Temmuz sonu, ABD içme suyu ve atık su sistemlerine gelen bir dizi sızmanın hedefi gelen kutusu değil, ekipmandı. NIST’in Ulusal Siber Güvenlik Mükemmeliyet Merkezi, 1 Ekim’de araştırmacıların elindekini anlattı. CISA, FBI ve EPA uyarıları, bu tesislerde sıradan olan internete açık bileşenlere işaret ediyordu. Kontrolörlere yetkisiz ulaşılmıştı. NIST’in niyet anlatımı düz: ayarları değiştirmek, personelin izleyip komut verebildiği alanı daraltmak, arıtmayı bozmak. Merkezin tartıştığı vakalarda ünitelerin parolaları ve IP adresleri değiştirilmiş, işletmesi gereken insanlar dışarıda kalmıştı.
Sektörün biçimi bu örüntüyü eşitsiz kılar. NIST yaklaşık 50.000 toplum su sistemi ve 16.000’den fazla atık su sistemi sayar. Tesislerin yaklaşık yüzde 1’i çok büyüktür ve birlikte nüfusun yarısına yakınını besler. Yüzde 80’den fazlası küçüktür; her biri 3.300 veya daha az kişiye hizmet eder. Paylaşılan bir oturum ve kamu internetinden cevap veren bir kontrolör, bu küçük sistemlerin çoğunda gece vardiyasının pompa istasyonuna hâlâ böyle ulaştığı yoldur.
Merkezin bu sektör için gösterdiği uzaktan erişim mimarileri, NIST SP 1800-45, önleyici yarıdır. Klasik bir tesis, uzaktan erişim sunucusunun önüne güvenlik duvarı koyup kimin hangi varlığa dokunacağını kısıtlayabilir. O yığını kadrolayamayan küçük tesis için kayıt tutan bir bulut erişim düzlemi gösterilir. Ortada insan olmadan süreç verisi değiş tokuş eden sahalar için aralarında şifreli bağlar gösterilir. Yararlıdır. Temmuz’un konsolda bıraktığı soruya hiçbiri cevap vermez: HMI açılmıyorsa ıslak kuyu, artık klor, basma basıncı ne yapıyor?
Mekanik bir gösterge, kontrolörün web sayfası olmayan yerel bir ekran ve çalışan mantıkla karşılaştırılan bilinen-iyi bir kopya, bilerek sıkıcıdır. “Oturum açamıyoruz” ile “pompanın izne uyup uymadığını artık bilmiyoruz”u ayırır. NIST, çalışan savunması olan bir tesisin de hizmet kaybedebileceğini açık yazar. İş, o aralığı kısa tutmaktır. Merkezin sonraki projesi varlık görünürlüğü. Uzaktan erişim kuralı, kimsenin listelemediği bir kontrolörü kapsayamaz.
Tesisin kilometrelerce uzağındaki insansız istasyonlar saf bir hava boşluğuna dönmüyor. Kontrolörlerini, bir yabancının yeniden yazabildiği kamu web sayfası olarak bırakmak, ekran ile havuzun aynı geceyi anlatmayı bırakmasının yoludur. Envanter, gerçekten erişim kontrolü olan bir uzak yol ve saldırganın adını değiştiremediği bir ölçüm, operasyonda kalan kısımdır.