Тисячі контролерів водопостачальних систем досі видно в інтернеті

Нове дослідження виявило понад 4 000 промислових контролерів Rockwell Automation, під’єднаних безпосередньо до інтернету, багато з яких пов’язані з водоканалами США. 22 із цих незахищених пристроїв вдалося відстежити до міст, які вже зазнавали кібератак на водну інфраструктуру. Отримані дані порушують незручне для водного сектору питання: чому після багатьох років федеральних попереджень така кількість критичних систем досі залишається видимою для будь-кого, хто сканує інтернет?

До незахищеного обладнання належать програмовані логічні контролери (ПЛК) — невеликі промислові комп’ютери, які керують фізичними процесами, як-от тиск води, дозування хімікатів та робота насосів. Це не споживчі пристрої, заховані за домашнім роутером. Вони мають бути ізольовані в захищених внутрішніх мережах і доступні лише авторизованим операторам. Якщо ПЛК доступний із відкритого інтернету, він стає потенційною точкою входу для будь-кого, хто має відповідні інструменти та мотивацію, — від випадкових сканерів до пов’язаних із державами зловмисників.

Чому відкриті промислові контролери становлять проблему для приватності та безпеки

Легко віднести це до категорії «промислова кібербезпека» та рухатися далі, але відкриті промислові контролери спричиняють наслідки, які виходять далеко за межі ІТ-відділів. Водоканали зберігають операційні дані, інформацію про клієнтські облікові записи та інфраструктурні деталі, які у випадку витоку або маніпуляцій впливають на цілі громади. Скомпрометований контролер — це не лише ризик для приватності даних; це ризик для громадської безпеки, адже зловмисники, отримавши доступ до ПЛК, теоретично можуть змінити процеси очищення води або порушити її постачання.

По суті, це також історія про приватність у ширшому розумінні. Споживачі комунальних послуг жодним чином не бачать, чи є інфраструктура, що доставляє їм воду, захищеною, і не мають змоги відмовитися, якщо це не так. На відміну від скомпрометованого інтернет-магазину чи соціальної мережі, змінити постачальника неможливо, коли саме ваша міська водна система експлуатує відкрите обладнання. Тягар забезпечення приватності та безпеки цілком лягає на операторів, які, згідно з цим дослідженням, далеко не завжди виконують федеральні рекомендації щодо вимкнення цих систем з інтернету або належного відокремлення їх від публічної мережі.

Постійні попередження, які не усунули розрив

Федеральні агентства неодноразово закликали водоканали та інших операторів критичної інфраструктури прибрати з інтернету промислові системи керування, запровадити надійну автентифікацію та сегментувати технологічні мережі від корпоративних ІТ-систем. Попри ці рекомендації, результати сканування, покладені в основу дослідження, свідчать, що проблема й надалі існує в широкому масштабі: тисячі контролерів досі можна виявити за допомогою базових інструментів сканування інтернету, які не потребують особливого доступу чи технічної підготовки.

Особливо примітним є той факт, що 22 незахищені пристрої розташовані в містах, які вже зазнавали атак на водні системи. Це свідчить, що навіть після того, як інцидент привертає увагу до конкретного комунального підприємства чи регіону, вразливість не обов’язково усувають. Сама лише обізнаність не перетворюється на дії — чи через бюджетні обмеження, нестачу персоналу, чи через надзвичайну складність додавання засобів безпеки до інфраструктури, яка ніколи не проєктувалася з розрахунком на під’єднання до інтернету.

Це віддзеркалює ширшу тенденцію, що спостерігається в секторах, які постійно зазнають кіберзагроз. У сфері охорони здоров’я, наприклад, агентствам довелося активно закликати організації ділитися даними про загрози програм-вимагачів, оскільки оператори історично неохоче повідомляли про інциденти, що уповільнювало колективний захист. Схоже, що водоканали теж стикаються з розривом між наданими рекомендаціями та їх виконанням, і в обох випадках результатом є те, що вразливості залишаються довше, ніж мали б.

Що це означає для вас

Більшість читачів не є операторами водних систем, але результати цього дослідження все одно важливі для кожного, хто покладається на муніципальну інфраструктуру, — а це майже всі. Відкриті промислові контролери становлять системний ризик, який окремі споживачі не можуть усунути власними звичками безпеки, як-от використання VPN або надійних паролів. Утім, обізнаність має значення. Розуміння того, що в безпеці критичної інфраструктури існують прогалини, може вплинути на вашу взаємодію з місцевими посадовцями, радами комунальних підприємств та публічними обговореннями, де ухвалюють рішення про інвестиції в інфраструктуру.

Якщо ви працюєте в муніципальних комунальних підприємствах, на водоочисних спорудах або в будь-якому середовищі операційних технологій, це дослідження є прямим закликом до дії. Федеральні попередження щодо відкритих ПЛК і систем керування не є гіпотетичними — вони описують задокументовану, триваючу вразливість, якою зловмисники можуть і справді користуються.

Висновки для читачів та операторів

Для операторів комунальних підприємств і команд ОТ нагальними пріоритетами є: перевірити, які пристрої доступні з публічного інтернету, усунути зайве відкриття та забезпечити мережеву сегментацію між системами керування й усім іншим. Для пересічних читачів найкращі кроки — громадянські: запитати місцеві водоканали про їхній стан кібербезпеки, підтримати фінансування модернізації безпеки інфраструктури та залишатися поінформованими, коли з’являтимуться подібні дослідження. Відкритість тисяч промислових контролерів не зникне сама собою, і для її усунення потрібен постійний тиск як із боку регуляторів, так і з боку громад, які ці системи обслуговують.