Ogromna gama urządzeń do zasilania energią słoneczną pozostawiona w sieci

Pierwszy raz opublikowano

• Według nowego raportu firmy Forescout, zajmującej się przemysłowym cyberbezpieczeństwem, niemal 35 000 urządzeń zasilanych energią słoneczną można obsługiwać zdalnie i mają one otwarty dostęp dla każdego, z dowolnego miejsca na świecie.
• Według wtorkowego raportu, te odsłonięte urządzenia z interfejsami zarządzania dostępnymi przez internet, produkowane przez 42 różne firmy, obejmują sprzęt niezbędny do obsługi infrastruktury energii słonecznej.
• Niektóre interfejsy zarządzania mogą obejmować ochronę hasłem, jednak Forescout twierdzi, że praktycznie żaden z nich nie musi być podłączony do sieci, a wszelkie wyjątki powinny być obsługiwane przez sieci VPN.
• 10 dostawców, którzy mieli największą liczbę narażonych urządzeń, ujawniło w ciągu ostatniej dekady luki w zabezpieczeniach, zwiększając ryzyko, że ich urządzenia będą dostępne w publicznym Internecie.

Przejście na odnawialne źródła energii i rosnąca digitalizacja sieci energetycznych połączyły się, tworząc poważne zagrożenia dla cyberbezpieczeństwa. Najnowsze odkrycia Forescout ilustrują, w jaki sposób brak bezpiecznych praktyk projektowych w urządzeniach infrastruktury krytycznej może również zagrażać życiu ludzi i stwarzać możliwości destabilizacji całych regionów.

Raport Forescout — oparty na skanowaniu publicznych adresów IP za pomocą wyszukiwarki Shodan — zawiera szczegóły dotyczące dystrybucji sprzętu solarnego z interfejsami zarządzania dostępnymi przez Internet. Na przykład urządzenia te są bardziej rozpowszechnione w Europie i Azji niż gdzie indziej, przy czym trzy czwarte urządzeń znajduje się w Europie, a 17% w Azji. Niemcy i Grecja mają po jednej piątej całkowitej liczby narażonych urządzeń. Ponadto 10 dostawców z największą liczbą narażonych urządzeń nie było tymi samymi, co 10 dostawców z największymi udziałami w rynku; na przykład globalny potentat Huawei nie znajduje się na liście Forescout.

Sunny WebBox firmy SMA, urządzenie zbierające i raportujące informacje o wydajności falowników solarnych, było najczęściej obserwowanym elementem wyposażenia pozostawionym zdalnie, zaraz za nim znalazły się falowniki Fronius International. Sunny WebBox, który został wycofany ze sprzedaży w 2015 r., „zawsze należał do najczęściej narażonych urządzeń solarnych”, powiedział Forescout — mimo że badacze ujawnili zakodowaną na stałe lukę w zabezpieczeniach produktu we wrześniu 2015 r. W rzeczywistości, podczas gdy liczba narażonych urządzeń spadła z 80 000 w grudniu 2014 r. do 9500 w momencie ujawnienia luki, wzrosła z powrotem do 13 000 w zeszłym miesiącu, według Forescout.

Eksperci ds. cyberbezpieczeństwa twierdzą, że nieużywana infrastruktura podatna na ataki z Internetu i znana z luk w zabezpieczeniach to przepis na katastrofę.

„Widzimy, że grupy zagrożeń agresywnie i oportunistycznie uzyskują dostęp do połączonej z Internetem [infrastruktury]” — powiedział Rob Lee, dyrektor generalny przemysłowej firmy cybernetycznej Dragos. „Farmy słoneczne i inne rozproszone zasoby energetyczne wymagają łączności. Jednak łączność ta powinna być odpowiednio zabezpieczona, a podejście zakładające naruszenie musi być stosowane w odniesieniu do tego, jak atrakcyjne są te systemy dla przeciwników”.

Do niektórych urządzeń może być możliwy zdalny dostęp, ponieważ ich operatorzy nawet nie wiedzą o ich istnieniu pośród morza trudnej do zarządzania infrastruktury.

„Bez pełnej widoczności tego, jak te odsłonięte zasoby komunikują się w różnych środowiskach, operatorzy nie mogą ich właściwie kontrolować” – powiedział Gary Kneeland, starszy menedżer ds. produktów w przemysłowej firmie cybernetycznej Claroty, w wiadomości e-mail dla Cybersecurity Dive. „W miarę jak staje się to coraz bardziej rozpowszechnioną ścieżką ataku, takie rzeczy jak widoczność zasobów i mapowanie komunikacji staną się kluczowym wymogiem ochrony krytycznej infrastruktury”.

Kneeland powiedział, że luki w zabezpieczeniach urządzeń przypadkowo pozostawionych w trybie online „pozostają uporczywym problemem dla sektorów ścigających się z cyfryzacją, szczególnie w sektorze energetycznym”.

„Napastnicy nie potrzebują skomplikowanych narzędzi” – powiedział – „wystarczy dostęp”.