Tusindvis af vandsystemcontrollere stadig synlige online
Ny forskning har identificeret mere end 4.000 industrielle controllere fra Rockwell Automation, der er forbundet direkte til internettet, hvoraf mange er knyttet til amerikanske vandforsyningsselskaber. Blandt de eksponerede enheder blev 22 sporet til byer, der allerede har oplevet cyberangreb rettet mod vandinfrastruktur. Fundene rejser et ubehageligt spørgsmål for vandsektoren: Hvorfor er så mange kritiske systemer, efter års føderale advarsler, stadig synlige for alle, der scanner internettet?
Det eksponerede udstyr omfatter programmerbare logiske controllere (PLC’er), de små industrielle computere, der styrer fysiske processer som vandtryk, kemikaliedosering og pumpedrift. Der er ikke tale om forbrugerprodukter, der sidder bag en hjemmerouter. De skal være isoleret på beskyttede interne netværk, kun tilgængelige for autoriserede operatører. Når en PLC kan nås fra det åbne internet, bliver den et potentielt indgangspunkt for alle med de rette værktøjer og motiver – fra opportunistiske scannere til statsrelaterede trusselsaktører.
Hvorfor eksponerede industrielle controllere er et privatlivs- og sikkerhedsproblem
Det er fristende at arkivere dette under “industriel cybersikkerhed” og gå videre, men eksponerede industrielle controllere medfører konsekvenser, der rækker langt ud over it-afdelinger. Vandforsyningsselskaber ligger inde med driftsdata, kundeoplysninger og infrastrukturdetaljer, som – hvis de eksponeres eller manipuleres – påvirker hele lokalsamfund. En kompromitteret controller er ikke blot en databeskyttelsesrisiko; det er en risiko for den offentlige sikkerhed, eftersom angribere, der får adgang til en PLC, i teorien kan ændre renseprocesser eller forstyrre forsyningen.
Dette er også grundlæggende en privatlivshistorie i bredere forstand. Forsyningskunder har ingen indsigt i, om den infrastruktur, der leverer deres vand, er sikker, og ingen meningsfuld mulighed for at fravælge, hvis den ikke er. I modsætning til en forhandler, der har været ramt af et databrud, eller en social medieplatform, kan man ikke skifte udbyder, når det er det kommunale vandsystem, der kører med eksponeret udstyr. Byrden for privatliv og sikkerhed hviler udelukkende på operatørerne, som ifølge denne forskning ikke konsekvent har fulgt føderal vejledning om at tage disse systemer offline eller segmentere dem korrekt fra det offentlige internet.
Et mønster af advarsler, der ikke har lukket hullet
Føderale myndigheder har gentagne gange opfordret vandforsyningsselskaber og andre operatører af kritisk infrastruktur til at fjerne internetvendte industrielle kontrolsystemer, håndhæve stærk autentificering og adskille driftsteknologinetværk fra virksomhedens it-netværk. På trods af denne vejledning viser scanningen bag denne forskning, at problemet fortsætter i stor skala, med tusindvis af controllere, der stadig kan findes ved hjælp af grundlæggende internetscanningsværktøjer, som ikke kræver særlig adgang eller ekspertise.
Det faktum, at 22 af de eksponerede enheder befinder sig i byer, der allerede er blevet ramt af angreb på vandsystemer, er særligt bemærkelsesværdigt. Det tyder på, at selv efter en hændelse, der retter opmærksomheden mod et bestemt forsyningsselskab eller en region, bliver den underliggende eksponering ikke nødvendigvis udbedret. Bevidsthed alene omsættes ikke til handling – hvad enten det skyldes budgetbegrænsninger, personalemangel eller den rene kompleksitet i at eftermontere sikkerhed på infrastruktur, der aldrig er designet med internetforbindelse for øje.
Dette afspejler et bredere mønster, der ses på tværs af sektorer, som er under pres fra cybertrusler. Inden for sundhedssektoren har myndigheder for eksempel måttet aktivt opfordre organisationer til at dele data om ransomwaretrusler, fordi operatører historisk set har været tilbageholdende med at oplyse om hændelser, hvilket sinker den kollektive indsats for forsvar. Vandforsyningsselskaber ser ud til at stå over for en lignende kløft mellem udstedt vejledning og fulgt vejledning, og i begge tilfælde er resultatet, at sårbarheder forbliver længere, end de burde.
Hvad dette betyder for dig
De fleste læsere er ikke operatører af vandsystemer, men denne forskning har alligevel betydning for alle, der er afhængige af kommunal infrastruktur – og det er næsten alle. Eksponerede industrielle controllere repræsenterer en systemisk risiko, som den enkelte forbruger ikke direkte kan afhjælpe gennem personlige sikkerhedsvaner som brug af en VPN eller stærke adgangskoder. Når det er sagt, har bevidsthed værdi. At forstå, at der findes sikkerhedshuller i kritisk infrastruktur, kan påvirke, hvordan du engagerer dig med lokale embedsmænd, forsyningsbestyrelser og offentlige høringsperioder, hvor beslutninger om infrastrukturinvesteringer træffes.
Hvis du arbejder i eller omkring kommunale forsyningsselskaber, vandbehandling eller ethvert driftsteknologisk miljø, er denne forskning en direkte opfordring til handling. Føderale advarsler om eksponerede PLC’er og kontrolsystemer er ikke hypotetiske; de beskriver en dokumenteret, igangværende eksponering, som angribere kan og vil udnytte.
Pointer til læsere og operatører
For forsyningsoperatører og OT-teams er de umiddelbare prioriteter klare: auditer, hvilke enheder der kan nås fra det offentlige internet, fjern unødvendig eksponering, og implementer netværkssegmentering mellem kontrolsystemer og alt andet. For almindelige læsere er de bedste skridt borgerlige: spørg de lokale vandmyndigheder om deres cybersikkerhedsposition, støt finansiering af infrastruktursikkerhedsopgraderinger, og hold dig informeret, efterhånden som mere forskning som denne fortsat kommer frem. Eksponeringen af tusindvis af industrielle controllere lukker ikke af sig selv, og at lukke den kræver vedvarende pres fra både tilsynsmyndigheder og de lokalsamfund, disse systemer betjener.
