spanwich/sel4-ics-gateway-demoعرض توضيحي للأمن الدفاعي: بوابة seL4 microkernel تحمي ICS الضعيفة من CVE-2019-14462
مشروع بحث أمني دفاعي يقارن بين بنيتي كسر البروتوكول و توجيه الحزم لحماية أنظمة التحكم الصناعية من الهجمات الإلكترونية.
التوثيق:
- بنية الشبكة - رسومات الشبكة وتدفق الحركة
- بنية الحاويات - علاقات حاويات Docker
- شروحات الثغرات - تفاصيل الثغرات وآليات الهجوم
تواجه أنظمة ICS/SCADA الحديثة هجمات متطورة مثل FrostyGoop، والذي استهدف أنظمة التدفئة المحلية الأوكرانية عبر Modbus TCP في يناير 2024، مما ترك أكثر من 600 منزل بدون تدفئة خلال درجات حرارة تحت الصفر. تستخدم الحلول الأمنية التقليدية (الجدران النارية، أنظمة كشف التسلل) بنية توجيه الحزم التي تفحص الحركة على الخط ولكنها تحافظ على اتصال TCP واحد من النهاية إلى النهاية.
يقدم هذا المشروع بديلاً: بوابة كسر البروتوكول تستخدم النواة المصغرة seL4 المُثبتة رسميًا. من خلال إنهاء اتصالات TCP والتحقق من دلالات البروتوكول قبل إنشاء اتصالات جديدة بالأجهزة المحمية، توفر هذه البنية ضمانات أمنية أقوى.
| الجانب | كسر البروتوكول (seL4) | توجيه الحزم (Snort) |
|---|---|---|
| CVE-2019-14462 | محظور (التحقق من الطول) | مكتشف (قواعد Quickdraw) |
| CVE-2022-0367 | محظور (التحقق من العنوان) | مكتشف (قواعد مخصصة) |
| CVE-2022-20685 | محصن (بدون معالج مسبق) | قابل للاختراق (حرمان خدمة IDS) |
| CVE-2024-1086 | محصن (بدون نواة Linux) | قابل للاختراق (مشارك نواة المضيف) |
| المتغيرات غير المعروفة | محظور (التحقق البنيوي) | غير مكتشف (لا توقيع) |
| هجمات حالة TCP | محظور (تم إنهاء الاتصال) | ممكن |
| سطح الهجوم | ~1,000 سطر من الكود (نواة مصغرة) | ~500,000 سطر من الكود (Linux + Snort) |
┌─────────────────────────────────────────────────────────────────────────────┐
│ Docker Network: ics-untrusted (192.168.96.0/24) │
│ │
│ ┌───────────────────────┐ ┌───────────────────────┐ │
│ │ seL4 Gateway │ │ Snort IDS │ │
│ │ Port 502 │ │ Port 503 │ │
│ │ │ │ │ │
│ │ • Protocol-break │ │ • Packet-forwarding │ │
│ │ • TCP termination │ │ • Inline inspection │ │
│ │ • Length validation │ │ • Rule-based detection│ │
│ └───────────┬───────────┘ └───────────┬───────────┘ │
│ │ │ │
├───────────────┼───────────────────────────────┼─────────────────────────────┤
│ Docker Network: ics-protected (192.168.95.0/24) │
│ │ │ │
│ └───────────────┬───────────────┘ │
│ ▼ │
│ ┌───────────────────────────────┐ │
│ │ PLC (District Heating) │ │
│ │ Vulnerable libmodbus 3.1.2 │ │
│ │ Port 5020 (direct access) │ │
│ └───────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────────────────┘
# Place your seL4 kernel image at:
gateway/sel4-image/capdl-loader-image-arm-qemu-arm-virt
# Build all containers
sudo docker compose build
# Start individual containers
sudo docker compose up plc # PLC only
sudo docker compose up gateway # seL4 gateway + PLC
sudo docker compose up snort # Snort IDS + PLC
# Start all
sudo docker compose up
# Through seL4 gateway (protected - protocol-break)
echo -ne '\x00\x01\x00\x00\x00\x06\x01\x03\x00\x00\x00\x01' | nc localhost 502 | xxd
# Through Snort IDS (protected - packet-forwarding)
echo -ne '\x00\x01\x00\x00\x00\x06\x01\x03\x00\x00\x00\x01' | nc localhost 503 | xxd
# Direct to PLC (unprotected - vulnerable)
echo -ne '\x00\x01\x00\x00\x00\x06\x01\x03\x00\x00\x00\x01' | nc localhost 5020 | xxd
| المنفذ | المسار | البنية | الحماية |
|---|---|---|---|
| 502 | عميل → seL4 → PLC | كسر البروتوكول | يتحقق من بنية Modbus |
| 503 | عميل → Snort → PLC | توجيه الحزم | IDS قائم على القواعد |
| 5020 | عميل → PLC (ASAN) | مباشر | وضع CVE-2022-0367 |
| 5022 | عميل → PLC | مباشر | وضع CVE-2019-14462 (profile: cve14462) |
ملاحظة: يعمل PLC الافتراضي الآن في وضع CVE-2022-0367 مع ASAN. استخدم
--profile cve14462لاختبار CVE-2019-14462.
