IBM Maximo

2020: Исправление уязвимости, позволяющей проникнуть внутрь сети предприятий

Уязвимость в системе IBM Maximo Asset Management1, обнаруженная экспертами Positive Technologies Арсением Шароглазовым и Андреем Медовым, может упростить злоумышленникам проникновение во внутреннюю сеть крупных компаний. Эта система класса CMMS2 используется для управления техническим обслуживанием и ремонтом производственных активов в фармацевтических, нефтегазовых, автомобилестроительных, аэрокосмических, железнодорожных компаниях, в аэропортах, на атомных электростанциях и в других сферах. Об этом Positive Technologies сообщил 18 июня 2020 года.

Уязвимость CVE-2020-4529, обнаруженная в версиях 7.6.0 и 7.6.1 IBM Maximo Asset Management, связана с возможностью подделки запросов со стороны сервера (SSRF) и имеет высокий уровень опасности (7,3 балла по шкале CVSS). Она может позволить аутентифицированному злоумышленнику с низкими привилегиями отправить нелегитимный запрос из системы для сканирования сети или для развития других атак.

IBM Maximo Asset Management используется на больших системообразующих предприятиях, и уязвимости в ней могут привлечь APT-группировки, которые хотят получить доступ во внутреннюю сеть, — рассказывает Арсений Шароглазов. — Атакующим с низкими привилегиями может быть, например, кладовщик, который удаленно подключается к системе и заносит позиции в базу; или источником угрозы может выступать его рабочая станция, зараженная вирусом. Веб-интерфейсы IBM Maximo, как правило, доступны со всех складов компании, а склады могут быть размещены в разных регионах и даже в разных странах. Если условный кладовщик подключается через правильно настроенную VPN, его доступ внутри корпоративной сети ограничен, например, этой системой и почтой. Обнаруженная нами уязвимость позволяет преодолеть это ограничение и обратиться к другим системам, где можно попробовать получить, например, возможность удаленного выполнения кода, а при развитии атаки — доступ ко всем системам, чертежам, бухгалтерским документам, к сети АСУ ТП. Иногда сотрудники могут подключаться к IBM Maximo и напрямую из интернета, без VPN, используя простые пароли, что упрощает атаку.

Уязвимость затрагивает также специализированные отраслевые решения Maximo for Aviation, Maximo for Life Sciences, Maximo for Nuclear Power, Maximo for Oil and Gas, Maximo for Transportation, Maximo for Utilities, а также продукты SmartCloud Control Desk, IBM Control Desk и Tivoli Integration Composer.

Для устранения уязвимости необходимо обновить IBM Maximo Asset Management и связанные с этой системой решения и продукты до последних версий. Эксперты Positive Technologies рекомендуют применять межсетевые экраны уровня приложений (например, PT Application Firewall) для защиты от атак через веб-узвимости, регулярно проводить работы по тестированию на проникновение и предоставлять доступ к системам для внутреннего пользования только с помощью сертификатов или через VPN. Кроме того, своевременно выявить веб-уязвимости в инфраструктуре помогут автоматизированные системы анализа защищенности и соответствия стандартам, в частности MaxPatrol 8.

2015: IBM Maximo Asset Management

По данным на 2015 год IBM Maximo Asset Management является одной платформ комплексных систем управления активами. Системы на ее основе решают широкий спектр задач по повышению эффективности владения имуществом на протяжении всего его жизненного цикла, а именно: учет и анализ показателей эксплуатации объектов недвижимости, снижение затрат на техническое обслуживание и ремонт оборудования и агрегатов, а также обеспечение непрерывности технического обслуживания и ремонтов объектов эксплуатации.

