Utelåsningen kom inifrån utrustningen

Nätterna mellan den 26 och 27 juli skulle en operatör i Minnesota ändra en inställning i ett vattenverks styrsystem och upptäckte att lösenordet inte längre var hans. Under samma tidsfönster drabbades över 30 kommunala vatten- och avloppsanläggningar i hela delstaten. Minnesota var helt enkelt först med att säga det offentligt. Vid veckans slut hade FBI anmälningar från bolag i minst sju delstater, och i det gemensamma meddelandet med miljömyndigheten EPA den 30 juli noterade den att en del av verksamheten försämrade vattendriften.

Det är värt att säga exakt vad gärningsmännen gjorde, för det liknar inte det som de flesta föreställer sig vid ordet intrång. När de väl nått styrsystem som gick att nå från internet ändrade de enheternas IP-adresser och slog sedan på och satte lösenord. FBI beskriver följden som förlust av överblick och i vissa fall förlust av funktion i den anslutna anläggningen. Ingenting krypterades och ingen lösensumma krävdes. Bolagen behöll varenda fil de hade. Det de förlorade var förmågan att tala med sina egna maskiner. Bland de effekter som anmäldes till FBI fanns tryckfall och översvämningar, och operatörerna gick tillbaka till att köra anläggningarna för hand.

Läs den andra anvisningen, inte den första

Den första anvisningen från båda myndigheterna är den självklara: ta genast bort styrsystemen från det öppna internet. CISA, som den 30 juli skickade en egen varning till vatten- och avloppssektorn och talade om en betydande upptrappning av verksamheten mot programmerbara styrsystem, lägger till fysisk nätseparation och borttagning av varje offentligt nåbar enhet. Rådet är riktigt och nästan ingen kommer att bestrida det.

Den andra anvisningen avgör hur länge en anläggning står still. FBI ber driftsansvariga att försäkra sig om att de har en känd ren säkerhetskopia av styrsystemets avbild, ifall ett ändrat lösenord låser ute dem. CISA når samma punkt via en kallstart som raderar adressering och program. Båda är återställningar, inte rättelser. Den rekommenderade lösningen tar bort angriparen genom att ta bort allt, och anläggningen kommer tillbaka först när någon lägger tillbaka programmet.

Återställningen är en fil, och kanske har ni den inte

Här skiljer sig ett vattenverk från ett kontorsnät, och här förutsätter vägledningen tyst något som de flesta driftsansvariga aldrig har prövat. Att återställa ett styrsystem betyder inte att installera om programvara från en leverantör. Det betyder att ladda det program som skrivits för just den här anläggningen: den ladderlogik som vet att den här platsen har två brunnar och en pumpstation, att den här pumpen inte får gå under det trycket, att den här ventilen är förreglad med det larmet. Programmet finns som en projektfil och är unikt för platsen.

I de flesta europeiska vattenanläggningar ligger den gällande versionen av filen inte hos bolaget. Den ligger hos den systemintegratör som tog linjen i drift, ibland för flera år sedan, då och då hos en ingenjör som sedan slutat. Bolaget äger utrustningen, betalar underhållet och bär den rättsliga skyldigheten, medan det föremål som över huvud taget får utrustningen att fungera förvaras hos en entreprenör utan uttrycklig plikt att hålla den aktuell eller lämna ut den på begäran. Upplägget syns inte så länge ingenting behöver återställas. Hela FBI:s andra anvisning vilar på det.

Den ärliga versionen av frågan är alltså inte om ni är uppdaterade. Den lyder: om ett styrsystem i eftermiddag återställdes till fabriksläge, vem skickar er filen, hur lång tid tar det, och har någon någonsin bekräftat att den fil de förfogar över verkligen går att ladda på den utrustning ni kör i dag? En projektfil som halkat efter tre år av odokumenterade ändringar på plats är ingen säkerhetskopia. Den är en arkivhandling.

En säkerhetskopia med ett datum är inte samma sak som en ren

En enda detalj i FBI:s meddelande ändrar hur ni bör hantera de kopior ni faktiskt har. Minst en organisation rapporterade ändrade PLC-projektfiler, efter att ha lagt märke till avvikelser i ladderlogiken på flera av sina anläggningar. Någon jämförde det som kördes med det som borde ha körts, på mer än en plats, och hittade en skillnad. Det är ingen utelåsning. Det är en redigering.

Så snart programfiler är i spel räcker det inte längre att ha en säkerhetskopia, eftersom en kopia tagen efter åtkomsten troget återställer angriparens version. Det avgörande blir datumet. Ni behöver en kopia som går att datera till före den tidigast tänkbara åtkomsten, och ett sätt att jämföra den med det som finns på enheten i dag. För bolag som kör de av FBI nämnda serierna Allen-Bradley MicroLogix 1100 och 1400, eller den utrustning från Siemens och Schneider Electric som CISA också pekar ut, är den jämförelsen vanligt ingenjörsarbete. Den är svår bara därför att nästan ingen har en referenskopia att jämföra mot.

NIS2 frågar er redan detta, i en punkt ingen läser

Dricksvatten och avloppsvatten är väsentliga sektorer i NIS2:s bilaga I, så europeiska bolag sitter på regelverkets strängaste steg. Den punkt som biter här är inte rapporteringsfristen. Det är artikel 21.2 d, som kräver säkerhet i leveranskedjan inklusive de säkerhetsrelaterade aspekterna av förhållandet mellan en enhet och dess direkta leverantörer och tjänsteleverantörer. En integratör som förfogar över den enda fungerande kopian av det program som styr ett dricksvattenverk är precis det förhållandet, och att det rör sig om en förvarad mapp och inte en nätverksförbindelse ställer det inte utanför punkten.

Tre saker är värda att göra den här veckan, och ingen av dem kräver att man vet vem som låg bakom. Skriv ned, styrsystem för styrsystem, vem som har den gällande projektfilen och under vilken avtalsklausul. Ta er egen kopia, lägg den offline och notera datumet. Pröva sedan under ett planerat driftstopp om just den kopian går att ladda på ett styrsystem, för en oprövad återställning är en övertygelse och ingen förmåga. Braham, en ort i Minnesota med omkring 1 700 invånare, var tillbaka inom två timmar därför att personalen kunde köra anläggningen för hand. Manuell drift köper er timmar. Att anläggningen kommer tillbaka på sin styrning köper filen er, och bara om den finns.

Läs vidare: Att patcha SharePoint stänger inte längre dörren  |  Den första AI-agentplattformen CISA gör till tvångspatch