Udelukkelsen kom fra udstyret selv

I nætterne mellem den 26. og 27. juli ville en operatør i Minnesota ændre en indstilling på et vandværks styring og opdagede, at adgangskoden ikke længere var hans. I samme tidsrum blev over 30 kommunale vand- og spildevandsanlæg ramt i hele delstaten. Minnesota var blot den første til at sige det offentligt. Ved ugens udgang havde FBI meldinger fra selskaber i mindst syv delstater, og i den fælles meddelelse med miljømyndigheden EPA den 30. juli noterede den, at en del af aktiviteten forringede vanddriften.

Det er værd at sige præcist, hvad gerningsmændene gjorde, for det ligner ikke det, de fleste forestiller sig ved ordet indbrud. Da de havde nået styringer, der var tilgængelige fra internettet, ændrede de enhedernes IP-adresser og slog derefter adgangskoder til og satte dem. FBI beskriver resultatet som tab af overblik og i nogle tilfælde tab af funktion i det tilsluttede anlæg. Intet blev krypteret, og der blev ikke krævet løsepenge. Selskaberne beholdt hver eneste fil, de havde. Det, de mistede, var evnen til at tale med deres egne maskiner. Blandt de virkninger, der blev meldt til FBI, var tryktab og oversvømmelser, og operatørerne gik tilbage til at køre anlæggene i hånden.

Læs den anden anvisning, ikke den første

Den første anvisning fra begge myndigheder er den indlysende: tag straks styringerne af det offentlige internet. CISA, der den 30. juli sendte sin egen advarsel til vand- og spildevandssektoren og talte om en betydelig optrapning af aktiviteten rettet mod programmerbare styringer, tilføjer fysisk netadskillelse og fjernelse af enhver offentligt tilgængelig enhed. Rådet er rigtigt, og næsten ingen vil bestride det.

Den anden anvisning afgør, hvor længe et anlæg står stille. FBI beder driftsfolkene sikre sig, at de har en kendt ren sikkerhedskopi af styringens image, hvis en ændret adgangskode lukker dem ude. CISA når det samme sted hen med en koldstart, der sletter adressering og program. Begge dele er genskabelser, ikke rettelser. Den anbefalede løsning fjerner angriberen ved at fjerne alt, og anlægget kommer først tilbage, når nogen lægger programmet på igen.

Genskabelsen er en fil, og måske har I den ikke

Her adskiller et vandværk sig fra et kontornetværk, og her forudsætter vejledningen stiltiende noget, som de færreste driftsfolk nogensinde har efterprøvet. At genskabe en styring betyder ikke at geninstallere software fra en leverandør. Det betyder at indlæse det program, der er skrevet til netop dette anlæg: den ladderlogik, der ved, at dette sted har to boringer og én pumpestation, at denne pumpe ikke må køre under det tryk, at denne ventil er forriglet med den alarm. Programmet findes som en projektfil, og den er entydig for stedet.

På de fleste europæiske vandværker ligger den gældende udgave af filen ikke hos værket. Den ligger hos den systemintegrator, der satte anlægget i drift, undertiden for år tilbage, af og til hos en ingeniør, der siden er rejst. Værket ejer udstyret, betaler vedligeholdelsen og bærer den lovpligtige forpligtelse, mens den genstand, der overhovedet får udstyret til at virke, ligger hos en entreprenør uden udtrykkelig pligt til at holde den ajour eller udlevere den på forlangende. Konstruktionen er usynlig, så længe intet skal genskabes. Hele FBI's anden anvisning hviler på den.

Den ærlige udgave af spørgsmålet er derfor ikke, om I er opdaterede. Den lyder: hvis en styring blev sat til fabrikstilstand i eftermiddag, hvem sender jer så filen, hvor lang tid tager det, og har nogen nogensinde bekræftet, at den fil, de ligger inde med, faktisk indlæses på det udstyr, I kører i dag? En projektfil, der er tre år bagud i forhold til udokumenterede ændringer på stedet, er ikke en sikkerhedskopi. Den er et arkivstykke.

En sikkerhedskopi med en dato er ikke det samme som en ren

Ét forhold i FBI's meddelelse ændrer, hvordan I bør behandle de kopier, I rent faktisk har. Mindst én organisation meldte om ændrede PLC-projektfiler, efter at den havde bemærket afvigelser i ladderlogikken på flere af sine anlæg. Nogen sammenlignede det, der kørte, med det, der burde have kørt, på mere end ét sted, og fandt en forskel. Det er ikke en udelukkelse. Det er en redigering.

Så snart programfiler er i spil, holder det op med at være nok at have en sikkerhedskopi, for en kopi taget efter adgangen genskaber angriberens udgave trofast. Det afgørende bliver datoen. I har brug for en kopi, I kan datere til før den tidligst tænkelige adgang, og en måde at sammenholde den med det, der står på enheden i dag. For selskaber med de af FBI nævnte serier Allen-Bradley MicroLogix 1100 og 1400, eller med det udstyr fra Siemens og Schneider Electric, som CISA også fremhæver, er den sammenligning almindeligt ingeniørarbejde. Den er kun svær, fordi næsten ingen har en referencekopi at holde den op imod.

NIS2 spørger jer allerede om det, i et litra ingen læser

Drikkevand og spildevand er væsentlige sektorer i NIS2's bilag I, så europæiske selskaber sidder på regimets strengeste trin. Det litra, der bider her, er ikke underretningsfristen. Det er artikel 21, stk. 2, litra d, som kræver forsyningskædesikkerhed, herunder de sikkerhedsrelaterede aspekter af forholdet mellem en enhed og dens direkte leverandører og tjenesteudbydere. En integrator, der ligger inde med den eneste fungerende kopi af det program, som styrer et drikkevandsværk, er præcis det forhold, og at der er tale om en opbevaret mappe og ikke en netværksforbindelse, stiller det ikke uden for litraet.

Tre ting er værd at gøre i denne uge, og ingen af dem kræver at vide, hvem der stod bag. Skriv ned, styring for styring, hvem der har den gældende projektfil, og under hvilken kontraktbestemmelse. Tag jeres egen kopi, læg den offline, og notér datoen. Prøv derefter under en planlagt driftsstandsning, om netop den kopi indlæses på en styring, for en utestet genskabelse er en overbevisning og ikke en evne. Braham, en by i Minnesota med omkring 1.700 indbyggere, var tilbage inden for to timer, fordi mandskabet kunne køre anlægget i hånden. Manuel drift køber jer timer. At anlægget kommer tilbage på sin styring, køber filen jer, og kun hvis den findes.

Læs videre: At patche SharePoint lukker ikke længere døren  |  Den første AI-agentplatform CISA gør til pligtpatch