موجی از حملات سایبری زیرساخت های آبی کشور را هدف قرار داده است

در اواخر ژوئیه و ادامه در ماه اوت، حداقل 12 کشور حملات سایبری علیه زیرساخت های آب و فاضلاب خود را گزارش کردند. این حملات منجر به اختلال در عملیات شد و در برخی موارد باید اخطارهای آب جوش صادر می شد.

ماهیت حملات – از جمله پیچیده بودن آنها و عدم باج خواهی – به نظر می رسد نشان دهنده تلاش هماهنگ یک دولت خارجی است، با شواهد مستحکم و اطلاعاتی قوی که به جمهوری اسلامی ایران اشاره می کند (اگرچه هیچ انتساب قطعی عمومی از سوی دولت ایالات متحده وجود نداشته است).

بر اساس بیانیه مطبوعاتی FBI، شرکت کنندگان پس از دسترسی از راه دور به دستگاه های فناوری عملیاتی (OT)، آدرس IP و رمز عبور را تغییر دادند که در نتیجه عملکرد نظارت و کنترل از بین رفت. (دستگاه های OT شامل سوئیچ ها، شیرها و پمپ های از راه دور هستند.)

برای کاهش خطر خطر، FBI و EPA توصیه می‌کنند که کنترل‌کننده‌های منطقی قابل برنامه‌ریزی (PLC) را از قرار گرفتن در معرض مستقیم اینترنت از طریق یک دروازه امن و فایروال‌ها، تنظیم گذرواژه‌های قوی و منحصربه‌فرد، و استفاده از فهرست کنترل دسترسی (ACL) برای امکان برقراری ارتباط مجاز بین دستگاه‌های سیستم کنترل مورد انتظار حذف کنید.

چرا آب را هدف قرار دهیم؟

حملات سایبری علیه زیرساخت های آبی کشور متاسفانه چیز جدیدی نیست.

در فوریه 2021، حمله به تصفیه خانه در اولدزمار، فلوریدا توسط یک کاربر غیرمجاز برای مدت کوتاهی سطوح هیدروکسید سدیم را از 100 قسمت در میلیون به 11100 پی پی ام خطرناک دستکاری کرد (اگرچه یک اپراتور هوشیار بلافاصله این تغییر را تغییر داد).

در نوامبر 2023 یک گروه سایبری تحت حمایت ایران موسوم به Cyber Av3ngers مورد حمله قرار گرفت سازمان آب شهری علیکیپا در شهرستان بیور، پنسیلوانیا. هکرها یک دستگاه دیجیتالی را در یک ایستگاه تقویت کننده که برای تنظیم فشار آب استفاده می شد غیرفعال کردند، اگرچه ایمنی آب آشامیدنی تحت تأثیر قرار نگرفت.

همه اینها این سوال را ایجاد می کند: چرا سیستم های آب و فاضلاب؟ چرا شبکه برق کشور، قطب های تولید کلیدی، یا (سناریوی کابوس) نیروگاه های هسته ای ما نیست؟

پاسخ کوتاه این است که زیرساخت های آب ما بر اساس قابلیت اطمینان ساخته شده است، نه امنیت.

مشکل اسکادا

ملوین نیومن مدیرعامل و یکی از بنیانگذاران پاتابید، یک پلتفرم ارزیابی مبتنی بر هوش مصنوعی است. او به عنوان یک برآوردگر و فن‌شناس ارشد کار می‌کرد و برای آن نوشت پیمانکار در مورد مسائل امنیت سایبری

نیومن گفت: “برخی از این تصفیه خانه ها در دهه های 1950 و 1940 ساخته شدند – به ویژه در برخی از مناطق بزرگ شهری ما مانند نیویورک، سانفرانسیسکو و لس آنجلس.” آنها سیستم‌های تصفیه آب نسبتاً قدیمی دارند که با فناوری به همان اندازه قدیمی کنترل می‌شوند، زیرا این سیستم‌ها بسیار قابل اعتماد هستند. اما هرگز بی‌خیال نبوده‌اند.

