Blokada wyszła z samego urządzenia

W nocy z 26 na 27 lipca operator w Minnesocie chciał zmienić nastawę w sterowniku stacji uzdatniania wody i odkrył, że hasło nie jest już jego. W tym samym oknie czasowym w całym stanie ucierpiało ponad 30 miejskich systemów wodociągowych i kanalizacyjnych. Minnesota była po prostu pierwsza, która powiedziała o tym publicznie. Pod koniec tygodnia FBI miało zgłoszenia od przedsiębiorstw z co najmniej siedmiu stanów, a we wspólnym komunikacie z agencją środowiskową EPA z 30 lipca odnotowało, że część tej działalności pogorszyła pracę wodociągów.

Warto dokładnie nazwać to, co zrobili sprawcy, bo nie przypomina to obrazu, który większości ludzi staje przed oczami przy słowie włamanie. Po dotarciu do sterowników wystawionych do internetu zmienili ich adresy IP, a następnie włączyli i ustawili hasła. FBI opisuje skutek jako utratę wglądu, a w niektórych przypadkach utratę funkcji podłączonych urządzeń. Niczego nie zaszyfrowano i nie zażądano okupu. Przedsiębiorstwa zachowały każdy plik, który miały. To, co utraciły, to zdolność rozmawiania z własnymi maszynami. Wśród skutków zgłoszonych FBI znalazły się spadki ciśnienia i zalania, a operatorzy wrócili do ręcznego prowadzenia instalacji.

Przeczytaj drugie zalecenie, nie pierwsze

Pierwsze zalecenie obu urzędów jest oczywiste: natychmiast odłączyć sterowniki od publicznego internetu. CISA, która 30 lipca wysłała własne ostrzeżenie do sektora wodno-kanalizacyjnego i mówiła o znaczącej eskalacji działań wymierzonych w sterowniki programowalne, dodaje fizyczne odseparowanie sieci i usunięcie każdego publicznie osiągalnego urządzenia. Rada jest słuszna i prawie nikt jej nie zakwestionuje.

Drugie zalecenie decyduje o tym, jak długo instalacja stoi. FBI prosi eksploatatorów, by upewnili się, że mają znaną czystą kopię zapasową obrazu sterownika na wypadek, gdyby zmienione hasło zamknęło im dostęp. CISA dochodzi do tego samego punktu przez zimny restart, który kasuje adresację i program. Jedno i drugie to odtworzenie, a nie naprawa. Zalecane rozwiązanie usuwa napastnika, usuwając wszystko, a instalacja wraca dopiero wtedy, gdy ktoś z powrotem wgra program.

Odtworzenie to plik, którego możesz nie mieć

Tu stacja wodociągowa różni się od sieci biurowej i tu wytyczne milcząco zakładają coś, czego większość eksploatatorów nigdy nie sprawdziła. Odtworzenie sterownika nie oznacza ponownej instalacji oprogramowania producenta. Oznacza wgranie programu napisanego dla tej konkretnej instalacji: logiki drabinkowej, która wie, że ten obiekt ma dwie studnie i jedną przepompownię, że ta pompa nie może pracować poniżej tamtego ciśnienia, że ten zawór jest zablokowany z tamtym alarmem. Ten program istnieje jako plik projektowy i jest niepowtarzalny dla obiektu.

W większości europejskich stacji wodociągowych obowiązująca wersja tego pliku nie leży u przedsiębiorstwa. Leży u integratora systemów, który uruchamiał linię, czasem przed laty, niekiedy u inżyniera, który już odszedł. Przedsiębiorstwo jest właścicielem sprzętu, płaci za utrzymanie i dźwiga obowiązek regulacyjny, podczas gdy przedmiot, który w ogóle każe sprzętowi działać, przechowuje wykonawca bez wyraźnego obowiązku aktualizowania go ani wydania na żądanie. Ten układ jest niewidoczny tak długo, jak długo niczego nie trzeba odtwarzać. Całe drugie zalecenie FBI na nim się opiera.

Uczciwa wersja pytania nie brzmi więc, czy masz wgrane poprawki. Brzmi tak: gdyby dziś po południu sterownik został sprowadzony do stanu fabrycznego, kto przyśle ci plik, ile to potrwa i czy ktokolwiek kiedykolwiek potwierdził, że przechowywany plik naprawdę wgrywa się na sprzęt, który pracuje u ciebie dzisiaj? Plik projektowy, który został trzy lata w tyle za nieudokumentowanymi zmianami na obiekcie, nie jest kopią zapasową. Jest materiałem archiwalnym.

Kopia z datą to nie to samo co kopia czysta

Jeden szczegół w komunikacie FBI zmienia sposób, w jaki należy traktować kopie, które faktycznie się posiada. Co najmniej jedna organizacja zgłosiła zmienione pliki projektowe sterowników po tym, jak zauważyła rozbieżności w logice drabinkowej w kilku swoich obiektach. Ktoś porównał to, co działało, z tym, co powinno było działać, w więcej niż jednym miejscu, i znalazł różnicę. To nie jest blokada. To jest edycja.

Gdy w grę wchodzą pliki programu, posiadanie kopii zapasowej przestaje wystarczać, bo kopia zrobiona po dostępie wiernie przywraca wersję napastnika. Rozstrzygająca staje się data. Potrzebna jest kopia, którą da się datować sprzed najwcześniejszego prawdopodobnego dostępu, oraz sposób porównania jej z tym, co jest dziś na urządzeniu. Dla przedsiębiorstw używających wskazanych przez FBI serii Allen-Bradley MicroLogix 1100 i 1400 albo urządzeń Siemensa i Schneider Electric, na które wskazuje również CISA, takie porównanie to zwykła praca inżynierska. Jest trudne wyłącznie dlatego, że prawie nikt nie ma kopii wzorcowej do porównania.

NIS2 pyta o to od dawna, w literze, której nikt nie czyta

Woda pitna i ścieki są sektorami kluczowymi z załącznika I do NIS2, europejscy eksploatatorzy siedzą więc na najostrzejszym stopniu reżimu. Litera, która gryzie w tym miejscu, to nie termin zgłoszenia. To artykuł 21 ustęp 2 litera d, wymagający bezpieczeństwa łańcucha dostaw, w tym aspektów bezpieczeństwa relacji między podmiotem a jego bezpośrednimi dostawcami i usługodawcami. Integrator przechowujący jedyną działającą kopię programu sterującego stacją wody pitnej to dokładnie taka relacja, a to, że chodzi o przechowywany zbiór plików, a nie o połączenie sieciowe, nie wyprowadza jej poza tę literę.

Trzy rzeczy warto zrobić w tym tygodniu i żadna z nich nie wymaga wiedzy o tym, kto za tym stał. Zapisz, sterownik po sterowniku, kto przechowuje obowiązujący plik projektowy i na podstawie jakiego zapisu umowy. Zrób własną kopię, złóż ją poza siecią i odnotuj datę. Potem sprawdź podczas planowanego postoju, czy właśnie ta kopia wgrywa się na sterownik, bo nieprzetestowane odtworzenie jest przekonaniem, a nie zdolnością. Braham, miasteczko w Minnesocie liczące około 1700 mieszkańców, wróciło do pracy w ciągu dwóch godzin, ponieważ jego załoga potrafiła prowadzić instalację ręcznie. Praca ręczna kupuje godziny. To, że instalacja wróci na własne sterowanie, kupuje plik, i tylko wtedy, gdy istnieje.

Czytaj dalej: Łatanie SharePointa już nie zamyka drzwi  |  Pierwsza platforma agentów AI, którą CISA każe pilnie załatać