Il blocco è arrivato dall'interno dell'apparecchio

Nelle notti del 26 e del 27 luglio un operatore del Minnesota è andato a cambiare un parametro sul controllore di un impianto idrico e ha scoperto che la password non era più sua. Nella stessa finestra sono stati colpiti in tutto lo stato più di 30 sistemi comunali di acqua e depurazione. Il Minnesota è stato semplicemente il primo a dirlo in pubblico. A fine settimana l'FBI aveva segnalazioni da gestori di almeno sette stati e, nella comunicazione congiunta con l'agenzia ambientale EPA del 30 luglio, ha messo agli atti che parte di quell'attività ha degradato l'esercizio idrico.

Vale la pena dire con precisione che cosa hanno fatto gli attaccanti, perché non somiglia a quello che quasi tutti immaginano sentendo la parola violazione. Raggiunti i controllori esposti su internet, ne hanno cambiato gli indirizzi IP e poi hanno attivato e impostato le password. L'FBI descrive il risultato come perdita di visibilità e, in alcuni casi, perdita di funzione delle apparecchiature collegate. Non è stato cifrato nulla e non è stato chiesto alcun riscatto. Le aziende hanno conservato ogni file che avevano. Quello che hanno perso è la capacità di parlare con le proprie macchine. Tra gli effetti segnalati all'FBI ci sono stati perdita di pressione e allagamenti, e gli operatori sono tornati a condurre gli impianti a mano.

Leggete la seconda istruzione, non la prima

La prima istruzione di entrambe le agenzie è quella ovvia: togliere subito i controllori dalla rete internet pubblica. La CISA, che il 30 luglio ha diffuso un proprio avviso al settore idrico e della depurazione parlando di un'escalation significativa dell'attività rivolta ai controllori a logica programmabile, aggiunge l'isolamento fisico della rete e la rimozione di qualunque apparecchio esposto pubblicamente. È un consiglio corretto e quasi nessuno lo contesterà.

La seconda istruzione è quella che decide per quanto tempo un impianto resta fermo. L'FBI dice ai gestori di accertarsi di avere un backup pulito e verificato dell'immagine del controllore, nel caso una password modificata li lasci fuori. La CISA arriva allo stesso punto con un riavvio a freddo che cancella indirizzamento e programma. Sono entrambi ripristini, non correzioni. La soluzione consigliata rimuove l'attaccante rimuovendo tutto, e l'impianto torna soltanto quando qualcuno rimette al suo posto il programma.

Il ripristino è un file, e forse non ce l'avete voi

Qui un impianto idrico si separa da una rete d'ufficio, e qui la guida dà per scontato qualcosa che la maggior parte dei gestori non ha mai verificato. Ripristinare un controllore non significa reinstallare il software di un fornitore. Significa caricare il programma scritto per quell'impianto preciso: la logica a contatti che sa che questo sito ha due pozzi e una stazione di sollevamento, che questa pompa non deve girare sotto quella pressione, che questa valvola è interbloccata con quell'allarme. Quel programma esiste come file di progetto ed è unico per il sito.

Nella maggior parte degli impianti idrici europei la versione aggiornata di quel file non sta presso il gestore. Sta presso l'integratore di sistemi che ha messo in servizio la linea, talvolta anni fa, a volte presso un ingegnere che nel frattempo se n'è andato. Il gestore possiede l'hardware, paga la manutenzione e porta l'obbligo regolatorio, mentre l'oggetto che fa funzionare l'hardware è custodito da un appaltatore senza alcun obbligo esplicito di tenerlo aggiornato o di consegnarlo a richiesta. È un assetto invisibile finché non c'è nulla da ripristinare. L'intera seconda istruzione dell'FBI dipende da lui.

La versione onesta della domanda non è quindi se siete aggiornati con le patch. È questa: se un controllore venisse riportato allo stato di fabbrica questo pomeriggio, chi vi manda il file, quanto ci vorrebbe e qualcuno ha mai confermato che il file custodito si carica davvero sull'hardware che avete in funzione oggi? Un file di progetto rimasto indietro di tre anni di modifiche non documentate non è un backup. È un archivio storico.

Un backup con una data non è la stessa cosa di uno pulito

C'è un dettaglio nella comunicazione dell'FBI che cambia il modo in cui dovreste trattare le copie che avete davvero. Almeno un'organizzazione ha segnalato file di progetto PLC modificati, dopo aver notato discrepanze nella logica a contatti in vari suoi siti. Qualcuno ha confrontato ciò che stava girando con ciò che avrebbe dovuto girare, in più di un sito, e ha trovato una differenza. Non è un blocco. È una modifica.

Quando entrano in gioco i file di programma, avere un backup smette di bastare, perché una copia presa dopo l'accesso ripristina fedelmente la versione dell'attaccante. Diventa determinante la data. Vi serve una copia databile a prima del primo accesso plausibile e un modo per confrontarla con ciò che c'è oggi sull'apparecchio. Per i gestori che usano le serie Allen-Bradley MicroLogix 1100 e 1400 citate dall'FBI, o le apparecchiature Siemens e Schneider Electric segnalate anche dalla CISA, quel confronto è un normale lavoro d'ingegneria. È difficile soltanto perché quasi nessuno ha una copia di riferimento con cui confrontare.

La NIS2 ve lo chiede già, in una lettera che nessuno legge

Acqua potabile e acque reflue sono settori essenziali dell'allegato I della NIS2, quindi i gestori europei stanno nel gradino più severo del regime. La lettera che morde qui non è il termine di notifica. È l'articolo 21, paragrafo 2, lettera d, che richiede la sicurezza della catena di approvvigionamento compresi gli aspetti di sicurezza del rapporto fra un soggetto e i suoi fornitori diretti e prestatori di servizi. Un integratore che custodisce l'unica copia funzionante del programma che governa un impianto di acqua potabile è esattamente quel rapporto, e il fatto che si tratti di un archivio e non di una connessione di rete non lo mette fuori dall'articolo.

Tre cose meritano questa settimana e nessuna richiede di sapere chi c'è dietro. Annotate, per ogni controllore, chi custodisce il file di progetto aggiornato e sotto quale clausola contrattuale. Prendetevi una copia vostra, tenetela offline e registrate la data in cui l'avete presa. Poi provate, durante un fermo programmato, che quella copia si carica su un controllore, perché un ripristino non collaudato è una convinzione e non una capacità. Braham, un comune del Minnesota di circa 1.700 abitanti, è tornato in due ore perché le sue squadre sapevano condurre l'impianto a mano. La conduzione manuale vi compra ore. Che l'impianto torni sui suoi comandi ve lo compra il file, e solo se esiste.

Da leggere ora: Applicare la patch a SharePoint non chiude più la porta  |  La prima piattaforma di agenti IA che la CISA obbliga a correggere