ASV aģentūras brīdina par ar mākslīgo intelektu vadītiem kiberuzbrukumiem Siemens PLC iekārtām

Siemens rūpniecisko kontrolleru aizsardzība pret mākslīgā intelekta vadītiem kiberdraudiem

Kiberdrošības riski mūsdienu rūpnieciskajā automatizācijā strauji mainās, jo apdraudējumu īstenotāji sāk izmantot mākslīgo intelektu. ASV federālās aģentūras nesen brīdināja, ka hakeri izmanto mākslīgā intelekta skriptus, lai kompromitētu Siemens S7 programmējamos loģiskos kontrollerus (PLC). Šīs kritiskās vadības sistēmas darbina iekārtas, vārstus un sūkņus pašvaldību ūdensapgādes, enerģētikas un rūpnīcu automatizācijas objektos.

Mūsdienu vadības sistēmu apdraudējumu vides izpratne

Hakeri izmanto ģeneratīvo mākslīgo intelektu, lai automatizētu industriālo uzbrukumu koda izstrādi, tādējādi samazinot tehniskās prasības iekļūšanai sistēmās. Viņi apvieno atvērtā pirmkoda bibliotēkas, piemēram, python-snap7, ar automatizētiem skriptiem, lai atdarinātu likumīgu uzraudzības programmatūru. Tādējādi nesankcionētas personas, izmantojot standarta S7comm protokolus, iegūst pilnu lasīšanas un rakstīšanas piekļuvi Siemens S7 atmiņai un kāpņu loģikai. Pēc manas pieredzes rūpnīcu uzturēšanā nekontrolēta protokolu datplūsma joprojām ir viena no lielākajām ievainojamībām mantotajās operacionālo tehnoloģiju (OT) vidēs.

Ievainojamu Siemens kontrolleru identificēšana rūpnīcu automatizācijas sistēmās

Kopīgais federālo aģentūru ieteikums uzsver plašu ievainojamību visā Siemens S7 ekosistēmā, tostarp mantotajās un mūsdienu iekārtās. Uzbrucēji aktīvi skenē tīmekli, izmantojot tādus meklēšanas rīkus kā Censys un ZoomEye, lai atklātu internetam pakļautas ierīces. Konkrēti, apdraudējumu īstenotāji vēršas pret Siemens S7-200, S7-300, S7-400, S7-1200 un S7-1500 sērijām, kā arī F sērijas drošības kontrolleriem. Vājas vai noklusējuma ierīču paroles pretiniekiem nodrošina tūlītēju piekļuvi operacionālajai infrastruktūrai.

Mākslīgā intelekta atbalstītu uzbrukumu sagatavošanas posma analīze

Iebrucēji pašlaik veic izlūkošanu, lai sagatavotos turpmākiem darbības traucējumiem. Viņi izmanto sākotnējās lasīšanas atļaujas, lai kartētu mērķa sistēmu izkārtojumu un iekšējos mainīgos. Pēc tam pretinieki sagatavojas ļaunprātīgas loģikas ierakstīšanai, cenšoties apturēt ražošanu vai sabojāt iekārtas. Manuprāt, rūpnīcas, kurām nav reāllaika tīkla redzamības, nespēs pamanīt šo sākotnējo kartēšanas posmu, līdz iestāsies faktiska fiziska dīkstāve.

Ģeopolitisko risku saasināšanās kritiskajai infrastruktūrai

Šis uzbrukumu skaita pieaugums atspoguļo augošu valstu atbalstītu darbību tendenci, kas visā pasaulē vērsta pret rūpniecisko infrastruktūru. Jaunākā izlūkošanas informācija liecina, ka ārvalstu apdraudējumu grupas izmanto internetam pieejamus lielāko ražotāju, piemēram, Schneider Electric, Rockwell Automation un Siemens, kontrollerus. Nesenie kiberuzbrukumi publiskajiem ūdensapgādes uzņēmumiem parāda, cik ātri neaizsargāti perifērijas kontrolleri kļūst par viegliem mērķiem destabilizējošām ģeopolitiskām operācijām.

Būtiskākie drošības pasākumi rūpniecisko vadības tīklu aizsardzībai

Rūpniecības operatoriem jāveic visu savienoto kontrolleru audits, lai efektīvi aizsargātu kritiskās vadības sistēmas. Iekārtu īpašniekiem PLC nekavējoties jāatvieno no publiskā interneta un jāievieš stingra tīkla segmentācija. Turklāt inženieru komandām jānosaka prasība izmantot drošas paroles, jāinstalē aparātprogrammatūras atjauninājumi un jāierobežo piekļuve piegādātājiem. Cieša sadarbība ar trešo pušu sistēmu integratoriem nodrošina slēpto attālinātās piekļuves savienojumu pilnīgu novēršanu.

Praktiski drošības reaģēšanas scenāriji

• Mantota PLC izolēšanas scenārijs: Novecojusī S7-300 vadības ierīce neatbalsta mūsdienu šifrēšanas iespējas. Inženieri novieto iekārtu aiz rūpnieciskā ugunsmūra, nosaka VPN piekļuvi ar daudzfaktoru autentifikāciju un bloķē tiešu ienākošo datplūsmu no ārējiem tīkliem.
• Integratora drošības audita scenārijs: Ražotne attālinātai apkopei paļaujas uz ārējiem darbuzņēmējiem. Iekārtas īpašnieks veic pilnu tīkla atklāšanas skenēšanu, identificē darbuzņēmēju atklātās internetam pieejamās S7-1200 iekārtas un atsauc nesankcionētos attālinātās piekļuves ceļus.
• Anomālas datplūsmas noteikšanas scenārijs: Rūpnīcas operatori OT tīklā ievieš padziļinātu pakešu pārbaudi. Sistēma atzīmē nesankcionētus S7comm atmiņas lasīšanas mēģinājumus, kas nāk no stacijām, kuras netiek izmantotas inženiertehniskiem darbiem, apturot iespējamās loģikas izmaiņas pirms dīkstāves iestāšanās.