آلاف متحكمات أنظمة المياه لا تزال مرئية على الإنترنت
بحث جديد يحدد أكثر من 4000 متحكم صناعي من Rockwell Automation متصل مباشرة بالإنترنت، العديد منها مرتبط بمرافق مياه أمريكية. من بين الأجهزة المكشوفة، تم تتبع 22 جهازًا إلى مدن تعرضت بالفعل لهجمات إلكترونية استهدفت البنية التحتية للمياه. تثير هذه النتائج سؤالًا غير مريح لقطاع المياه: لماذا، بعد سنوات من التحذيرات الفيدرالية، لا تزال العديد من الأنظمة الحيوية مرئية لأي شخص يمسح الإنترنت؟
تشمل المعدات المكشوفة متحكمات منطقية قابلة للبرمجة (PLCs)، وهي الحواسيب الصناعية الصغيرة التي تدير العمليات الفيزيائية مثل ضغط المياه، وجرعات المواد الكيميائية، وتشغيل المضخات. هذه ليست أجهزة استهلاكية خلف راوتر منزلي. من المفترض أن تكون معزولة على شبكات داخلية محمية، ولا يمكن الوصول إليها إلا من قبل المشغلين المصرح لهم. عندما يكون متحكم PLC قابلًا للوصول من الإنترنت المفتوح، يصبح نقطة دخول محتملة لأي شخص لديه الأدوات والدوافع المناسبة، من ماسحات الفرص إلى الجهات التهديدية المرتبطة بالدول.
لماذا تشكل المتحكمات الصناعية المكشوفة مشكلة خصوصية وسلامة
من المغري تصنيف هذا تحت "الأمن السيبراني الصناعي" والمضي قدمًا، لكن المتحكمات الصناعية المكشوفة تحمل عواقب تمتد إلى ما هو أبعد من أقسام تقنية المعلومات. تحتفظ مرافق المياه ببيانات تشغيلية، ومعلومات حسابات العملاء، وتفاصيل البنية التحتية التي، إذا تم كشفها أو التلاعب بها، تؤثر على مجتمعات بأكملها. المتحكم المخترق ليس مجرد خطر على خصوصية البيانات؛ إنه خطر على السلامة العامة، حيث يمكن للمهاجمين الذين يصلون إلى PLC، نظريًا، تغيير عمليات المعالجة أو تعطيل الخدمة.
هذه أيضًا قصة خصوصية بمعنى أوسع. عملاء المرافق ليس لديهم رؤية حول ما إذا كانت البنية التحتية التي توصل مياههم آمنة، ولا توجد طريقة ذات معنى للانسحاب إذا لم تكن كذلك. على عكس متجر تجزئة تعرض للاختراق أو منصة تواصل اجتماعي، لا يمكنك تغيير المزود عندما يكون نظام المياه البلدي هو الذي يشغل المعدات المكشوفة. يقع عبء الخصوصية والسلامة بالكامل على عاتق المشغلين الذين، وفقًا لهذا البحث، لم يتبعوا باستمرار التوجيهات الفيدرالية لإخراج هذه الأنظمة من الإنترنت أو تقسيمها بشكل صحيح عن الإنترنت العام.
نمط من التحذيرات لم يسد الفجوة
حثت الوكالات الفيدرالية مرارًا مرافق المياه ومشغلي البنى التحتية الحيوية الآخرين على إزالة أنظمة التحكم الصناعي المواجهة للإنترنت، وفرض مصادقة قوية، وتقسيم شبكات التكنولوجيا التشغيلية عن تقنية المعلومات المؤسسية. على الرغم من هذه التوجيهات، يظهر المسح وراء هذا البحث أن المشكلة مستمرة على نطاق واسع، حيث لا تزال آلاف المتحكمات قابلة للاكتشاف باستخدام أدوات مسح الإنترنت الأساسية التي لا تتطلب وصولًا خاصًا أو تطورًا.
حقيقة أن 22 من الأجهزة المكشوفة تقع في مدن تعرضت بالفعل لهجمات على أنظمة المياه جديرة بالملاحظة بشكل خاص. هذا يشير إلى أنه حتى بعد أن يلفت حادث الانتباه إلى مرفق أو منطقة معينة، لا يتم بالضرورة معالجة التعرض الأساسي. الوعي وحده لا يترجم إلى إجراء، سواء بسبب قيود الميزانية، أو نقص الموظفين، أو التعقيد المطلق لتحديث الأمن على بنية تحتية لم تُصمم أبدًا مع وضع الاتصال بالإنترنت في الاعتبار.
هذا يعكس نمطًا أوسع يُرى عبر القطاعات التي تتعرض لضغوط من التهديدات الإلكترونية. في الرعاية الصحية، على سبيل المثال، اضطرت الوكالات إلى حث المنظمات على مشاركة بيانات تهديدات الفدية لأن المشغلين كانوا تاريخيًا مترددين في الكشف عن الحوادث، مما يبطئ جهود الدفاع الجماعي. يبدو أن مرافق المياه تواجه فجوة مماثلة بين التوجيهات الصادرة والتوجيهات المتبعة، وفي كلتا الحالتين النتيجة هي أن الثغرات الأمنية تستمر لفترة أطول مما ينبغي.
ماذا يعني هذا لك
معظم القراء ليسوا مشغلي أنظمة مياه، لكن هذا البحث لا يزال مهمًا لأي شخص يعتمد على البنية التحتية البلدية، وهذا يشمل الجميع تقريبًا. تمثل المتحكمات الصناعية المكشوفة خطرًا نظاميًا لا يمكن للمستهلكين الأفراد إصلاحه مباشرة من خلال عادات الأمان الشخصية مثل استخدام VPN أو كلمات مرور قوية. ومع ذلك، فإن الوعي له قيمة. فهم وجود ثغرات أمنية في البنية التحتية الحيوية يمكن أن يوجه كيفية تفاعلك مع المسؤولين المحليين، ومجالس المرافق، وفترات التعليق العام حيث تُتخذ قرارات الاستثمار في البنية التحتية.
إذا كنت تعمل في المرافق البلدية أو حولها، أو معالجة المياه، أو أي بيئة تكنولوجيا تشغيلية، فإن هذا البحث هو دعوة مباشرة للعمل. التحذيرات الفيدرالية حول PLCs وأنظمة التحكم المكشوفة ليست افتراضية؛ إنها تصف تعرضًا موثقًا ومستمرًا يمكن للمهاجمين استغلاله ويستغلونه بالفعل.
نقاط رئيسية للقراء والمشغلين
بالنسبة لمشغلي المرافق وفرق التكنولوجيا التشغيلية، الأولويات الفورية واضحة: تدقيق الأجهزة التي يمكن الوصول إليها من الإنترنت العام، وإزالة التعرض غير الضروري، وتنفيذ تقسيم الشبكة بين أنظمة التحكم وكل شيء آخر. بالنسبة للقراء العاديين، أفضل الخطوات هي خطوات مدنية: اسألوا سلطات المياه المحلية عن وضع الأمن السيبراني لديها، وادعموا تمويل ترقيات أمان البنية التحتية، وابقوا على اطلاع مع استمرار ظهور المزيد من الأبحاث مثل هذه. لن يُغلق تعرض آلاف المتحكمات الصناعية من تلقاء نفسه، ويتطلب إغلاقه ضغطًا مستمرًا من كل من الجهات التنظيمية والمجتمعات التي تخدمها هذه الأنظمة.
