Fizikai veszélyforrás: SCADA és HVAC a célkeresztben
A szervezet nemcsak az informatikai eszközöknél, hanem az üzemeltetési rendszereknél is elhanyagolta a biztonságot. Az operatív technológiák, például a SCADA rendszerek és az HVAC (fűtés, szellőztetés, klíma) gépházakhoz sem volt megfelelően elkülönítve a hozzáférés, így a hétköznapi felhasználók is bejuthattak oda, ahová nem lett volna szabad.
Ebből fakadóan, ha egy támadó eljutott volna ezekhez a rendszerekhez, elvileg könnyedén manipulálhatta volna például a hőmérséklet- vagy nyomásérzékelőket, sőt akár a folyadékáramlást is, amivel közvetlen veszélyt jelentett volna az ott dolgozókra és az egész infrastruktúra működésére. A CISA szerint a helytelenül beállított és gyengén védett rendszerek súlyos következményekkel járhatnak, mivel ezek felügyelete alatt állnak olyan eszközök, mint a rádió- és üvegszálas kommunikációs rendszerek, szenzorok, szelepek – vagyis az üzem szíve és agya.
Hiányzó naplózás, veszélybe sodort védelem
A biztonsági hiányosságokat tovább súlyosbította, hogy a szervezet nem vezetett naplókat a munkaállomásokon, így még a kibervédelmi szakértők sem tudtak teljes körű elemzést végezni. A naplózás elhanyagolása azt eredményezi, hogy az illetéktelen hozzáférések és oldalsó mozgások nyom nélkül maradnak, így a fenyegetések hónapokig, akár évekig is rejtve maradhatnak.
A megállapítások nyomán a CISA általános javaslatokat adott a védekezés javítására, de az is kiderült, hogy az ilyen nyitva hagyott rendszerek könnyű célpontot jelentenek a támadók számára.
Ijesztő példák az éles tesztekből
Ez nem egyedi eset: a CISA már tavaly is bejutott egy másik, titkos szövetségi szervezet rendszerébe, pusztán egy 9,8-as kritikus sebezhetőséget kihasználva. Ez az Oracle Solaris egyik, időközben kijavított hibája volt (patchelve lett), amelyet a támadó csapat hamarabb használt ki, mint hogy a hibát a tiltott listára tették volna.
Az eset jól példázza, hogy a szakszerűtlen beállítás és a frissítések elhanyagolása bárhol, bármelyik szervezet infrastruktúráját veszélyeztetheti.