يستخدم PLC مكتبة libmodbus 3.1.2 المعرضة للخطر عن قصد. يستغل الهجوم حقول طول MBAP الموثوقة:
# Start PLC in CVE-2019-14462 mode
sudo docker compose --profile cve14462 up plc-14462
# Build attack tools
cd cve_tools && make
# Attack unprotected PLC (crashes)
./cve_14462_attack 127.0.0.1 5022
# Attack through seL4 (BLOCKED)
./cve_14462_attack 127.0.0.1 502
# Attack through Snort (DETECTED by Quickdraw rules)
./cve_14462_attack 127.0.0.1 503
خلل في التحقق من الحدود في modbus_mapping_new_start_address() يسمح بنقص سعة الكومة عبر كود الوظيفة 0x17 (كتابة وقراءة السجلات):
# Default PLC runs in CVE-2022-0367 mode with ASAN
sudo docker compose up plc
# Build attack tools
cd cve_tools && make
# Attack PLC - ASAN will detect heap-buffer-overflow
./cve_0367_attack 127.0.0.1 5020
# Attack with custom parameters
./cve_0367_attack 127.0.0.1 5020 88 0x4141 # Corrupt tab_registers pointer
./cve_0367_attack 127.0.0.1 5020 72 0xFFFF # Corrupt nb_registers
# Attack through seL4 (BLOCKED - address validation)
./cve_0367_attack 127.0.0.1 502
# Attack through Snort (DETECTED by custom rules)
./cve_0367_attack 127.0.0.1 503
تفاصيل تقنية:
start_registers=100، العناوين الصالحة هي 100-109write_address < 100، مما يسبب فهرس مصفوفة سالبmb_mapping بما في ذلك المؤشراتيعاني Snort 2.9.18 من تجاوز عدد صحيح في معالج Modbus المسبق مما يسبب حلقة لا نهائية، مما يمنع كل الحركة عبر IDS:
# 1. Verify Snort is working (should return Modbus response)
echo -ne '\x00\x01\x00\x00\x00\x06\x01\x03\x00\x00\x00\x01' | nc -w 2 localhost 503 | xxd
# 2. Attack the Snort IDS
./cve_20685_attack 127.0.0.1 503
# 3. Verify Snort is frozen (should timeout with NO response)
echo -ne '\x00\x01\x00\x00\x00\x06\x01\x03\x00\x00\x00\x01' | nc -w 5 localhost 503 | xxd
# 4. Check Snort CPU (should be 100%)
sudo docker exec ics-snort top -b -n 1 | grep snort
# 5. seL4 is IMMUNE (no Modbus preprocessor to exploit)
./cve_20685_attack 127.0.0.1 502 # No effect on seL4
# 6. Restart Snort after demo
sudo docker compose restart snort
لماذا هذا مدمر: يستخدم Snort وضع NFQUEUE المضمن، مما يعني أن الحزم محتجزة في قائمة انتظار النواة حتى يعيد Snort حكمًا. عندما يتوقف Snort عن العمل، لا تُعاد الأحكام، وتتوقف كل الحركة - ليس فقط عمى IDS، بل حرمان كامل من الخدمة.