大量的目标违约导致爆料许多公司都使用互联网连接的供暖，通风和空调（HVAC）系统没有足够的安全性，给黑客一个潜在的网关，企业关键系统。
大量的目标违约导致爆料许多公司都使用互联网连接的供暖，通风和空调（HVAC）系统没有足够的安全性，给黑客一个潜在的网关，企业关键系统，一家安全公司周四发出警告。
云安全服务提供商Qualys公司表示，其研究人员已经发现，大多数在过去的两年中连接到Internet约55,000 HVAC系统具有可以被黑客利用轻松的缺陷。这样的漏洞被黑客利用的目标突破口。
HVAC系统连接到在不同的零售企业，政府大楼，甚至医院的网络，根据安全公司。暖通空调供应商和其他第三方经常有这些系统的远程访问权限的管理和支持的目的。
黑客可以利用这些系统来访问企业网络和跨越到其他企业系统，Qualys的说。
最近在违约目标，这导致了数据的40亿信用卡和借记卡被盗，被认为已发生过这种方式。据安全博客布赖恩·克雷布斯，谁率先报道了巨大的缺口，黑客获得了进入到目标网络使用来自于零售商提供HVAC服务公司窃取的登录凭据。
暖通空调公司显然有访问权限的目标的网络执行任务，如在各门店远程监控能耗和温度。目标数据窃贼使用的远程访问权限来获得零售商的网络上的立足之地，并随后越级到公司的支付系统。
大多数公司不知道HVAC系统连接到互联网，并可以作为网关进入企业网络和敏感数据，说在Qualys的情报比利·里奥斯主任，在一封电子邮件。
“这违反不只是影响的目标。有迹象表明，暴露于其他公司的许多其他控制系统，”里奥斯说。
关于攻击者是如何进入目标网络披露后，Qualys公司做了一些网络扫描，结果发现，在目标公司的总部HVAC系统仍然可见网上。因此也为索契奥运赛场上的暖通空调和能源管理系统，他说。
“索契系统甚至不需要密码，因此，如果你知道IP地址，你在，我们已经联系积分警告这个问题的他们，”里奥斯说。
通常情况下，有暖通空调系统的远程访问企业没有认识到系统可以作为一个网关敏感的企业网络。因此，他们通常倾向于有松懈的安全措施，他说。例如，许多HVAC管理公司使用相同的密码属于多个客户接入系统，他说。
Qualys公司一直与美国国土安全部在这个问题上为三年，所以威胁不是未知的一切，里奥斯说。“大多数人只是不知道它，”他补充说。
波特纳布兰肯斯泰因，解决方案在Bomgar，提供工具的保护远程访问公司的高级工程总监表示，该目标违反了为什么企业需要采取措施来控制什么第三方可以在其网络上做的。
大型企业往往授予远程访问权限的软件，硬件，和许多其他供应商和外部第三方。但是，很少有措施，确保访问正确地验证和保护。
虽然许多公司可能会经常登录远程访问会话，很少有能力来审核从安全角度看访问，他说。
Jaikumar维贾雅恩覆盖数据安全和隐私问题，金融服务安全和计算机世界电子投票。按照Jaikumar在Twitter上@jaivijayan或订阅Jaikumar的RSS提要。他的电子邮件地址是jvijayan@computerworld.com。
了解更多关于网络犯罪和黑客攻击在Computerworld的网络犯罪和黑客主题中心。
这个故事，“目标攻击显示远程访问HVAC系统的危险”最初发表计算机世界 。