AI може да проникне: активна заплаха за контролери S7

21.08

време за четене: 3 мин.

На 19 август пет американски федерални агенции излязоха със съвместен бюлетин за програмируемите контролери S7 на Siemens - устройствата, които управляват помпи, конвейери и котли в съвсем реални предприятия. Новото в него не е уязвимост. Новото е, че помощниците за писане на код свалят нужната подготовка от рядък специалист по индустриални протоколи до човек, който умее да опише какво иска. Агенциите го формулират без заобикалки: това не е теоретичен риск, а активна заплаха.

Робот с тънка ученическа тетрадка в ръка вече е отворил таблото на голяма индустриална машина, а опитен оператор до него още прелиства дебел наръчник и вдига вежди.

Какво съобщават агенциите

Бюлетинът с код AA26-231A е издаден съвместно от Агенцията за национална сигурност, Агенцията за киберсигурност и сигурност на инфраструктурата, Федералното бюро за разследване, Министерството на енергетиката и Агенцията по опазване на околната среда.

Обхватът е широк. Засегнати са всички варианти на серия S7-200, всички варианти на S7-300, включително моделите 314, 315 и 317, всички варианти на S7-400, процесорите от 1211C до 1217C при S7-1200, както и цялата серия S7-1500 заедно с предпазните контролери от F-серията. Изброените сектори са критично производство, енергетика, води и отпадни води, химическа промишленост, храни и земеделие и търговски сгради. Агенциите добавят, че тези устройства работят и в отбранителната промишлена база, тоест списъкът описва къде вече се наблюдава активност, а не докъде стига рискът.

Защо контролери S7 са удобна мишена

Механизмът е обезкуражаващо прост. Нападателите вземат отворените библиотеки за индустриална автоматизация snap7 и python-snap7, които всеки инженер по автоматизация ползва легитимно, и с тяхна помощ сглобяват инструменти, които изглеждат като нормален софтуер за наблюдение на производството.

Оттам нататък по протокола S7comm се чете и се пише в паметта на контролера, в конфигурационните данни и в стълбовидната логика - тоест в самата програма, по която машината решава кога да пусне помпата и кога да я спре. Тук няма пробив през защитна стена и няма кражба на пароли, а има използване на устройство, което е проектирано да отговаря на всеки, който го попита учтиво.

За българския контекст това не е далечна тема. Контролери S7 работят в помпените станции на водоснабдителните дружества, в топлофикациите, в хранителните фабрики и в голяма част от преработващата промишленост.

Какво прави AI и какво не прави

Тази разлика решава дали текстът е новина или паника, затова заслужава точност.

Бюлетинът пише, че нападателите ползват помощ от изкуствен интелект, за да генерират скриптове за експлоатация по публично достъпна информация за тези устройства. Тоест моделът не намира нови уязвимости и не отваря непозната врата. Той съкращава драстично техническата подготовка и времето, нужни за създаването на работещ инструмент срещу вече известни слабости и небрежни конфигурации.

Siemens потвърждава същото от своя страна: към момента компанията не установява повишени нива на атаки, нито неизвестни уязвимости в продуктите си, и подчертава, че става дума за нови начини за злоупотреба с конфигурационни пропуски, а не за нов дефект. Изводът от двете страни съвпада и е неудобен: защитата вече не може да разчита на това, че нападателят няма да намери специалист.

Какви мерки се препоръчват

Списъкът е конкретен и голяма част от него не изисква бюджет.

Първата стъпка е инвентаризация: кои контролери работят, с коя версия на фърмуера и през кои работни станции се програмират. Следва блокиране на порт 102 по протокола TCP на периметърните защитни стени и разделяне на производствената мрежа от офисната чрез междинна зона. После идват контролът на достъпа - списък с разрешени адреси, парола на самия контролер, многофакторно удостоверяване за отдалечена връзка - и изключването на неизползваните услуги, включително вградения уеб сървър.

Отделно се препоръчва наблюдение, насочено точно към този сценарий: аларма при запис в контролера и следене за процеси, които зареждат библиотеката snap7. Организациите, попадащи в обхвата на европейската директива за мрежова и информационна сигурност, ще открият, че по-голямата част от този списък и без това вече им е вменена.

Заключение

Стойността на бюлетина не е в новата дупка, а в новата аритметика: когато писането на инструмента за атака поевтинее десетократно, всяка отложена мярка от рода на „това е стар контролер, никой не се занимава с него" губи основанието си. Инвентаризацията остава най-евтината защита, която съществува.

Помагаме на български производствени и комунални организации да преведат подобни бюлетини на езика на собствената си мрежа - кое ги засяга, кое не и в какъв ред се действа. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при работа с индустриални контролери, при подготовка по директивата за мрежова и информационна сигурност или при съмнение за отдалечен достъп до производствена мрежа. [Свържете се с нас за консултация: academy@razvivai.se]