Több ezer vízügyi vezérlő még mindig látható online

Új kutatás több mint 4000 Rockwell Automation ipari vezérlőt azonosított, amelyek közvetlenül az internetre csatlakoznak, és sok közülük amerikai víziközművekhez köthető. A kitett eszközök közül 22 olyan városokhoz volt köthető, amelyek már elszenvedtek vízi infrastruktúrát célzó kibertámadásokat. Az eredmények kényelmetlen kérdést vetnek fel a vízügyi ágazat számára: a szövetségi figyelmeztetések évek óta tartó sorozata után miért látható még mindig ennyi kritikus rendszer bárki számára, aki az internetet pásztázza?

A kitett berendezések közé tartoznak a programozható logikai vezérlők (PLC-k), azok a kis ipari számítógépek, amelyek a fizikai folyamatokat, például a víznyomást, a vegyszeradagolást és a szivattyúk működését irányítják. Ezek nem otthoni router mögött ülő fogyasztói eszközök. Elkülönített, védett belső hálózatokon kellene lenniük, csak engedélyezett kezelők számára hozzáférhetően. Amikor egy PLC a nyílt internetről elérhető, potenciális belépési ponttá válik bárki számára, aki rendelkezik a megfelelő eszközökkel és motivációval, az alkalmi szkennelőktől az állami hátterű fenyegető szereplőkig.

Miért jelentenek a kitett ipari vezérlők adatvédelmi és biztonsági problémát?

Csábító ezt az „ipari kiberbiztonság" kategóriába sorolni és továbblépni, ám a kitett ipari vezérlőknek messze az informatikai osztályokon túlmutató következményei vannak. A víziközművek üzemeltetési adatokat, ügyfél-fiókinformációkat és infrastrukturális részleteket tárolnak, amelyek kiszivárgása vagy manipulálása egész közösségeket érint. Egy kompromittált vezérlő nem csupán adatvédelmi kockázat, hanem közbiztonsági kockázat is, mivel a PLC-hez hozzáférő támadók elméletileg módosíthatják a kezelési folyamatokat vagy megzavarhatják a szolgáltatást.

Ez alapvetően tágabb értelemben is adatvédelmi történet. A közműfogyasztók nem látnak rá, hogy az ivóvizüket szolgáltató infrastruktúra biztonságos-e, és nincs értelmes lehetőségük a lemondásra, ha nem az. Egy feltört kiskereskedővel vagy közösségi média platformmal ellentétben itt nincs szolgáltatóváltás, ha a települési vízrendszer üzemeltet kitett berendezéseket. Az adatvédelmi és biztonsági teher teljes egészében az üzemeltetőkre hárul, akik a kutatás szerint nem követték következetesen a szövetségi útmutatást, hogy ezeket a rendszereket levegyék az internetről, vagy megfelelően szegmentálják a nyilvános internettől.

Figyelmeztetések sorozata, amelyek nem zárták be a rést

A szövetségi ügynökségek ismételten sürgették a víziközműveket és más kritikus infrastruktúra-üzemeltetőket, hogy távolítsák el az internetre néző ipari vezérlőrendszereket, kényszerítsenek ki erős hitelesítést, és szegmentálják az üzemeltetési technológiai hálózatokat a vállalati informatikától. Ezen útmutatások ellenére a kutatás mögött álló szkennelés azt mutatja, hogy a probléma továbbra is nagy léptékben fennáll, több ezer vezérlő továbbra is felfedezhető alapvető internetes szkennelőeszközökkel, amelyek nem igényelnek különleges hozzáférést vagy kifinomultságot.

Különösen figyelemre méltó, hogy a kitett eszközök közül 22 olyan városokban található, amelyeket már korábban is értek vízrendszerek elleni támadások. Ez arra utal, hogy még azután sem feltétlenül orvosolják az alapvető kitettséget, hogy egy incidens ráirányította a figyelmet egy adott közműre vagy régióra. A tudatosság önmagában nem válik cselekvéssé, akár költségvetési korlátok, személyzethiány, vagy annak puszta bonyolultsága miatt, hogy utólag kell biztonságot beépíteni olyan infrastruktúrába, amelyet soha nem internetkapcsolatra terveztek.

Ez egy szélesebb mintát tükröz, amely a kiberfenyegetések által sújtott ágazatokban látható. Az egészségügyben például a hatóságoknak aktívan felszólították a szervezeteket, hogy osszák meg a zsarolóvírus-fenyegetési adatokat, mivel az üzemeltetők hagyományosan vonakodtak bejelenteni az incidenseket, lelassítva a kollektív védelmi erőfeszítéseket. A víziközművek esetében hasonló szakadék tátong a kiadott útmutatás és annak követése között, és mindkét esetben az az eredmény, hogy a sebezhetőségek a szükségesnél tovább maradnak fenn.

Mit jelent ez Önnek?

A legtöbb olvasó nem vízrendszer-üzemeltető, de a kutatás mégis számít mindenkinek, aki a települési infrastruktúrától függ – ami szinte mindenki. A kitett ipari vezérlők olyan rendszerszintű kockázatot jelentenek, amelyet az egyéni fogyasztók nem tudnak közvetlenül orvosolni olyan személyes biztonsági szokásokkal, mint a VPN vagy az erős jelszavak használata. Ennek ellenére a tudatosság értékes. Ha megértjük, hogy léteznek kritikus infrastrukturális biztonsági hiányosságok, az befolyásolhatja, hogyan lépünk kapcsolatba a helyi tisztviselőkkel, a közműbizottságokkal és a nyilvános véleményezési időszakokkal, ahol az infrastrukturális beruházásokról döntenek.

Ha Ön települési közműveknél, vízkezelésnél vagy bármilyen üzemeltetéstechnológiai környezetben dolgozik, ez a kutatás közvetlen cselekvésre szólít fel. A kitett PLC-kkel és vezérlőrendszerekkel kapcsolatos szövetségi figyelmeztetések nem elméletiek; egy dokumentált, folyamatos kitettséget írnak le, amelyet a támadók kihasználhatnak és ki is használnak.

Tanulságok olvasók és üzemeltetők számára

A közmű-üzemeltetők és az OT-csapatok számára az azonnali prioritások egyértelműek: vizsgálják át, mely eszközök érhetők el a nyilvános internetről, szüntessék meg a felesleges kitettséget, és vezessék be a hálózati szegmentációt a vezérlőrendszerek és minden más között. A hétköznapi olvasók számára a legjobb lépések állampolgári jellegűek: kérdezzék meg a helyi vízszolgáltatókat kiberbiztonsági helyzetükről, támogassák az infrastrukturális biztonsági fejlesztések finanszírozását, és maradjanak tájékozottak, amint további hasonló kutatások kerülnek napvilágra. A több ezer ipari vezérlő kitettsége nem szűnik meg magától, a megszüntetéshez mind a szabályozók, mind az e rendszerek által kiszolgált közösségek tartós nyomására van szükség.