2010: Ключевые функции пакета Maximo

По информации на 2010 год система Maximo нацелена на поддержку всего комплекса активов предприятия на протяжении жизненного цикла его эксплуатации и связывает управление активами с общей стратегией бизнеса, решая следующие основные задачи:

• увеличение фондоотдачи;
• снижение затрат на приобретение и использование активов;
• принятие более обоснованных решений в отношении активов;
• повышение уровня предоставляемых услуг;
• обеспечение соответствия требованиям регулирующих органов;
• повышение производительности труда персонала;
• улучшение гибкости бизнеса;
• снижение совокупной стоимости владения активами.

ПО реализовано в виде пакета Maximo Enterprise Suite, состоящего из шести ключевых подсистем, которые позволяют успешно управлять имеющимися активами (включая производственные мощности, здания и сооружения, транспортные средства), работами, закупками, услугами, складами и контрактами в интересах достижения главных бизнес-целей компании.Дмитрий Бородачев, DатаРу Облако: Наше преимущество — мультивендорная модель предоставления облачных услуг

Cпециализированный продукт, позволяет руководителю предприятия, главному инженеру, сотрудникам службы ремонта и обслуживания Активов, сотрудникам всех других подразделений, имеющих отношение к процессам управления, ремонта и обслуживания Активов, могут выполнять свои функции более эффективно, сокращая объем издержек на обслуживание и ремонт Активов предприятия.

Использование систему дает возможность увидеть все Активы предприятия изнутри, посмотреть, как функционирует Ваше оборудование, основные системы, увидеть, где и за счет чего можно минимизировать издержки, что препятствует увеличению прибыль, росту производительности. Вы сможете быстро получать консолидированную информацию, поступающую из самых отдаленных подразделений организации и при необходимости детализировать эту информацию до уровня Актива, запчастей, материалов, исследуя и анализируя свой бизнес, находя пути и возможности для его улучшения и устроения существующих проблем.

Благодаря системе MAXIMO повышается уровень прозрачности вашего бизнеса в разрезе основных Активов, т.е. повышается управляемость бизнеса.

При этом MAXIMO не требует координальных изменений и перестройки бизнеса и не подменяет другие специализированные приложения, которые есть на предприятии (бухгалтерские, кадровые, и пр.). Эти приложения могут использовать информацию, которая поступает из MAXIMO. MAXIMO расширяет их функциональность, мирно сосуществуя с ними и выполняя свою цель — повышение управляемости Активов.

Особенностью системы MAXIMO является то, что она повышает управляемость Активами предприятия, одновременно снижая издержки на их обслуживание. В этой связи MAXIMO позволяет:

С точки зрения руководителя:

Принимать правильные и своевременные решения: о выводе из эксплуатации убыточных Активов, о приобретении новых Активов, о необходимости модернизации и реконструкции уже имеющихся Активов, о необходимости оптимизации затрат на ТОиР и т.д.

Руководители многих предприятий хотят, обосновано принимать решения о выводе того или иного Актива из эксплуатации по причине его убыточности для предприятия. Не имея под рукой всей информации о реальном состоянии Активов, трудно определить проблемные, убыточные Активы и принять решения об их модернизации или ликвидации.

Благодаря системе MAXIMO у руководителей появляется возможность получать как в виде отчетов, так и в режиме реального времени информацию о том:

• Какие Активы имеются и где находятся?
• Их состояние, стоимость и важность для бизнеса?
• Какие процессы и операции выполняются с Активами на протяжении ЖЦ?
• Каковы затраты на обслуживание и ремонт Активов?
• Кто отвечает за каждый из процессов ТОиР по каждому виду Активов?
• Когда следует производить капитальный ремонт или замену основных фондов?
• Насколько существующие процессы ТОиР отвечают бизнес-целям и требованиям рынка?
• и т.д.

Кроме того, MAXIMO позволяет применять современные методы учета и списания затрат на ремонт и обслуживание Активов предприятия. Затраты списываются «адресно» на каждый Актив предприятия, тем самым делая этот процесс абсолютно прозрачным и обоснованными, позволяя вести статистику затрат в разрезе каждого Актива.

