Всего через пару недель после кибератаки на холодильные системы французских супермаркетов, которая привела к порче продуктов и даже пожарам, в понедельник пострадали ритейлеры в Бельгии, Ирландии, Швеции, Финляндии и Эстонии с почти идентичными атаками.
Атака в середине октября побудила Французскую команду реагирования на компьютерные чрезвычайные ситуации (CERT-FR) выпустить рекомендацию организациям отключить от интернета любые системы управления холодильным оборудованием с общедоступными IP-адресами и подключать их через безопасный VPN только после проверки конфигурации и, при необходимости, восстановления заводских настроек.
В экстренной ситуации, как предлагалось в рекомендации, организации могли бы просто фильтровать подключения, разрешая доступ только по IP-адресам поставщиков холодильного оборудования или поставщиков услуг, но это не должно быть долгосрочным решением.
Понедельничная атака, как и октябрьская, «привела к внезапным изменениям температуры в их холодильниках и морозильных камерах», согласно отчету Bloomberg, который подтвердил инциденты с пострадавшими ритейлерами, включая Carrefour, Spar и Ahold Delhaize. Ни одна группа пока не взяла на себя ответственность за атаки.
Задержка объяснима
Аналитики и консультанты заявили, что отсутствие немедленной реакции на первоначальные атаки на холодильное оборудование объяснимо, учитывая сложный характер систем и множество поставщиков, которые обычно управляют такими системами для крупных ритейлеров.
Ведущий аналитик Gartner Кателль Тилеманн сказала, что, хотя пострадавшие европейские ритейлеры владеют оборудованием, они передают на аутсорсинг техническое обслуживание, поддержку и управление. Таким образом, по ее словам, «существует некоторая путаница относительно того, кто чем владеет в этом черном ящике аутсорсинга».
Старший менеджер по исследованиям IDC Бобби Кузма согласился.
«Существует огромный разрыв в видимости между теми, кто отслеживает информацию об угрозах и отчеты об уязвимостях, и теми, кто управляет операционными/промышленными аспектами», — сказал он. «Команды кибербезопасности могли даже не знать, что устройства подключены к сети, особенно если они использовали выделенные интернет-каналы для поддержки производителя».
Тилеманн добавила, что инцидент усугубился из-за исторического отсутствия приоритета, отдаваемого защите кибербезопасности в розничной торговле.
«Это доказательство того, что кибербезопасность по-прежнему не является приоритетом», — сказала она. «Даже когда это так вопиюще, старшие руководители [розничной торговли] не спрашивают: «Как нам опередить это?»»
Однако, по мнению Кузмы, эта проблема сводится к видимости инвентаризации активов.
«Вы не можете защитить систему, о наличии которой вы не знаете. Вы не можете сканировать на наличие уязвимостей в соединении, о существовании которого вы не знаете», — отметил он. «Иногда эта инвентаризация требует, чтобы кто-то физически зашел в телекоммуникационный шкаф на объектах и задал конкретные вопросы об имеющемся оборудовании. В наши дни наличие устройств любого типа, подключенных к общедоступному интернету и доступных, — это приглашение к неприятностям».
Интернет вещей вне сферы ИТ
Дэвид Нойман, исполнительный советник консалтинговой фирмы Acceligence, также отметил, что никогда не было реалистично полагать, что выпуск рекомендации по кибербезопасности сможет эффективно устранить эту уязвимость.
«Рекомендация не исправит систему, которой никто в здании не владеет», — сказал Нойман. «Подрядчики часто устанавливают и обслуживают контроллеры холодильного оборудования магазинов по договоренностям, которые полагаются на постоянный поток данных, поэтому они могут находиться вне инвентаризации и контроля команды безопасности. Отключение контроллеров означает их поиск, а затем переработку способа доступа подрядчика, магазин за магазином».
Это, по его словам, «объясняет пробел, но не оправдывает его: Франция дала всем трехнедельное предупреждение. Злоупотребление законной функцией, такой как разморозка, вызывает физический и финансовый ущерб без какого-либо вредоносного ПО».
