陌ran Ba臒lant谋l谋 Su Tesisi Sald谋r谋lar谋 New Jersey ve Alabama'ya S谋莽rad谋 - Ayn谋 Senaryo, Ayn谋 Bo艧luklar

New Jersey ve Alabama’y谋 da listeye ekleyin - art谋k su tesislerinin kontrol sistemlerinin 陌ran’la ba臒lant谋l谋 sald谋rganlar taraf谋ndan didiklendi臒i, tetiklendi臒i veya tahrif edildi臒i eyalet say谋s谋 bir d眉zinenin 莽ok 眉zerine 莽谋kt谋. Man艧etler her seferinde de臒i艧iyor. Ama alt谋nda yatan teknik de臒i艧miyor ve as谋l 眉zerinde durulmas谋 gereken k谋s谋m da bu.

Ayn谋 kap谋, farkl谋 adres

Birka莽 y谋l 枚nce k眉莽眉k su idarelerini vurmaya ba艧layan olaylar dalgas谋na geri d枚n眉n; 枚r眉nt眉 can s谋k谋c谋 derecede tutarl谋: genellikle k眉莽眉k bir ticari PLC hatt谋nda 莽al谋艧an, a莽谋k internetten eri艧ilebilir durumda b谋rak谋lm谋艧, h芒l芒 varsay谋lan 艧ifreyle 莽al谋艧an bir insan-makine aray眉z眉 (HMI) - ve bu aray眉z眉 g眉vensiz bir duruma iten ki艧inin i莽eri girmek i莽in 枚zel bir k枚t眉 ama莽l谋 yaz谋l谋ma dahi gereksinim duymamas谋. Ne s谋f谋r谋nc谋 g眉n a莽谋臒谋, ne tedarik zinciri sald谋r谋s谋 - sadece hi莽 a莽谋臒a 莽谋kmamas谋 gereken bir giri艧 ekran谋. Listeye eklenen her yeni eyalet, ayn谋 hik芒yenin 眉zerine farkl谋 bir belediye logosu ili艧tirilmi艧 halinden ibaret.

Bu y枚ntemin i艧e yaramaya devam etmesinin sebebi, su tesislerinin yap谋sal olarak kolay hedef olacak 艧ekilde kurulmu艧 olmas谋. 脟o臒u belediye sistemi minimum kadroyla 莽al谋艧谋yor - tesisleri, pompa istasyonlar谋n谋 ve da臒谋t谋m a臒lar谋n谋 kapsayan bir avu莽 operat枚r var, 枚zel bir g眉venlik ekibi yok, ekipmanlar da “attack surface” (sald谋r谋 y眉zeyi) kavram谋 hen眉z kimsenin i艧 tan谋m谋nda yer almad谋臒谋 bir on-yirmi y谋l 枚nce belirlenip kurulmu艧. Uzaktan eri艧im var 莽眉nk眉 birinin ger莽ekten gece 2’de telefonundan bir tank seviyesini kontrol etmesi gerekiyor ve bunu yapman谋n en h谋zl谋 yolu, bu ihtiyac谋 do臒uran proje 莽ok 枚nceden bitmi艧 olsa da 莽al谋艧谋r halde b谋rak谋lm谋艧. Bu kolayl谋臒谋 devreden 莽谋karmak i莽in geri d枚n眉p bakan kimse yok.

Operat枚rleri daha 莽ok kayg谋land谋rmas谋 gereken k谋s谋m

Su sekt枚r眉 y枚netimini as谋l kayg谋land谋rmas谋 gereken 艧ey sald谋rganlar谋n yetene臒i de臒il - zaten pek bir 艧ey yok ortada - kendi segmentasyonlar谋n谋n ger莽ekten i艧e yaray谋p yaramad谋臒谋n谋 bilmeyen tesise say谋s谋n谋n h芒l芒 bu kadar 莽ok olmas谋. Bir莽ok sistem bir denet莽iye kontrol a臒谋n谋n hem internetten hem de kurumsal BT’den ayr谋艧t谋r谋ld谋臒谋n谋 s枚yleyecektir. Ama bunu, bir sald谋rgan谋n ger莽ekte yapaca臒谋 gibi o s谋n谋r谋n d谋艧谋ndan bir kontrol枚re ula艧may谋 deneyerek kan谋tlam谋艧 olan 莽ok daha az. “Bunun segmente edildi臒ine inan谋yoruz” ile “bunun segmente edildi臒ini bug眉n, en son de臒i艧iklikten sonra test ettik” aras谋ndaki bo艧luk, tam olarak bu olaylar谋n s眉rekli d眉艧t眉臒眉 yer.

脰nceki sald谋r谋 dalgalar谋n谋n ard谋ndan yay谋nlanan federal tavsiyeler bariz 莽枚z眉mleri 枚ne 莽谋kard谋: HMI’lar谋 herkese a莽谋k internetten 莽谋kar谋n, varsay谋lan kimlik bilgilerini de臒i艧tirin, uzaktan eri艧imin 枚n眉ne 莽ok fakt枚rl眉 kimlik do臒rulama (MFA) koyun ve operasyonel a臒lar谋 di臒er her 艧eyden ay谋r谋n. Bu tavsiyeler h芒l芒 do臒ru. Ama listeye 艧imdi eklenen eyaletler, bir PDF’de duran do臒ru tavsiyenin, birisi gidip ger莽ekten uygulan谋p uygulanmad谋臒谋n谋 kontrol etmedik莽e bir a臒谋 d眉zeltmedi臒inin kan谋t谋 - hem de bir sonraki tedarik莽i ziyaretinden, firmware g眉ncellemesinden veya sessizce eklenen yeni bir uzaktan eri艧im arac谋ndan sonra tekrar tekrar kontrol edilmesi gerekti臒inin.

K眉莽眉k tesislerin daha fazla k谋lavuz belgesine ihtiyac谋 yok. Belirli bir kontrol眉n, sald谋rgan谋 belirli bir PLC’den ger莽ekten uzak tuttu臒unu - bir ar谋tma tesisini devre d谋艧谋 b谋rakmadan - do臒rulayacak ucuz ve tekrarlanabilir bir y枚nteme ihtiya莽lar谋 var. 陌艧te bu, tavsiyeler aras谋nda yap谋lmas谋 gereken g枚z al谋c谋 olmayan i艧 ve bu olaylar谋n b眉y眉k 莽o臒unlu臒unun g枚sterdi臒i 眉zere, hi莽 yap谋lmam谋艧 olan da tam olarak bu.

Kaynak: https://www.securityweek.com/new-jersey-alabama-join-states-targeted-in-water-cyberattacks/