© ROOT-NATION.com - Використання контенту дозволено за наявністю зворотнього посилання.
Наприкінці липня серія кібератак вразила водні та каналізаційні підприємства США, що спонукало ФБР, EPA та CISA оприлюднити спільне попередження. У ньому описано активність, визначено використані методи та наведено рекомендації для цього сектору. Фахівці зазначають, що атаки були спрямовані на операційні та адміністративні системи, від яких залежить безпечне водопостачання.
Читайте також: AERONAUT – про все, що літає вище землі: авіація, БПЛА та дрони, ракети та космос
Рекомендації складаються з переліку заходів щодо зменшення ризиків. Найкорисніше, що може зробити комунальне підприємство, – накласти рекомендації на часову шкалу реального інциденту, щоб зрозуміти, які заходи варто вжити одразу у межах підготовки, а які є можливостями, що вже мають бути доступними на момент початку інциденту.
Рекомендації для перших шести годин – це виявлення, локалізація та усунення несанкціонованого доступу за допомогою перевірки шляхів віддаленого доступу, скидання облікових даних та ізоляції уражених сегментів. Часова шкала додає до цього ще один момент: кожна з цих дій координується людьми, а в перші години вони працюють уночі та у вихідні. Найшвидше під час липневих атак діяли ті підприємства, які змогли за кілька хвилин зібрати команду реагування через надійні канали та підтвердити, хто долучився. Швидкість оповіщення та надійність зв’язку є основою, на якій ґрунтується виконання рекомендованих дій.
Протягом 1-3 днів, у міру того як локалізація триває, рекомендації переходять до посилення захисту: сегментації IT та OT, усунення непотрібної доступності систем управління з інтернету та перевірки резервних копій. У цей період практичним обмеженням для більшості невеликих підприємств є необхідність виконувати все це та продовжувати при цьому забезпечувати водопостачання, інформувати регуляторів, координуватися із сусідніми системами та вести комунікацію з громадськістю. Хоча такі оператори часто мають штат із менш ніж десяти людей. Постійний захищений канал координації для керівництва та операційних підрозділів не дає технічній та інституційній роботі зіткнутися між собою.
Попередження також включає заходи із пом’якшення наслідків. Деякі рекомендації розраховані на довшу перспективу, від першого тижня і далі, як-от поради щодо гігієни облікових даних, моніторингу та планування реагування на інциденти.
Два тренування швидко виправдають витрати. Перша – тренування з контактами та оповіщенням: скільки часу потрібно, щоб зв’язатися з кожним учасником реагування та підтвердити отримання повідомлення, і чи витримає цей процес втрату корпоративної електронної пошти та телефонного зв’язку? Друга – тренування роботи через надійний канал: якщо завтра основні мережі виявляться підозрілими, через який канал керівництво обговорюватиме локалізацію, і чи буде цей канал зашифрованим, автентифікованим та незалежним від ураженої інфраструктури?
Теж цікаво: Космічний хакінг від NASA: Як техніка 1970-х років рятує Voyager 1 від вимикання
Більшість підприємств, які проводять такі тренування, виявляють одні й ті самі три прогалини: оповіщення залежить від ручного дерева викликів, резервним каналом координації є звичайний месенджер на особистому пристрої, а ніхто не може впевнено сказати, які саме пристрої в ланцюжку реагування є керованими та мають актуальні оновлення. Насправді усі ці проблеми можна усунути протягом кварталу.
Липневі атаки та спільне попередження підтверджують, що ця критична інфраструктура є ціллю атак, факт такого націлювання зафіксований у федеральних попередженнях, а оператори, відповідальні за захист, належать до найбільш обмежених у ресурсах серед усіх секторів. Але рішення полягає не в тому, щоб одночасно виконувати всі рекомендації з попередження, а в послідовних діях. Спочатку потрібно захистити рівень координації, оскільки від цього залежить кожен інший захід з пом’якшення наслідків.
Читайте також: Глобальний грабунок у мережі: Світові збитки від хакерів досягли $1,24 трлн