Comment utiliser Cnspec pour détecter les firmwares obsolètes et les mauvaises configurations sur PLCnext Control

À titre d'exemple, prenons le PLCnext Control AXC F 2125 de Phoenix Contact, qui est basé sur le processeur ARM Cortex-A9 et dispose d'un système runtime IEC 61131. Cnspec est un outil open source qui offre différentes options pour scanner le PLCnext Control basé sur Linux afin de détecter les anciens firmwares et les mauvaises configurations. Ce guide fournit des instructions étape par étape pour scanner un PLCnext Control via le fournisseur SSH cnspec.

1. Installez cnspec sur votre ordinateur portable (Guide d'installation)

2. Testez la connexion et établissez un shell cnspec vers le PLCnext Control en exécutant la commande suivante :

   cnspec shell ssh admin@192.168.1.10 --ask-pass 

3. Exécutez la commande MQL suivante dans le shell cnspec :

   file("/etc/plcnext/arpversion").content 

Comme nous pouvons le voir, nous avons pu nous connecter via SSH au PLCnext Control et exécuter la première commande MQL.

→ loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default Enter password: → discover related assets for 1 asset(s) → resolved assets resolved-assets=1 ___ _ __ ___ _ __ ___ ___ / __| '_ \/ __| '_ \ / _ \/ __| | (__| | | \__ \ |_) | __/ (__ \___|_| |_|___/ .__/ \___|\___| mondoo™ |_| cnspec> file("/etc/plcnext/arpversion").content file.content: "Arpversion: 23.0.0.65 GIT Commit Hash: d755854b5b21ecb8dca26b0a560e6842a0c638d7 Build Job: \"jenkins-PLCnext-Yocto_Targets-Yocto_AXCF2152-release%2F23.0.x-65\" " 

1. Téléchargez la politique PLCnext Technology depuis le dépôt public cnspec-policies pour effectuer un contrôle de sécurité de base en exécutant la commande suivante :

   git clone https://github.com/mondoohq/cnspec-policies Cloning into 'cnspec-policies'... remote: Enumerating objects: 1075, done. remote: Counting objects: 100% (149/149), done. remote: Compressing objects: 100% (84/84), done. remote: Total 1075 (delta 75), reused 115 (delta 61), pack-reused 926 Receiving objects: 100% (1075/1075), 699.81 KiB | 402.00 KiB/s, done. Resolving deltas: 100% (690/690), done. 

2. Exécutez la commande suivante pour lancer un scan de sécurité complet sur le PLCnext Control via SSH :

   cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass 

La sortie complète devrait ressembler à ceci :

cnspec scan ssh admin@192.168.1.10 -f cnspec-policies/community/mondoo-phoenix-plcnext-security.mql.yaml --ask-pass → loaded configuration from /home/user/.config/mondoo/mondoo.yml using source default Enter password: → using service account credentials → discover related assets for 1 asset(s) → resolved assets resolved-assets=1 axcf2152 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% score: F Asset: axcf2152 --------------- Controls: ✕ Fail: Ensure SSH MaxAuthTries is set to 4 or less ✓ Pass: Ensure secure permissions on SSH public host key files are set ✓ Pass: Ensure only strong MAC algorithms are used ✓ Pass: Ensure only strong ciphers are used ✓ Pass: Ensure SSH IgnoreRhosts is enabled ✓ Pass: Ensure SSH Idle Timeout Interval is configured ✕ Fail: Ensure SSH password authentication is disabled ✓ Pass: Ensure current system time is synchronized ✓ Pass: Ensure only strong Key Exchange algorithms are used ✓ Pass: Ensure SSH LoginGraceTime is set to one minute or less ✓ Pass: Ensure SSH Protocol is set to 2 ✓ Pass: Ensure SSH root login is disabled or set to prohibit-password ✓ Pass: Ensure SSH LogLevel is appropriate ✓ Pass: Ensure SSH PermitUserEnvironment is disabled ✓ Pass: Ensure SSH HostbasedAuthentication is disabled ✓ Pass: Ensure SSH access is limited ✓ Pass: Ensure secure permissions on SSH private host key files are set ✓ Pass: Ensure SSH warning banner is configured ✕ Fail: Ensure Firewall is active ✓ Pass: Ensure SSH PermitEmptyPasswords is disabled ✓ Pass: Ensure SSH X11 forwarding is disabled ✓ Pass: Ensure latest PLCnext Firmware is installed Scanned 1 assets For detailed output, run this scan with "-o full". 

La solution de sécurité open source cnspec fournit une approche complète pour identifier les vulnérabilités et les mauvaises configurations à la fois sur les systèmes IT et OT. En scannant régulièrement vos systèmes, vous pouvez identifier et corriger proactivement les problèmes de sécurité potentiels avant qu'ils ne deviennent un problème.

Note :

Le blog Makers présente des applications et des histoires d'utilisateurs de membres de la communauté qui ne sont pas testés ou revus par Phoenix Contact. Utilisez-les à vos propres risques.