Брайан Левин, партнер консалтинговой фирмы Control Risks, добавил, что еще одна часть проблемы заключается в том, что устройства Интернета вещей (IoT) всегда обрабатывались вне сферы ИТ.
«Годами организации рассматривали подключенное операционное оборудование как вопрос эксплуатации зданий. Эти инциденты кладут конец этому спору», — сказал Левин. «Специалисты по безопасности никогда не игнорировали этот риск; бюджеты отодвигали его на второй план, потому что ничего не выходило из строя в больших масштабах. Теперь это произошло, и советы директоров будут спрашивать, почему контракты с поставщиками, планы реагирования на инциденты и учения никогда не учитывали физические последствия».
И, по словам Ноа Кенни, главного консультанта Digital 520, эта проблема выходит за рамки того, что злоумышленники могли получить доступ. Он сказал, что его больше всего беспокоит диапазон действий, которые злоумышленники смогли совершить с этим доступом.
«Злоумышленники могли манипулировать холодильными системами, чтобы они работали далеко за пределами своих предполагаемых параметров», — сказал Кенни. «Даже если кто-то получит доступ к системе, должны существовать независимые механизмы защиты, предотвращающие команды, которые могут повредить оборудование или нарушить работу. Тот факт, что удаленный доступ может потенциально привести к физическому ущербу, указывает на серьезные пробелы в том, как эти системы спроектированы и защищены».
Кенни также отметил, что некоторые из этих устройств давно прошли свой срок службы, а это означает, что обновления безопасности и другие обновления могли быть недоступны. «Организации могут оказаться в зависимости от оборудования, которое по-прежнему отлично работает в операционном плане, но больше не может быть адекватно защищено», — отметил он. «Это создает трудные решения о сетевой изоляции, компенсирующих мерах контроля и, в конечном итоге, о том, когда оборудование нуждается в замене».
Действительно, сказал независимый технологический аналитик Карми Леви, некоторые специалисты по ИТ склонны игнорировать системы IoT, особенно когда они были развернуты функциональными подразделениями без разрешения ИТ-отделов или команд кибербезопасности.
«Предприятия обычно не рассматривают холодильники так же, как серверы, смартфоны и другие традиционно подключенные устройства», — отметил он. «В лучшем случае большинство ИТ-отделов имеют ограниченное представление о том, что вообще является подключенным устройством. Это означает, что многие организации используют подключенные устройства, такие как бытовая техника, поломоечные машины и когда-то «глупые», но теперь все более «умные» машины, с опасно устаревшей прошивкой, потому что они вообще не идентифицировали их как подключенные».
Неожиданная угроза для ИТ
Кроме того, сказал Фрэнк Диксон, главный аналитик Dickson Research, существуют также корпоративные юридические проблемы, которые могут подорвать необходимость быстрой реакции кибербезопасности.
«Собственное предупреждение CERT-FR показывает, почему это занимает время. Прежде чем отключить контроллер от интернета, оно рекомендует операторам проверить условия страхования в их контракте с поставщиком холодильного оборудования. Эта одна строка говорит о многом», — сказал он, добавив, что многие из этих контроллеров устанавливаются, контролируются и гарантируются подрядчиком, который зависит от потока данных. У магазина может не быть ни возможности, ни полномочий отключить их.
«Три недели предупреждения — это много времени для злоумышленника и мало времени для сети супермаркетов. Сначала закройте дверь в интернет, а затем пересматривайте контракты», — сказал он.
Диксон также утверждал, что эти атаки на холодильное оборудование представляют собой неожиданную угрозу и для традиционных ИТ-систем, поскольку серверы и другое оборудование чувствительны к температуре.
«Злоумышленнику, получившему доступ к системе управления зданием, не нужно касаться ни одного сервера. Серверы сами отключатся, чтобы не перегреться», — сказал Диксон. «Вам не нужно взламывать дата-центр. Вам нужно только взломать систему кондиционирования».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Evan Schuman
