ตัวควบคุมระบบประปานับพันตัวยังปรากฏให้เห็นทางออนไลน์

งานวิจัยใหม่พบตัวควบคุมอุตสาหกรรม Rockwell Automation กว่า 4,000 ตัวที่เชื่อมต่ออินเทอร์เน็ตโดยตรง หลายตัวเชื่อมโยงกับระบบสาธารณูปโภคด้านน้ำในสหรัฐฯ ในจำนวนอุปกรณ์ที่เปิดเผย 22 ตัวถูกสืบไปยังเมืองที่เคยถูกโจมตีทางไซเบอร์มุ่งเป้าโครงสร้างพื้นฐานด้านน้ำมาแล้ว ข้อค้นพบนี้ตั้งคำถามที่ไม่สบายใจสำหรับภาคส่วนน้ำ: ทำไมหลังจากหลายปีที่มีคำเตือนจากหน่วยงานรัฐ ระบบสำคัญจำนวนมากจึงยังคงปรากฏให้ใครก็ตามที่สแกนอินเทอร์เน็ตเห็นได้

อุปกรณ์ที่เปิดเผยรวมถึงตัวควบคุมลอจิกแบบโปรแกรมได้ (PLC) คอมพิวเตอร์อุตสาหกรรมขนาดเล็กที่ควบคุมกระบวนการทางกายภาพ เช่น แรงดันน้ำ การจ่ายสารเคมี และการทำงานของเครื่องสูบน้ำ อุปกรณ์เหล่านี้ไม่ใช่เครื่องใช้ในบ้านที่อยู่หลังเราเตอร์ที่พักอาศัย แต่ควรถูกแยกไว้บนเครือข่ายภายในที่มีการป้องกัน เข้าถึงได้เฉพาะผู้ปฏิบัติงานที่ได้รับอนุญาตเท่านั้น เมื่อ PLC เชื่อมต่อถึงกันได้จากอินเทอร์เน็ตเปิด มันจะกลายเป็นจุดเข้าที่เป็นไปได้สำหรับใครก็ตามที่มีเครื่องมือและแรงจูงใจที่เหมาะสม ตั้งแต่ผู้สแกนฉวยโอกาสไปจนถึงกลุ่มภัยคุกคามที่มีรัฐหนุนหลัง

ทำไมตัวควบคุมอุตสาหกรรมที่เปิดเผยจึงเป็นปัญหาด้านความเป็นส่วนตัวและความปลอดภัย

มักจะถูกจัดไว้ในหมวด "ความมั่นคงปลอดภัยไซเบอร์เชิงอุตสาหกรรม" แล้วก็ผ่านเลยไป แต่ตัวควบคุมอุตสาหกรรมที่เปิดเผยก่อให้เกิดผลกระทบที่ขยายไปไกลกว่าแผนกไอที ระบบสาธารณูปโภคด้านน้ำถือข้อมูลการดำเนินงาน ข้อมูลบัญชีลูกค้า และรายละเอียดโครงสร้างพื้นฐาน ซึ่งหากถูกเปิดเผยหรือถูกจัดการ จะส่งผลกระทบต่อชุมชนทั้งชุมชน ตัวควบคุมที่ถูกบุกรุกไม่ได้เป็นเพียงความเสี่ยงด้านความเป็นส่วนตัวของข้อมูลเท่านั้น แต่มันเป็นความเสี่ยงด้านความปลอดภัยสาธารณะ เนื่องจากผู้โจมตีที่เข้าถึง PLC ได้ตามทฤษฎีแล้วสามารถเปลี่ยนแปลงกระบวนการบำบัดหรือทำให้บริการหยุดชะงักได้

นี่เป็นเรื่องของความเป็นส่วนตัวในความหมายที่กว้างขึ้นเช่นกัน ลูกค้าของระบบสาธารณูปโภคไม่สามารถมองเห็นได้ว่าโครงสร้างพื้นฐานที่ส่งน้ำให้พวกเขาปลอดภัยหรือไม่ และไม่มีทางเลือกที่มีความหมายในการยกเลิกหากมันไม่ปลอดภัย ต่างจากกรณีที่ผู้ค้าปลีกหรือแพลตฟอร์มโซเชียลมีเดียถูกเจาะข้อมูล เมื่อระบบประปาของเทศบาลของคุณเป็นผู้เดินเครื่องอุปกรณ์ที่เปิดเผย คุณไม่สามารถเปลี่ยนผู้ให้บริการได้ ภาระด้านความเป็นส่วนตัวและความปลอดภัยทั้งหมดตกอยู่กับผู้ดำเนินงานซึ่งตามรายงานวิจัยนี้ไม่ได้ปฏิบัติตามคำแนะนำของรัฐบาลกลางอย่างสม่ำเสมอที่จะนำระบบเหล่านี้ออกจากอินเทอร์เน็ตหรือแบ่งแยกเครือข่ายจากอินเทอร์เน็ตสาธารณะอย่างเหมาะสม

รูปแบบของคำเตือนที่ยังไม่ปิดช่องโหว่

หน่วยงานของรัฐบาลกลางได้ย้ำเตือนระบบสาธารณูปโภคด้านน้ำและผู้ดำเนินงานโครงสร้างพื้นฐานสำคัญอื่นๆ มานานให้ถอดระบบควบคุมอุตสาหกรรมที่หันหน้าสู่อินเทอร์เน็ตออก บังคับใช้การยืนยันตัวตนที่เข้มงวด และแบ่งแยกเครือข่ายเทคโนโลยีปฏิบัติการจากเครือข่ายไอทีขององค์กร แม้จะมีคำแนะนำดังกล่าว การสแกนซึ่งอยู่เบื้องหลังงานวิจัยนี้แสดงให้เห็นว่าปัญหายังคงมีอยู่เป็นวงกว้าง โดยมีตัวควบคุมนับพันตัวที่ยังคงค้นพบได้ด้วยเครื่องมือสแกนอินเทอร์เน็ตพื้นฐานที่ไม่ต้องใช้การเข้าถึงพิเศษหรือความซับซ้อนใดๆ