این چند دهه سیستم های کنترل آنالوگ قدیمی هرگز برای اتصال به اینترنت طراحی نشده بودند. با این حال، آنها بعداً از طریق دستگاه‌های IoT (اینترنت اشیا) که برای بهبود کنترل و نظارت طراحی شده بودند، متصل شدند. این راحتی بهایی داشت. نیومن گفت: «اکنون آنها می توانند به طور تصادفی شکاف هوایی بین اسکادا و اینترنت را از بین ببرند.

SCADA مخفف عبارت Supervisory Control and Data Acquisition است که ترکیبی از نرم افزار و سخت افزار مورد استفاده برای نظارت و کنترل فرآیندهای صنعتی است. این به کارگران اجازه می‌دهد تا داده‌های بلادرنگ را از ماشین‌ها جمع‌آوری کنند، عملیات را روی صفحه کامپیوتر مشاهده کنند و تجهیزات را به صورت محلی یا از راه دور کار کنند.

در حالی که سیستم‌های اسکادا زمانی در شبکه‌های خصوصی منزوی بودند، ادغام مدرن با شبکه‌های فناوری اطلاعات شرکت‌ها و اینترنت سطح حمله آن‌ها را تا حد زیادی گسترش داده است. نیومن گفت: «سیستم‌های اسکادا چند لایه هستند، بنابراین به تدریج بالاتر و بالاتر گزارش می‌دهند. “اگر وارد سیستم کنترل ایستگاه پمپ شوید، می توانید از طریق شبکه SCADA تا مرکز کنترل اصلی حرکت کنید.”

عامل انسانی

اما صرف نظر از صنعت، رفتار انسان همیشه بزرگترین آسیب‌پذیری امنیت سایبری است. این شامل گذرواژه‌های ضعیف یا استفاده مجدد، نرم‌افزارهای پیکربندی نادرست، قربانی شدن در طرح‌های فیشینگ و به طور کلی بهداشت ضعیف داده‌ها می‌شود.

به عنوان نمونه ای از بهداشت ضعیف داده ها، نیومن به ویروس استاکس نت اشاره کرد، یک سلاح سایبری که در سال 2010 علیه ایران مورد استفاده قرار گرفت و توانست تقریباً 1000 سانتریفیوژ غنی سازی اورانیوم را با خارج شدن از کنترل آنها در حالی که داده های حسگر معمولی را جعل می کرد، نابود کند. هنگامی که یک کارگر نیروگاه هسته ای یک درایو فلش USB را بارگذاری کرد – احتمالاً از روی کنجکاوی، ویروس راه خود را به یک سیستم بدون هوا (یعنی غیر متصل به اینترنت یا سایر شبکه های رایانه ای) باز کرد.

قطره در سطل

برای کمک به تقویت امنیت آب کشور، قانون توسعه منابع آب (WRDA) در سال 2026، که در حال حاضر از طریق کنگره در حال تصویب است، (پس از تصویب و امضای قانون)، برنامه انعطاف پذیری و انعطاف پذیری زیرساخت آب آشامیدنی را برای رسیدگی به آسیب پذیری های امنیت سایبری با مبلغ 25 میلیون دلار در سال مجدداً مجاز می کند.

در مجموع، از جمله تأسیسات دولتی، خصوصی و تخصصی، تقریباً 23000 تأسیسات تصفیه فاضلاب در ایالات متحده وجود دارد که هر کدام 1087 دلار است. حتی اگر پول به پرتراکم ترین مناطق کشور هدایت شود، به سادگی کافی نیست.

ملوین نیومن معتقد است که این کشور به رویکردی برای امنیت سایبری مشابه روشی که نیروی دریایی ایالات متحده به سیستم‌ها و روش‌های کنترل آسیب در جنگ جهانی دوم نزدیک شد – نه از نظر عملکرد، بلکه از نظر فرآیند فکری، نیاز دارد.

“چگونه آنها مردم را تحریک کردند و به درستی آموزش دادند تا به چنین نیروی غیرقابل توقفی تبدیل شوند؟” نیومن گفت: “و چگونه می توانیم این تسهیلات را در کارگران شهرداری خود ایجاد کنیم که این کارخانه ها را اداره می کنند و اغلب به شدت کم کار هستند؟”