Jei vieną rytą vanduo iš čiaupo tekėtų silpniau arba visai sustotų, dauguma žmonių pirmiausia kaltintų vietos technikus. Tačiau JAV vandens sektoriuje pastarosiomis savaitėmis iškilęs klausimas yra gerokai nemalonesnis: ar į mažas, išsibarsčiusias sistemas jau braunasi valstybės remiami įsilaužėliai?
Tai nėra sausas kibernetinio saugumo niuansas. Vandens tiekimas yra viena iš tų infrastruktūrų, kurių žmonės nepastebi tol, kol kažkas sugenda. O kai sugenda, paaiškėja, kad „kritinė infrastruktūra“ iš tikrųjų reiškia labai žemišką dalyką: vanduo, slėgis vamzdžiuose, siurbliai, valdymo sistemos ir žmonės, kurie dažnai dirba su ribotu biudžetu.
Kas nutiko nuo liepos 28-osios
„TechCrunch“ rugpjūčio 14 d. apžvalgoje priminė, kad nuo liepos pabaigos JAV vandens ūkiai sulaukė kelių koordinuotų kibernetinių atakų bangos. Pirmieji pranešimai pasirodė liepos 28 d., kai Minesotos institucijos paskelbė, jog vandens valymo įrenginiai daugiau nei 30 bendruomenių buvo paveikti koordinuotų atakų. Po dviejų dienų FTB pasakė, kad incidentus fiksavo vandens ir nuotekų bendrovės bent septyniose valstijose, o kai kur atakos net „pablogino vandens operacijas“.
// reklamaČia gali būti jūsų reklamaSusisiekite →Nuo tada vaizdas dar labiau išsiplėtė. Buvo minimi incidentai Arkanzase, Džordžijoje, Naujajame Džersyje ir Mičigane. TechCrunch pabrėžė ir dar vieną svarbią detalę: kalbama ne apie vieną didelį centrą, kurį galima ginti kaip fortą, o apie daugybę mažų sistemų. JAV jų yra daugiau nei 150 000. Būtent tai ir yra problema. Kuo labiau infrastruktūra išskaidyta, tuo sunkiau ją vienodai apsaugoti.
Kodėl šios atakos taip neramina
Didžiausias nerimo šaltinis yra ne tik pats įsilaužimas, bet ir tai, kam jis gali būti naudingas. Oficialiai JAV valdžia iki šiol nėra įvardijusi kaltininko. Visgi keli ženklai rodo, kad įtarimai krypsta į Iraną. CISA dar balandį buvo įspėjusi, jog Irano įsilaužėliai taikosi į internetui prijungtus įrenginius vandens ir energetikos sektoriuose. Po Minesotos incidentų WaterISAC nariams išplatino žinią, kad naujieji išpuoliai „sutampa“ su tuo pačiu kampanijos modeliu.
Vėliau „Washington Post“ pranešė, jog JAV žvalgybos institucijos yra „užtikrintos“, kad už koordinuotos bangos stovi Iranas, konkrečiau – Revoliucinė gvardija. Tačiau net ir čia svarbus atsargumas: oficialus patvirtinimas dar nebuvo paskelbtas. Kitaip tariant, faktas yra ne vienas konkrečiai įvardytas kaltininkas, o tai, kad keli skirtingi šaltiniai mato tą pačią grėsmės kryptį.
Maži ūkiai, didelė skylė sistemoje
Kodėl būtent vandens ūkiai tampa patraukliu taikiniu? Todėl, kad daug jų veikia su ribotomis saugumo pajėgomis. TechCrunch priminė labai paprastą realybę: šias sistemas dažnai valdo vietinės bendrovės, kurios neturi nei didelių biudžetų, nei stiprios kibernetinio saugumo komandos. Jei didelė korporacija gali samdyti specialistų komandą ir nuolat testuoti gynybą, mažesnis vandens tiekėjas dažnai remiasi keliomis rankomis ir sena įranga.
Tokiame fone net nedidelis įsilaužimas gali sukelti daugiau nei tik triukšmo. Jei ataka „pablogina vandens operacijas“, tai jau reiškia, kad įsilaužėlis pasiekė kur kas daugiau nei vien serverio logus. Tai gali būti slėgio valdymas, įrenginių nuotolinis stebėjimas ar tiesiog sistemos pažeidžiamumo demonstravimas. Ir būtent toks demonstravimas valstybės remiamam veikėjui kartais yra svarbesnis už tiesioginę žalą.
Kodėl šis klausimas svarbus ne tik amerikiečiams
Iš pirmo žvilgsnio visa ši istorija atrodo kaip JAV vidaus saugumo drama. Visgi joje yra ir platesnė pamoka. Kai vandens ūkiai tampa taikiniu, kalbama apie infrastruktūrą, kurios veikimas privalo būti nuobodus, nuspėjamas ir beveik nematomas. Būtent todėl tokios atakos kelia tiek daug nerimo: jos tikrina, kiek pasaulis pasiruošęs gyventi su tuo, kad net elementariausi dalykai priklauso nuo saugių tinklų.
Dar viena pamoka yra labai žemiška. Jei maža savivaldybės sistema neturi resursų atnaujinti įrangos, atskirti valdymo tinklų ar bent jau tinkamai riboti prieigą, ji tampa minkštu taikiniu. O kai taikinys yra minkštas, užtenka vieno įsilaužėlio spragtelėjimo, kad kiltų visai ne virtuali problema.
Kitaip tariant, ši istorija nėra tik apie Iraną, Jungtines Valstijas ar vieną kibernetinę kampaniją. Ji apie tai, kaip XXI amžiuje vanduo, vamzdžiai ir programinė įranga tapo viena sistema. Ir jei į tą sistemą įsilaužiama, pasekmes gali pajusti labai paprasti žmonės, kurie ryte tiesiog atsuka čiaupą.