ข้อเท็จจริงที่ว่าอุปกรณ์ที่ถูกเปิดเผย 22 ตัวตั้งอยู่ในเมืองที่เคยถูกโจมตีระบบน้ำมาแล้วนั้นน่าสังเกตเป็นพิเศษ มันชี้ให้เห็นว่าแม้หลังจากมีเหตุการณ์ที่ดึงดูดความสนใจไปยังสาธารณูปโภคหรือภูมิภาคนั้นๆ การเปิดเผยที่อยู่เบื้องหลังก็ไม่ได้ถูกแก้ไขเสมอไป การตระหนักรู้เพียงอย่างเดียวไม่ได้แปลไปสู่การลงมือ ไม่ว่าจะเป็นเพราะข้อจำกัดด้านงบประมาณ การขาดแคลนบุคลากร หรือความซับซ้อนอย่างยิ่งในการปรับเพิ่มความปลอดภัยให้กับโครงสร้างพื้นฐานที่ไม่เคยถูกออกแบบโดยคำนึงถึงการเชื่อมต่ออินเทอร์เน็ตตั้งแต่แรก

สิ่งนี้สะท้อนรูปแบบที่กว้างขึ้นซึ่งพบเห็นในหลายภาคส่วนที่อยู่ภายใต้แรงกดดันจากภัยคุกคามไซเบอร์ ในภาคสาธารณสุข ตัวอย่างเช่น หน่วยงานต่างๆ จำเป็นต้อง เร่งองค์กรให้แชร์ข้อมูลภัยคุกคามแรนซัมแวร์ อย่างจริงจัง เพราะผู้ดำเนินงานมักไม่เต็มใจเปิดเผยเหตุการณ์ต่างๆ ทำให้ความพยายามป้องกันร่วมกันล่าช้า ระบบสาธารณูปโภคด้านน้ำดูเหมือนกำลังเผชิญช่องว่างที่คล้ายกันระหว่างคำแนะนำที่ออกกับคำแนะนำที่ปฏิบัติตาม และในทั้งสองกรณี ผลลัพธ์คือช่องโหว่คงอยู่นานเกินกว่าที่ควร

สิ่งนี้หมายความอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ใช่ผู้ดำเนินการระบบประปา แต่งานวิจัยนี้ยังคงสำคัญกับทุกคนที่พึ่งพาโครงสร้างพื้นฐานของเทศบาล ซึ่งก็คือเกือบทุกคนนั่นเอง ตัวควบคุมอุตสาหกรรมที่ถูกเปิดเผยแสดงถึงความเสี่ยงเชิงระบบที่ผู้บริโภคแต่ละคนไม่สามารถแก้ไขได้โดยตรงผ่านพฤติกรรมความปลอดภัยส่วนบุคคล เช่น การใช้ VPN หรือรหัสผ่านที่รัดกุม ถึงกระนั้น การตระหนักรู้ก็มีคุณค่า การเข้าใจว่าช่องว่างด้านความปลอดภัยของโครงสร้างพื้นฐานสำคัญมีอยู่จริงสามารถช่วยกำหนดวิธีที่คุณมีส่วนร่วมกับเจ้าหน้าที่ท้องถิ่น คณะกรรมการสาธารณูปโภค และช่วงเวลารับฟังความคิดเห็นสาธารณะซึ่งใช้ตัดสินใจเรื่องการลงทุนในโครงสร้างพื้นฐาน

หากคุณทำงานในหรือเกี่ยวข้องกับสาธารณูปโภคของเทศบาล ระบบบำบัดน้ำ หรือสภาพแวดล้อมเทคโนโลยีปฏิบัติการใดๆ งานวิจัยนี้คือสัญญาณให้ลงมือทันที คำเตือนของรัฐบาลกลางเกี่ยวกับ PLC และระบบควบคุมที่ถูกเปิดเผยไม่ใช่เรื่องสมมติ มันบรรยายถึงการเปิดเผยที่ต่อเนื่องและมีหลักฐาน ซึ่งผู้โจมตีสามารถและได้ใช้ประโยชน์แล้ว

ข้อควรปฏิบัติสำหรับผู้อ่านและผู้ดำเนินการ

สำหรับผู้ดำเนินการสาธารณูปโภคและทีม OT สิ่งที่ต้องทำเร่งด่วนนั้นชัดเจน: ตรวจสอบว่าอุปกรณ์ใดบ้างที่เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ ลบจุดที่เปิดเผยโดยไม่จำเป็น และใช้การแบ่งเครือข่ายระหว่างระบบควบคุมกับส่วนอื่นๆ ทั้งหมด สำหรับผู้อ่านทั่วไป ขั้นตอนที่ดีที่สุดคือขั้นตอนเชิงพลเมือง: ถามหน่วยงานประปาในท้องถิ่นเกี่ยวกับสถานะความมั่นคงปลอดภัยไซเบอร์ของพวกเขา สนับสนุนงบประมาณเพื่อการยกระดับความปลอดภัยของโครงสร้างพื้นฐาน และติดตามข่าวสารเมื่องานวิจัยเช่นนี้ยังคงปรากฏออกมาอีก การเปิดเผยของตัวควบคุมอุตสาหกรรมนับพันตัวจะไม่ปิดลงเอง และการปิดมันต้องอาศัยแรงกดดันอย่างต่อเนื่องทั้งจากหน่วยงานกำกับดูแลและชุมชนที่ระบบเหล่านี้ให้บริการ