Tusenvis av kontrollere for vannsystemer fortsatt synlige på nett
Ny forskning har identifisert over 4 000 industrielle kontrollere fra Rockwell Automation som er koblet direkte til internett, mange av dem knyttet til amerikanske vannverk. Blant de eksponerte enhetene ble 22 sporet til byer som allerede har opplevd cyberangrep mot vanninfrastruktur. Funnene reiser et ubehagelig spørsmål for vannsektoren: Hvorfor er så mange kritiske systemer fortsatt synlige for alle som skanner internett, til tross for årevis med føderale advarsler?
Det eksponerte utstyret omfatter programmerbare logiske kontrollere (PLSer), de små industrielle datamaskinene som styrer fysiske prosesser som vanntrykk, kjemisk dosering og pumpedrift. Dette er ikke forbrukerenheter som står bak en hjemmeruter. De skal være isolert på beskyttede interne nettverk, kun tilgjengelige for autoriserte operatører. Når en PLC er tilgjengelig fra det åpne internett, blir den et potensielt inngangspunkt for alle med de rette verktøyene og motivasjonen, fra opportunistiske skannere til statlige trusselaktører.
Hvorfor eksponerte industrielle kontrollere er et personvern- og sikkerhetsproblem
Det er fristende å arkivere dette under «industriell cybersikkerhet» og gå videre, men eksponerte industrielle kontrollere har konsekvenser som strekker seg langt utover IT-avdelinger. Vannverk sitter på driftsdata, kundekontoinformasjon og infrastrukturdetaljer som, hvis de eksponeres eller manipuleres, påvirker hele lokalsamfunn. En kompromittert kontroller er ikke bare en personvernrisiko; det er en offentlig sikkerhetsrisiko, siden angripere som får tilgang til en PLC i teorien kan endre renseprosesser eller forstyrre tjenesten.
Dette er også grunnleggende sett en personvernsak i bredere forstand. Kunder av vannverk har ingen innsyn i om infrastrukturen som leverer vannet deres er sikker, og ingen meningsfull måte å reservere seg mot det hvis den ikke er det. I motsetning til hos en kompromittert forhandler eller en sosial medieplattform, kan du ikke bytte leverandør når ditt kommunale vannsystem er den som kjører eksponert utstyr. Personvern- og sikkerhetsbyrden faller utelukkende på operatørene som, ifølge denne forskningen, ikke konsekvent har fulgt føderal veiledning om å ta disse systemene offline eller segmentere dem skikkelig fra det offentlige internett.
Et mønster av advarsler som ikke har tettet gapet
Føderale myndigheter har gjentatte ganger oppfordret vannverk og andre kritisk infrastrukturoperatører til å fjerne internettvendte industrielle kontrollsystemer, håndheve sterk autentisering og segmentere operasjonelle teknologinettverk fra bedriftens IT. Til tross for denne veiledningen, viser skanningen bak denne forskningen at problemet vedvarer i stor skala, med tusenvis av kontrollere som fortsatt kan oppdages ved hjelp av enkle internettskanningsverktøy som ikke krever spesiell tilgang eller sofistikering.
Det faktum at 22 av de eksponerte enhetene befinner seg i byer som allerede har blitt rammet av angrep på vannsystemer, er spesielt bemerkelsesverdig. Det antyder at selv etter at en hendelse retter oppmerksomhet mot et bestemt vannverk eller en region, blir den underliggende eksponeringen ikke nødvendigvis utbedret. Bevissthet alene blir ikke omsatt til handling, enten det skyldes budsjettbegrensninger, bemanningsmangel eller den store kompleksiteten ved å ettermontere sikkerhet på infrastruktur som aldri ble designet med internettilkobling i tankene.
Dette speiler et bredere mønster sett på tvers av sektorer som er under press fra cybertrusler. I helsesektoren har myndighetene for eksempel aktivt måttet oppfordre organisasjoner til å dele data om løsepengevaretrusler fordi operatører historisk sett har vært motvillige til å varsle om hendelser, noe som har bremset det kollektive forsvarsarbeidet. Vannverk ser ut til å stå overfor et lignende gap mellom veiledning gitt og veiledning fulgt, og i begge tilfeller er resultatet at sårbarheter vedvarer lenger enn de burde.
Hva dette betyr for deg
De fleste lesere er ikke vannverksoperatører, men denne forskningen er likevel viktig for alle som er avhengige av kommunal infrastruktur – det vil si nesten alle. Eksponerte industrielle kontrollere representerer en systemrisiko som enkeltforbrukere ikke kan løse direkte gjennom personlige sikkerhetsvaner som bruk av VPN eller sterke passord. Når det er sagt, er bevissthet verdifullt. Å forstå at kritiske infrastruktursikkerhetshull eksisterer, kan påvirke hvordan du engasjerer deg med lokale myndigheter, styrer for vannverk og offentlige høringsperioder der investeringsbeslutninger for infrastruktur tas.
Hvis du jobber i eller i nærheten av kommunale vannverk, vannbehandling eller et hvilket som helst operasjonsteknologisk miljø, er denne forskningen en direkte oppfordring til handling. Føderale advarsler om eksponerte PLSer og kontrollsystemer er ikke hypotetiske; de beskriver en dokumentert, pågående eksponering som angripere kan og vil utnytte.
Lærdommer for lesere og operatører
For operatører av vannverk og OT-team er de umiddelbare prioriteringene klare: kartlegg hvilke enheter som er tilgjengelige fra det offentlige internett, fjern unødvendig eksponering og implementer nettverkssegmentering mellom kontrollsystemer og alt annet. For vanlige lesere er de beste skrittene av samfunnsmessig art: spør lokale vannmyndigheter om deres cybersikkerhetsstilling, støtt finansiering av oppgraderinger av infrastruktursikkerhet og hold deg informert etter hvert som mer forskning som dette fortsetter å komme til overflaten. Eksponeringen av tusenvis av industrielle kontrollere vil ikke lukke seg av seg selv, og for å lukke den kreves det vedvarende press fra både tilsynsmyndigheter og lokalsamfunnene disse systemene betjener.