С точки зрения руководителя службы обслуживания и ремонта Активов предприятия, главного инженера, главного технолога.

Контролировать и координировать выполнение работ по обслуживанию и ремонту оборудования.

В процессе выполнения контроля и координации выполняемых работ по ремонту и обслуживанию Активов предприятия для руководителей крайне важно получить нужную им информацию определенной точности и в требуемые сроки. В случае плохой организации процесса информационной поддержки руководителей возможны ситуации, когда решения приходиться принимать почти «вслепую», основываясь на неполной или несвоевременной информации.

MAXIMO предоставляет возможность в режиме реального времени контролировать выполнение плановых и внеплановых работ по обеспечению и ремонту Активов предприятия, контролировать затраты и оперативно принимать решения, координируя работу соответствующей службы.

С точки зрении сотрудников службы обслуживания и ремонта Активов предприятия:

Просто и удобно выполнять высококачественное планирование работ.

MAXIMO позволяет значительно облегчить выполнение планирования работ по профилактике и ремонту Активов, обеспечивая исполнителя всей необходимой информацией и инструментами.

Таким образом решаются две основные задачи: затраты на планирование работ уменьшаются, а качество планирования растет.

Долгое время считалось, что соотношение плановых ремонтов к внеплановым должно не выходить за пределы 90% к 10%. Если такое соотношение нарушалось и происходило увеличение внеплановых ремонтов, то выполнялся пересмотр плана выполнения профилактических работ. В современном мире борьбы конкурентных преимуществ для предприятий становится актуальным максимальное снижение уровня внеплановых ремонтов, в идеальном варианте до 0%, что реализуется за счет повышения качества планирования работ.

Кроме того, при качественном планировании работ не возникает ситуаций простоя ремонтных служб по причине отсутствия необходимого материала или персонала, что, в свою очередь, приводит к сокращению затрат.

Можно утверждать, что чем выше качество планирования предупредительных ремонтов и профилактических работ, тем меньше происходит поломок Активов, сокращаются простои и отказы оборудования. Оперативно действовать при возникновении проблем или сбоев в работе Активов предприятия.

В системе MAXIMO за каждым Активом закрепляется ответственный сотрудник. В случае возникновения проблемы с каким-то Активом предприятия, информация об этом моментально передается ответственному и специалисту службы поддержки, который может решить (устранить) эту проблему. Таким образом, значительно сокращается время реакции на возникший инцидент и уменьшается время простоя Актива. Упростить процессы взаимодействия и передачи информации другим службам, реализующим поддержку процесса обслуживания и ремонта оборудования: бухгалтерии, финансовому отделу, отделу кадров, отделу материально-технического снабжения, экономическому отделу и т.д.

С точки зрения финансового отдела:

Своевременное получение корректных данных и правильно оформленных финансовых документов с мест реализации хозяйственных операций, что значительно уменьшает загрузку финансового и бухгалтерского отдела предприятия, а соответственно, сокращает затраты на восстановление и переоформление документов.

С точки зрения экономического отдела:

Реализовать эффективный учет всех затрат на ремонт и обслуживание Активов предприятия, что позволяет сделать затраты «прозрачными» и доступными для анализа в любых разрезах. Своевременно получать корректные данные для формирования бюджета на будущий период, что повышает качество создаваемого бюджета и снижает трудозатраты процесса его составления.

С точки зрения службы материально-технического снабжения:

Получать информацию и фактические данные (статистика поломок, отказов, сложность в обслуживании) о качестве приобретенных у поставщиков товаров и оборудования, информацию о выполнении поставщиками своих обязательств, данные выполнения ремонтов по гарантии и т.д.

Для того чтобы не возникали ситуации, когда служба снабжения из-за отсутствия необходимой информации закупает материалы или инструмент не подходящего качества или покупает их у поставщика, халатно относящего к своим обязательствам по сопровождению товара, удобно иметь под рукой всю информацию о качестве товара конкретного поставщика и качестве предоставляемых им услуг.

