CISA bije na poplach kvůli útokům na vodohospodářský sektor
Agentura Spojených států pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) vydala varování před výrazným nárůstem útoků zaměřených na programovatelné logické automaty (PLC) vystavené na internetu, které se používají v sektoru vodovodních a kanalizačních systémů. Tato zařízení jsou digitálními tahouny úpraven vody a distribučních soustav, kde řídí čerpadla, ventily a dávkování chemikálií – to vše zajišťuje nezávadnost pitné vody a správné čištění odpadních vod.
Varování agentury signalizuje, že kybernetičtí útočníci stále častěji zkoumají a zneužívají PLC připojená přímo k internetu, často kvůli pohodlnému vzdálenému monitorování nebo údržbě. Pokud jsou tato průmyslová řídicí zařízení ponechána bez dostatečné ochrany, stávají se snadno dostupným vstupním bodem pro útočníky, kteří se snaží narušit provoz, nikoli ukrást data.
Nejde o okrajovou technickou poznámku. Vodohospodářské a kanalizační podniky patří mezi kritickou infrastrukturu země a varování CISA odráží širší trend: základní služby, které nikdy nebyly navrhovány s ohledem na moderní síťovou bezpečnost, se nyní nacházejí na otevřeném internetu a může je najít kdokoli, kdo skenuje zranitelné porty.
Proč jsou PLC stále častějším terčem
Programovatelné logické automaty byly vyvinuty před desítkami let, aby spolehlivě řídily fyzikální procesy, a ne aby odolávaly kybernetickým útokům. Mnohé z nich stále používají zastaralý firmware, slabá nebo výchozí přihlašovací hesla a postrádají základní autentizační ochranu. Když vodohospodáři modernizovali své provozy a přidali vzdálený přístup pro techniky a inženýry, některé z těchto řídicích jednotek se ocitly přímo dosažitelné z internetu, bez firewallu nebo VPN, který by je chránil.
Útočníci k nalezení těchto systémů nepotřebují sofistikované nástroje. Vyhledávače vytvořené přímo pro vyhledávání zařízení připojených k internetu usnadňují lokalizaci exponovaných PLC. Jakmile jsou objeveny, slabé přihlašovací údaje nebo nezáplatovaný software mohou útočníkovi poskytnout možnost manipulovat s fyzickým zařízením a potenciálně narušit dodávky domácnostem a firmám.
Varování CISA je součástí širšího trendu stále agresivnějších útoků na provozní technologie (OT) napříč sektory kritické infrastruktury. Rezonuje to s obecným vývojem, kdy útočníci nacházejí kreativní cesty, jak se dostat do organizací spravujících základní služby – podobně jako v případech, na které upozornila FBI v souvislosti s kybernetickými útočníky, kteří se fyzicky vydávali za IT pracovníky v advokátních kancelářích. Ať už jde o vystavená hardwarová zařízení, nebo o sociální inženýrství, společným jmenovatelem je to, že útočníci zneužívají nejslabší článek obrany organizace.
Jak útoky na kritickou infrastrukturu souvisejí s vaší domácí sítí
Lze snadno nabýt dojmu, že útoky na řídicí systémy vodáren jsou zcela oddělené od osobní kybernetické bezpečnosti, avšak základní slabiny jsou až pozoruhodně podobné těm, se kterými se mnoho domácností potýká u vlastních routerů, chytrých zařízení a IoT přístrojů.
Stejně jako někteří vodohospodáři vystavili PLC přímo na internet bez náležité ochrany, mnoho spotřebitelů nevědomky dělá to samé s domácími routery, bezpečnostními kamerami a chytrými termostaty. Výchozí hesla, zastaralý firmware a otevřené porty pro vzdálený přístup jsou časté jak u průmyslových řídicích systémů, tak u domácích sítí. Rozsah je jiný, ale samotná zranitelnost – nechráněná zařízení dosažitelná z otevřeného internetu – je tatáž.
Doporučená nápravná opatření CISA pro vodárenské podniky, včetně segmentace sítí, deaktivace nepotřebného vzdáleného přístupu a požadavku na zabezpečená připojení (např. VPN) pro jakoukoli vzdálenou správu, zrcadlí přesně ty rady, které bezpečnostní odborníci dávají majitelům domů. Umístění VPN mezi vzdáleného uživatele a citlivé zařízení – ať už je to řídicí jednotka úpravny vody, nebo domácí bezpečnostní kamera – přidává klíčovou vrstvu autentizace a šifrování, která náhodným útočníkům zabrání jen tak narazit na otevřené dveře.
Co to znamená pro vás
Nejste zodpovědní za zabezpečení úpravny vody, ale toto varování je užitečným zrcadlem pro vaši vlastní síť. Pokud je administrátorské rozhraní vašeho domácího routeru, chytré kamery nebo NAS zařízení dostupné přímo z internetu bez VPN nebo silné autentizace, provozujete menší verzi přesně toho problému, před nímž CISA varuje vodohospodářské podniky.
Dobrou zprávou je, že náprava doma je mnohem jednodušší než dodatečné úpravy desítky let starého průmyslového řídicího systému. Vypnutí funkcí vzdálené správy, které nepoužíváte, změna výchozích přihlašovacích údajů, aktualizace firmwaru a používání VPN pro jakýkoliv vzdálený přístup do domácí sítě – to vše jsou proveditelné kroky, které významně snižují vaše riziko.
Konkrétní tipy k realizaci
Začněte auditem vlastní sítě a vyhledejte zařízení, která mohou být vystavena stejným způsobem jako tato PLC. Přihlaste se do nastavení routeru a vypněte vzdálenou správu, pokud ji výslovně nepotřebujete. Změňte výchozí uživatelská jména a hesla u připojených zařízení, včetně kamer, termostatů a síťových úložišť. Udržujte firmware routeru a IoT zařízení aktuální, protože mnohé zneužívané zranitelnosti jsou ty, pro které již výrobci vydali opravy. Pokud potřebujete vzdáleně přistupovat k domácí síti, použijte VPN, nikoli přímé vystavení administrativního rozhraní zařízení na internetu.
Varování CISA ohledně kybernetických útoků na vodárenské podniky je připomínkou, že kritická infrastruktura a domácí sítě sdílejí tutéž základní slabinu: systémy vystavené na internetu bez náležité ochrany jsou otevřenou pozvánkou. Udělat teď několik praktických kroků může tyto dveře zavřít dříve, než je někdo jiný najde otevřené.
