Nauja atakų banga prieš Europos prekybos šaldymo sistemas: ką tikrinti verslui?

Kas nutiko lapkričio 2 d.?

Prekybos tinklai ir žiniasklaida pranešė apie šaldytuvų bei šaldiklių sutrikimus Belgijoje, Švedijoje, Liuksemburge, Airijoje, Estijoje, Nyderlanduose ir Suomijoje. Konkrečios apimties skaičiai skyrėsi pagal šalį ir šaltinį: „The Record“ rašė apie daugiau nei 50 nustatytų parduotuvių Belgijoje ir dar per tuziną kitose šalyse, o „Associated Press“ atskirai nurodė, kad paveiktos 13 „SuperValu“ parduotuvių Airijoje ir 15 „Carrefour“ parduotuvių Belgijoje. Šie duomenys yra pirminiai žiniasklaidos pranešimai, o ne galutinė bendra statistika.

Švedijos ir Estijos pranešimuose minėta, kad kai kurių šaldymo įrenginių temperatūra pakilo iki 50 °C. Dalis tinklų teko išimti šaldytus ar atšaldytus produktus iš prekybos. Skaičius ir poveikį verta vertinti konkretaus šaltinio bei datos kontekste, nes įmonių pranešimai buvo tikslinami visą dieną.

Kas patvirtinta, o kas dar neaišku?

Rugsėjo pabaigos–spalio mėnesio pranešimai jau buvo siejami su nuotoliniu šaldymo įrenginių valdymu Prancūzijoje. Lapkričio incidento metu įmonės ir paslaugų tiekėjai dalį atvejų apibūdino kaip kibernetines atakas, o Belgijoje pradėtas tyrimas. Tačiau viešuose duomenyse nėra įrodymų, kad lapkričio įvykiai yra tos pačios grupės tęsinys ar kad kiekvienas atvejis naudojo tą patį kelią.

Pranešimuose minimi kelių gamintojų valdikliai. „The Record“ nurodė, kad Estijoje tiekėjas aprašė senesnės „Danfoss“ sistemos atvejį, o Nyderlandų transliuotojas minėjo „Copeland“ įrangą Belgijoje. „Reuters“ taip pat rašė, kad bent dalis paveiktų šaldymo įrenginių naudojo „Danfoss“ temperatūros valdymo technologiją. Tai nėra įrodymas, kad pažeidžiamas kiekvienas šio gamintojo produktas ar kad vien gamintojas nulėmė incidentą.

Šiuo metu viešai paskelbto universalaus CVE numerio, kuris paaiškintų visus lapkričio atvejus, nėra. Kiekvieno objekto priežastį reikia tirti pagal konkretų valdiklį, programinės įrangos versiją, nuotolinės prieigos nustatymus ir žurnalus.

Kodėl šaldymo valdymas yra kibernetinio saugumo tema?

Šiuolaikinėje parduotuvėje šaldymo įranga gali būti stebima ir valdoma nuotoliniu būdu: techninės priežiūros tiekėjas mato temperatūras, keičia režimus ir reaguoja į gedimus. Tai padeda prižiūrėti daug objektų, bet kartu sukuria nuotolinį administravimo kelią į fizinį procesą.

Jei valdiklio sąsaja pasiekiama tiesiai iš interneto, naudojama bendra tiekėjo paskyra arba įrenginys nebegauna gamintojo saugumo pataisų, techninis patogumas gali virsti veiklos rizika. Poveikis gali būti pastebėtas tik tada, kai nepriklausomas temperatūros signalas parodo, kad šaldymo grandinė jau nukrypo nuo normos. Tokie atvejai paliečia ne vien informacines sistemas: jie gali paveikti atsargas, parduotuvės darbą ir maisto saugos procedūras.

Kaip turėtų būti atskirtas šaldymo tinklas?

Šaldymo valdikliams paprastai nereikia būti tiesiogiai pasiekiamiems iš viešo interneto. Tiekėjo administravimo prieigą galima apriboti per valdomą VPN ar kitą saugų šliuzą, naudoti vardines paskyras su MFA, suteikti prieigą tik darbų laikui ir užfiksuoti atliktus pakeitimus. Tikslus sprendimas priklauso nuo įrangos ir jos tiekėjo palaikomų funkcijų.

Kontrolinis sąrašas parduotuvių ir įrangos prižiūrėtojams

1. Sudarykite valdiklių inventorių. Užrašykite gamintoją, modelį, programinės įrangos versiją, palaikymo pabaigą, ryšio vietą ir atsakingą tiekėją.
2. Pašalinkite tiesioginį viešą pasiekiamumą. Patikrinkite interneto maršrutizatorių, ugniasienes, persiųstus prievadus, nuotolinio valdymo portalus ir tiekėjo tunelius. Valdiklio valdymo sąsaja neturi būti atvira visam internetui.
3. Apribokite tiekėjo prieigą. Naudokite individualias paskyras, MFA, laiko ribojimą ir patvirtinimą; panaikinkite nebeaktyvias paskyras. Tiekėjo ryšį atskirkite nuo kasos, biuro ir svečių tinklų.
4. Peržiūrėkite atnaujinimus ir palaikymą. Jeigu įrenginys nebepalaikomas, paprašykite tiekėjo rašytinio mažinimo plano ir pakeitimo termino. Programinės įrangos atnaujinimas ne visada išsprendžia senos aparatinės įrangos ar architektūros ribas.
5. Stebėkite ne tik tinklo būseną. Registruokite nuotolinius prisijungimus, nustatymų pakeitimus, atitirpinimo režimą ir temperatūros nuokrypius. Perspėjimą siųskite į atskirą kanalą, nepriklausantį vien nuo to paties valdiklio.
6. Parenkite veiklos tęstinumo veiksmus. Nurodykite, kas naktį gauna perspėjimą, kas iškviečia techniką, kaip įvertinami produktai ir kaip saugiai taikomas rankinis valdymas. Šaldymo grandinės sprendimus vykdykite pagal įmonės maisto saugos ir įrangos procedūras.
7. Po incidento saugokite įrodymus. Išsaugokite žurnalus, valdiklio konfigūraciją, nuotolinės prieigos įrašus ir tiekėjo pranešimus. Prieš izoliuodami įrenginį įvertinkite, ar atjungimas nesukels pavojaus procesui.

Ką ši istorija reiškia Lietuvos įmonėms?

Pranešimai yra apie Europos prekybos objektus; vieši šaltiniai nepatvirtina, kad paveiktos Lietuvos parduotuvės. Vis dėlto ta pati rizikos klasė aktuali vietoms, kur nuotoliniu būdu prižiūrimi šaldymo, šildymo, pastato valdymo, signalizacijos ar prieigos kontrolės įrenginiai. Svarbus ne įrangos prekės ženklas, o tai, ar žinote jos savininką, atnaujinimų būklę ir visus nuotolinės prieigos kelius.

IT komanda turėtų kartu su įrangos tiekėju įtraukti tokius valdiklius į tinklo schemą ir prieigų inventorių. OT sistemų atnaujinimus bei izoliavimą reikia planuoti atsižvelgiant į fizinio proceso saugą ir tiekėjo instrukcijas.