MAXIMO позволяет оперативно получать информацию о поставщиках и на основе анализа этой информации принимать решения о заключении с ними контрактов. Таким образом, система страхует сотрудников службы снабжения от заключения невыгодных сделок и снижает затраты на обслуживание за счет использования надежных материалов, комплектующих и инструментов. Своевременно получать информацию о нужных материалах для выполнения работ по обслуживанию и ремонту Активов.

С помощью MAXIMO сотрудники службы материально-технического снабжения имеют доступ к информации о планируемых работах и о том, какие материалы и инструменты понадобятся в ближайшее время. Эта информация позволяет грамотно спланировать работу службы снабжения (избежать авралов и спешки), заказать нужные материалы и инструменты у подходящих поставщиков и к назначенному сроку обеспечить их наличие на складе предприятия.

Таким образом обеспечивается снижения затрат за счет ликвидации простоев ремонтных работ в ожидании нужных материалов. Оптимизировать складские запасы.

Часто на складах предприятия хранится большое количество материалов и запчастей, которые не востребованы службой обслуживания и ремонтов оборудования долгое время. Хранение таких излишков на складах предприятия может приводить к значительному увеличению затрат.

MAXIMO позволяет оптимизировать запасы запчастей и материалов таким образом, чтобы они были доступны к моменту проведения планового или внепланового ремонта, но не накапливались на складах и не лежали «мертвым грузом».

Снижать цены на закупки материалов и запчастей за счет использования централизованной службы закупки и укрупнения заказываемых партий товара.

С точки зрения инженера по технике безопасности:

Снижать риски неисполнения правил техники безопасности при выполнении опасных работ.

MAXIMO позволяет информировать исполнителей о правилах техники безопасности при выполнении опасных работ, необходимых средствах защиты. Данная функция системы позволяет снять излишнюю нагрузку с инженера по технике безопасности и снизить вероятность угрозы жизни и здоровью людей.

2006

IBM осенью 2006 г. приобрела публичную компанию MRO Software, известного поставщика консалтинговых услуг и ПО для управления обслуживанием и активами. Среди ее клиентов — многие крупнейшие предприятия мира, которые используют решения MRO для эффективного управления закупками, хранением и выводом из эксплуатации активов (производственное оборудование, установки, транспортные средства, программное и аппаратное обеспечение ИТ) в различных отраслях, таких, как производство, коммунальные услуги, электроэнергетика, фармацевтика и связь.

Компания MRO Software — один из ветеранов компьютерной отрасли. Она была основана в 1968 г. (сначала под названием PSDI), и с тех пор ее штаб-квартира размещается в г. Бедфорд (шт. Массачусетс, США). Ее ключевой продукт — Maximo, программная система для управления стратегическими активами и услугами, которую можно использовать совместно с различными ERP-системами. ПО Maximo работает с различными базами данных, включая Oracle, Microsoft SQL Server и IBM DB2. Последняя версия Maximo 6 (известная также под названием MXES) реализована на платформе J2EE в виде SOA-решения (впервые Web-ориентированный вариант этого ПО появился в предыдущей версии, Maximo 5).

В течение 2007 г. корпорация IBM завершала интеграцию приобретенного ПО в свое софтверное семейство. Программа под названием IBM Maximo развивается теперь в составе направления разработки ПО IBM Tivoli.

• Общий каталог по решениям IBM Maximo (545KB)
• Технологии IBM Maximo для повышения гибкости ИТ-инфраструктуры и бизнеса (473KB)
• Управление активами и сервисами для разумных транспортных перевозок (443KB)
• Сервисные услуги IBM по внедрению решений на базе IBM Maximo (271KB)
• Эффективное управление конфигурациями сложных активов (518KB)
• Процессы управления ИТ-активами с применением Tivoli Asset Management for IT – обучение на примере реальных ИТ-процессов (12.27MB)