7월 말 미국 상수·하수 시스템을 겨냥한 침입은 받은편지함이 아니라 설비 쪽이었다. NIST 국가사이버보안센터오브엑설런스는 10월 1일, 조사에 남은 것을 공개 언어로 정리했다. CISA, FBI, EPA 경보는 이 사업장에 흔한 인터넷 대면 부품을 가리켰다. 제어기는 권한 없이 접근됐다. NIST가 적은 의도는 분명하다. 설정을 바꾸고, 직원이 감시하고 명령할 수 있는 범위를 줄이고, 처리를 방해한다. 센터가 다룬 사례에서는 장치의 비밀번호와 IP 주소가 바뀌었고, 운전해야 할 사람들이 잠겼다.
부문의 형태가 이 패턴을 고르지 않게 만든다. NIST는 커뮤니티 상수 시스템 약 5만 곳, 하수 처리 시스템 1만6천 곳 이상을 든다. 사업자의 약 1퍼센트는 매우 크고, 이들이 합쳐 인구의 절반 가까이를 공급한다. 80퍼센트 이상은 작고, 각각 3,300명 이하를 담당한다. 공유 로그인과 공용 인터넷에서 응답하는 제어기는, 그 작은 사업장 다수에서 야간이 펌프장을 여는 방식이다.
센터가 이 부문에 시연한 원격 접속 구조, NIST SP 1800-45는 예방 쪽이다. 통상 사업장은 원격 접속 서버 앞에 방화벽을 두고 누가 어느 자산에 손을 대는지 제한할 수 있다. 그 구성을 인력으로 못 꾸리는 작은 사업장에는 기록이 남는 클라우드 접속 평면을 보여 준다. 사람 없이 공정 데이터를 이미 주고받는 사업장에는 사이트 사이 암호화 링크를 보여 준다. 쓸모 있다. 7월이 콘솔에 남긴 질문에는 답하지 않는다. HMI가 안 열리면 습정, 잔류 염소, 토출 압력은 무엇을 하고 있는가.
기계식 계기, 제어기 웹 페이지가 아닌 현장 표시, 지금 도는 로직과 비교할 알려진 정상본. 일부러 밋밋하다. ‘로그인할 수 없다’와 ‘펌프가 허가 조건과 맞는지 더 이상 모른다’를 가른다. NIST는 방어가 작동하는 사업장도 공급을 잃을 수 있다고 분명히 쓴다. 일은 그 구간을 짧게 만드는 것이다. 센터의 다음 과제는 자산 가시성이다. 원격 접속 규칙은 아무도 목록에 올리지 않은 제어기를 덮지 못한다.
사업장에서 수 킬로미터 떨어진 무인 스테이션은 순수한 망 분리로 돌아가지 않는다. 그 제어기를, 외부인이 설정을 다시 쓸 수 있는 공개 웹 페이지로 두는 일이 화면과 수조가 같은 밤을 그만 설명하게 되는 경로다. 목록, 실제로 접근 통제인 원격 경로, 침입자가 이름을 바꾸지 못한 측정. 운전에 남는 부분이다.