCnext Control

A titre d'exemple, prenons le PLCnext Control AXC F 2125 de Phonix Contact, qui est basé sur le processeur ARM Cortex-A9 et dispose d'un système d'exécution IEC 61131. Cnspec est un outil open source qui offre différentes options d'analyse du PLCnext Control basé sur Linux afin de détecter les anciens micrologiciels et les erreurs de configuration. Ce guide fournit des instructions étape par étape pour analyser un contrôle PLCnext via le fournisseur SSH cnspec.

1. Installez cnspec sur votre ordinateur portable (Guide d'installation)

2. Testez la connexion et établissez un shell cnspec sur le contrôle PLCnext en exécutant la commande suivante :

   cnspec shell ssh admin@192.168.1.10 --ask-pass
   

3. Exécutez la commande MQL suivante dans le shell cnspec :

   file("/etc/plcnext/arpversion").content
   

Comme nous pouvons le voir, nous avons pu nous connecter via SSH au PLCnext Control et exécuter la première commande MQL.

→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 ___ _ __ ___ _ __ ___ ___ 
 / __| '_ \/ __| '_ \ / _ \/ __|
| (__| | | \__ \ |_) | __/ (__ 
 \___|_| |_|___/ .__/ \___|\___|
 mondoo™ |_| 
cnspec> file("/etc/plcnext/arpversion").content
file.content: "Arpversion: 23.0.0.65
GIT Commit Hash: d755854b5b21ecb8dca26b0a560e6842a0c638d7
Build Job: \"jenkins-PLCnext-Yocto_Targets-Yocto_AXCF2152-release%2F23.0.x-65\"
"

1. Téléchargez la politique technologique PLCnext à partir du référentiel public cnspec-policies pour effectuer une vérification de sécurité de base en exécutant la commande suivante :

   git clone https://github.com/mondoohq/cnspec-policies
   Cloning into 'cnspec-policies'...
   remote: Enumerating objects: 1075, done.
   remote: Counting objects: 100% (149/149), done.
   remote: Compressing objects: 100% (84/84), done.
   remote: Total 1075 (delta 75), reused 115 (delta 61), pack-reused 926
   Receiving objects: 100% (1075/1075), 699.81 KiB | 402.00 KiB/s, done.
   Resolving deltas: 100% (690/690), done.
   

2. Exécutez la commande suivante pour exécuter une analyse de sécurité complète sur le PLCnext Control via SSH :

   cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass
   

Le résultat complet devrait ressembler à ceci :

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass
→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default
Enter password: 
→ using service account credentials
→ discover related assets for 1 asset(s)
→ resolved assets resolved-assets=1
 axcf2152 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% score: F
Asset: axcf2152
---------------
Controls:
✕ Fail: Ensure SSH MaxAuthTries is set to 4 or less
✓ Pass: Ensure secure permissions on SSH public host key files are set
✓ Pass: Ensure only strong MAC algorithms are used
✓ Pass: Ensure only strong ciphers are used
✓ Pass: Ensure SSH IgnoreRhosts is enabled
✓ Pass: Ensure SSH Idle Timeout Interval is configured
✕ Fail: Ensure SSH password authentication is disabled
✓ Pass: Ensure current system time is synchronized
✓ Pass: Ensure only strong Key Exchange algorithms are used
✓ Pass: Ensure SSH LoginGraceTime is set to one minute or less
✓ Pass: Ensure SSH Protocol is set to 2
✓ Pass: Ensure SSH root login is disabled or set to prohibit-password
✓ Pass: Ensure SSH LogLevel is appropriate
✓ Pass: Ensure SSH PermitUserEnvironment is disabled
✓ Pass: Ensure SSH HostbasedAuthentication is disabled
✓ Pass: Ensure SSH access is limited
✓ Pass: Ensure secure permissions on SSH private host key files are set
✓ Pass: Ensure SSH warning banner is configured
✕ Fail: Ensure Firewall is active
✓ Pass: Ensure SSH PermitEmptyPasswords is disabled
✓ Pass: Ensure SSH X11 forwarding is disabled
✓ Pass: Ensure latest PLCnext Firmware is installed
Scanned 1 assets
For detailed output, run this scan with "-o full".

La solution de sécurité open source cnspec fournit une approche complète pour identifier les vulnérabilités et les erreurs de configuration dans les systèmes informatiques et OT. En analysant régulièrement vos systèmes, vous pouvez identifier et résoudre de manière proactive les problèmes de sécurité potentiels avant qu'ils ne deviennent un problème.

Remarque :

Le Makers Blog présente des applications et des témoignages d'utilisateurs de membres de la communauté qui ne sont ni testés ni examinés par Phoenix Contact. Utilisez-les à vos propres risques.