Pod koniec lipca amerykańskie wodociągi i oczyszczalnie ścieków stały się celem serii cyberataków wymierzonych bezpośrednio w systemy sterowania.
30 lipca FBI oraz amerykańska Agencja Ochrony Środowiska (EPA) opublikowały wspólny alert dotyczący tej kampanii. Od 27 lipca incydenty zgłosiły przedsiębiorstwa wodociągowe i kanalizacyjne w co najmniej siedmiu stanach USA.
Ataki dotyczyły sterowników Rockwell Automation / Allen-Bradley MicroLogix 1100 i 1400 dostępnych bezpośrednio z Internetu.
Dostęp bezpośrednio do sterowników
Po uzyskaniu dostępu atakujący zmieniali konfigurację PLC – między innymi adresy IP oraz hasła. Operatorzy tracili możliwość monitorowania urządzeń, a w części przypadków również sterowania nimi.
Co najmniej jedna z zaatakowanych organizacji wykryła także różnice w logice drabinkowej oraz zmodyfikowane pliki projektu PLC.
FBI informuje również o utracie ciśnienia w sieci wodociągowej oraz zalaniu. Spadek ciśnienia może dodatkowo zwiększyć ryzyko przedostania się zanieczyszczonej wody gruntowej do instalacji.
Mamy tutaj bezpośrednią ingerencję w urządzenia odpowiedzialne za proces technologiczny. Zmiana konfiguracji sterownika może przełożyć się na pracę pomp, zaworów i pozostałych elementów instalacji.
FBI i EPA zalecają usunięcie bezpośredniego dostępu PLC z Internetu oraz realizowanie zdalnego dostępu przez odpowiednio zabezpieczone rozwiązania pośrednie. W rekomendacjach znalazły się również zapory sieciowe, listy kontroli dostępu, silne i unikalne hasła oraz monitorowanie połączeń.
Osobno zwrócono uwagę na modemy komórkowe wykorzystywane do komunikacji z obiektami terenowymi. Są one powszechne w rozproszonych instalacjach wodociągowych, a niewłaściwa konfiguracja może zapewnić dostęp z Internetu bezpośrednio do urządzenia sterującego. FBI wskazuje między innymi na wykorzystanie prywatnych APN i VPN.
Sterownik PLC nie powinien być dostępny bezpośrednio z Internetu. W tym przypadku właśnie taka dostępność była jednym z podstawowych warunków umożliwiających przeprowadzenie ataku.
Dostawcy i powtarzalne konfiguracje
FBI wskazuje, że u kilku ofiar występowały podobieństwa w konfiguracji sieci dostarczonej przez podmioty trzecie. Według agencji może to pozwalać atakującym powtarzać skuteczny scenariusz przeciwko kolejnym organizacjom wykorzystującym tę samą podatną konfigurację sprzętu i sieci.
W mniejszych przedsiębiorstwach wodociągowych automatyka, komunikacja z obiektami terenowymi czy zdalny dostęp są często projektowane i wdrażane przez zewnętrznych integratorów. Jeżeli podobna konfiguracja jest stosowana u wielu klientów, ten sam błąd architektoniczny również może występować w wielu instalacjach.
Ten sam model sterownika, podobna konfiguracja sieci czy te same dostępne usługi mogą więc powodować, że skuteczny sposób ataku da się zastosować również w innych obiektach.
Nie ma natomiast potwierdzenia, że wybór celów był wynikiem wycieku danych konkretnego dostawcy. Oficjalny komunikat FBI mówi o podobieństwach w konfiguracjach dostarczanych przez firmy zewnętrzne.
Nierozstrzygnięta pozostaje również atrybucja samych ataków. Industrial Cyber zwraca uwagę, że cztery dni przed rozpoczęciem aktywności w Minnesocie CISA zaktualizowała alert dotyczący szerszej kampanii ataków na PLC, wiązanej z aktorami powiązanymi z Iranem. Nie oznacza to jednak potwierdzenia, że ta sama grupa odpowiadała za opisane tutaj incydenty.
Przygotowanie procesu na utratę automatyki
Rekomendacje FBI dotyczą również samych sterowników. PLC powinny pozostawać w trybie ograniczającym możliwość nieautoryzowanej zmiany programu, jeżeli nie są prowadzone prace serwisowe. Organizacje powinny także porównywać działającą logikę ze znaną poprawną wersją oraz sprawdzać kopie zapasowe przed ich ponownym wgraniem.
FBI i EPA zalecają również ćwiczenie możliwości przejścia na sterowanie ręczne oraz testowanie planów ciągłości działania i systemów zapasowych.
W praktyce dostępność procesu nie zależy więc wyłącznie od możliwości odtworzenia programu PLC. Potrzebny jest również personel, który potrafi bezpiecznie prowadzić instalację w sytuacji, gdy automatyka nie działa prawidłowo albo informacje prezentowane w systemie SCADA nie są wiarygodne.
A jak wyglądałoby to w Polsce?
Wyobraźmy sobie gminny wodociąg. Automatyka działa od wielu lat, system dostarczył zewnętrzny integrator, a część obiektów terenowych komunikuje się przez modemy komórkowe. Kto odpowiada tam za cyberbezpieczeństwo?
Rekomendacje FBI są zgodne z podstawowymi zasadami cyberbezpieczeństwa OT. Ich wdrożenie wymaga jednak odpowiednich kompetencji, czasu i budżetu. W dużym zakładzie przemysłowym mogą istnieć wydzielone zespoły bezpieczeństwa i automatyki, segmentacja sieci oraz monitoring OT. W niewielkim przedsiębiorstwie komunalnym możliwości są zwykle znacznie bardziej ograniczone.
W takim środowisku dobrze zacząć od sprawdzenia, czy którekolwiek z urządzeń sterujących jest dostępne bezpośrednio z Internetu.
Jeżeli organizacja nie zna odpowiedzi na to pytanie, najpierw trzeba ustalić rzeczywistą architekturę zdalnego dostępu. Jeżeli takie połączenie istnieje, należy sprawdzić, dlaczego zostało skonfigurowane w ten sposób i czym można je zastąpić.
Źródła: FBI, Malicious Cyber Actors Targeting Water and Wastewater Sector · Industrial Cyber, Inside the Minnesota water attacks
