Badania wykazały ponad 4000 odsłoniętych sterowników systemów wodnych

Tysiące sterowników systemów wodnych wciąż widocznych online

Nowe badania zidentyfikowały ponad 4000 sterowników przemysłowych Rockwell Automation podłączonych bezpośrednio do internetu, wiele z nich związanych z amerykańskimi zakładami wodociągowymi. Wśród odsłoniętych urządzeń 22 przypisano do miast, które już doświadczyły cyberataków wymierzonych w infrastrukturę wodną. Wyniki te stawiają przed sektorem wodnym niewygodne pytanie: dlaczego, po latach federalnych ostrzeżeń, tak wiele systemów krytycznych wciąż jest widocznych dla każdego, kto skanuje internet?

Odsłonięty sprzęt obejmuje programowalne sterowniki logiczne (PLC), czyli niewielkie komputery przemysłowe zarządzające procesami fizycznymi, takimi jak ciśnienie wody, dozowanie chemikaliów czy praca pomp. Nie są to urządzenia konsumenckie stojące za domowym routerem. Powinny być odizolowane w chronionych sieciach wewnętrznych, dostępne wyłącznie dla upoważnionych operatorów. Gdy PLC jest osiągalny z otwartego internetu, staje się potencjalnym punktem wejścia dla każdego, kto dysponuje odpowiednimi narzędziami i motywacją – od okazjonalnych skanerów po ugrupowania powiązane z państwami.

Dlaczego odsłonięte sterowniki przemysłowe stanowią problem prywatności i bezpieczeństwa

Kuszące jest zakwalifikowanie tego jako „cyberbezpieczeństwa przemysłowego” i przejście dalej, ale odsłonięte sterowniki przemysłowe niosą ze sobą konsekwencje wykraczające daleko poza działy IT. Zakłady wodociągowe przechowują dane operacyjne, informacje o klientach i szczegóły infrastruktury, które – jeśli zostaną ujawnione lub zmanipulowane – dotykają całych społeczności. Przejęty sterownik to nie tylko ryzyko dla prywatności danych; to zagrożenie dla bezpieczeństwa publicznego, ponieważ atakujący, którzy uzyskają dostęp do PLC, mogą teoretycznie zmienić procesy uzdatniania wody lub zakłócić jej dostawy.

Jest to również fundamentalnie kwestia prywatności w szerszym ujęciu. Odbiorcy usług nie mają wglądu w to, czy infrastruktura dostarczająca im wodę jest bezpieczna, ani realnej możliwości rezygnacji, jeśli nie jest. W przeciwieństwie do naruszenia w sklepie internetowym czy na platformie mediów społecznościowych, nie można zmienić dostawcy, gdy to miejski system wodociągowy obsługuje odsłonięty sprzęt. Ciężar prywatności i bezpieczeństwa spada w całości na operatorów, którzy – jak wynika z tych badań – nie stosowali się konsekwentnie do federalnych zaleceń, by odłączyć te systemy od internetu lub odpowiednio oddzielić je od sieci publicznej.

Schemat ostrzeżeń, które nie załatały luki

Agencje federalne wielokrotnie wzywały zakłady wodociągowe i innych operatorów infrastruktury krytycznej do usunięcia dostępnych z internetu przemysłowych systemów sterowania, egzekwowania silnego uwierzytelniania oraz oddzielenia sieci technologii operacyjnych od korporacyjnej IT. Mimo tych wytycznych, skanowanie, na którym opierają się te badania, pokazuje, że problem utrzymuje się na dużą skalę – tysiące sterowników wciąż można wykryć za pomocą podstawowych narzędzi do skanowania internetu, które nie wymagają specjalnego dostępu ani zaawansowania.

Szczególnie godny uwagi jest fakt, że 22 odsłonięte urządzenia znajdują się w miastach, które już wcześniej padły ofiarą ataków na systemy wodne. Sugeruje to, że nawet po incydencie, który zwraca uwagę na konkretny zakład czy region, zasadnicza luka niekoniecznie zostaje usunięta. Sama świadomość nie przekłada się na działanie, czy to z powodu ograniczeń budżetowych, braków kadrowych, czy czystej złożoności dostosowywania zabezpieczeń do infrastruktury, która nigdy nie była projektowana z myślą o łączności internetowej.

Odzwierciedla to szerszy schemat obserwowany w sektorach nękanych przez cyberzagrożenia. Na przykład w ochronie zdrowia agencje musiały aktywnie wzywać organizacje do dzielenia się danymi o zagrożeniach ransomware, ponieważ operatorzy historycznie niechętnie ujawniali incydenty, spowalniając wysiłki w zakresie zbiorowej obrony. Wydaje się, że zakłady wodociągowe stoją przed podobną rozbieżnością między wydanymi wytycznymi a ich przestrzeganiem, a w obu przypadkach skutkiem jest utrzymywanie się podatności dłużej, niż powinny.

Co to oznacza dla Ciebie

Większość czytelników nie jest operatorami systemów wodnych, ale te badania mają znaczenie dla każdego, kto polega na infrastrukturze komunalnej – a więc niemal dla wszystkich. Odsłonięte sterowniki przemysłowe stanowią ryzyko systemowe, którego indywidualni konsumenci nie mogą bezpośrednio naprawić poprzez osobiste nawyki bezpieczeństwa, takie jak używanie VPN czy silnych haseł. Niemniej jednak świadomość ma wartość. Zrozumienie, że istnieją luki w zabezpieczeniach infrastruktury krytycznej, może wpłynąć na to, jak angażujesz się w kontakt z lokalnymi władzami, zarządami zakładów wodociągowych i okresami konsultacji publicznych, podczas których podejmowane są decyzje o inwestycjach infrastrukturalnych.

Jeśli pracujesz w lub wokół zakładów komunalnych, uzdatniania wody lub jakiegokolwiek środowiska technologii operacyjnych, te badania są bezpośrednim wezwaniem do działania. Federalne ostrzeżenia dotyczące odsłoniętych sterowników PLC i systemów sterowania nie są hipotetyczne; opisują udokumentowane, trwające narażenie, które atakujący mogą i wykorzystują.

Wnioski dla czytelników i operatorów

Dla operatorów zakładów użyteczności publicznej i zespołów OT natychmiastowe priorytety są jasne: przeprowadzić audyt urządzeń dostępnych z publicznego internetu, usunąć zbędne ekspozycje i wdrożyć segmentację sieci między systemami sterowania a całą resztą. Dla zwykłych czytelników najlepsze kroki to te obywatelskie: zapytać lokalne władze wodociągowe o ich postawę w zakresie cyberbezpieczeństwa, wspierać finansowanie modernizacji zabezpieczeń infrastruktury i być na bieżąco, w miarę jak pojawia się więcej takich badań. Ekspozycja tysięcy sterowników przemysłowych nie zamknie się sama, a jej usunięcie wymaga stałego nacisku zarówno ze strony regulatorów, jak i społeczności, którym te systemy służą.