„Kauno vandenų“ ataka 2019: kai biuro tinklo užkrėtimas vos netapo vandens tiekimo sutrikimu

2019 m. kovo pradžioje duomenis šifruojantis kenkėjiškas kodas pateko į UAB „Kauno vandenys“ informacines sistemas. Vandens tiekimas nesutriko, tačiau NKSC incidentą įvertino kaip ypatingą — laiku nesuvaldžius, tikėtina, būtų paveiktas vandens tiekimas antrajame pagal dydį Lietuvos mieste.

Incidento santrauka

• Atakos tipas: išpirkos reikalaujančio tipo šifruojanti PĮ administraciniame tinkle.
• Paveikta: duomenys IT tinkle ir debesijos ištekliuose, interneto ir savitarnos svetainė, dalis klientų duomenų.
• Nepaveikta: technologinis (OT) tinklas — siurblinės, nuotekų tvarkymas, paslauga vartotojams.
• Vertinimas: NKSC — ypatingas; viceministras E. Kerza lygino su 2017 m. atakomis Ukrainoje.

Kontekstas: vandentvarka kaip kritinė infrastruktūra

„Kauno vandenys“ — Kauno savivaldybės bendrovė, tiekianti geriamąjį vandenį ir tvarkanti nuotekas. Klasikinis kritinės infrastruktūros subjektas: paslauga, be kurios miestas negali funkcionuoti nė paros, o jos teikimą valdo SCADA tipo pramoninės sistemos.

• Administracinis (IT) tinklas — buhalterija, dokumentai, klientai, el. paštas, svetainė. Nuolat liečiasi su internetu — dažniausias taikinys.
• Technologinis (OT) tinklas — ICS, SCADA, PLC valdikliai, fiziškai valdantys siurblius, sklendes, dozavimo ir valymo procesus. Jo sutrikimas — nebe „neveikia svetainė“, o „neteka vanduo“.

Incidento eiga

1. Įsilaužimas ir šifravimas (2019 m. kovo pradžia)

Pagal NKSC 2019 m. ataskaitą, atakos vektorius — internetu pasiekiama „open RDP“ nuotolinė prieiga, aptinkama automatinėmis skenavimo priemonėmis. Kenkėjiška PĮ užšifravo duomenis administraciniame tinkle ir debesijos ištekliuose (per šifruotą VPN jungtį iš IT tinklo). Sutrikdyta interneto ir savitarnos svetainės veikla.

Įsilaužėliai naudojo priemones pėdsakams paslėpti — tai buvo profesionalu.

— Ramūnas Šulskus, „Kauno vandenų“ administracijos direktorius

2. Suvaldymas (per kelias dienas)

Pasitelkti NKSC specialistai. Sistemos atkurtos per ~2 dienas. Svarbiausia — OT tinklas liko nepaliestas: siurblinės, nuotekų tvarkymas ir paslauga vartotojams nebuvo sutrikdyti.

3. Viešas vertinimas (2019 m. balandis)

Tuometinis KAM viceministras Edvinas Kerza ataką įvardijo kaip itin rimtą ir palygino su 2017 m. ataka Ukrainoje. Institucijos vertino incidentą kaip grėsmę kritinei infrastruktūrai.

4. Oficiali ataskaita (2020 m. balandis)

Kaip techniškai grėsmė veikia: IT tinklas kaip vartai į OT

Technologiniai tinklai retai tiesiogiai pasiekiami iš interneto. Tačiau beveik visada turi jungčių su IT: nuotolinė prieiga inžinieriams prie SCADA, apskaitos sistemoms — technologiniai duomenys, rangovams — VPN. Kiekviena jungtis — potencialus atakos vektorius. „Kauno vandenų“ atveju šifruotas VPN kanalas tapo keliu, kuriuo kenkimo programa pasiekė debesiją. Jei analogiška jungtis būtų vedusi į SCADA — pasekmės būtų fizinės.

Loginis atskyrimas (ugniasienė, VLAN, VPN) yra taisyklių rinkinys — o taisyklės turi klaidų, išimčių ir apeinamų kelių. NKSC rekomendacija: technologinius procesus izoliuoti kaip įmanoma labiau ir atskirti fiziniu būdu — atskiri tinklai, atskiros paskyros, atskiros autentifikavimo sistemos, duomenų mainai tik per vienkrypčius arba griežtai kontroliuojamus šliuzus.

Žalos analizė: kas įvyko ir kas galėjo įvykti

Reali žala

• Užšifruoti duomenys administraciniame tinkle ir debesijos ištekliuose.
• Sutrikdyta interneto ir savitarnos svetainės veikla; klientai laikinai negalėjo deklaruoti rodmenų.
• Paveikta dalis klientų duomenų.
• Kelių dienų atkūrimo darbai, pasitelkiant valstybės specialistus.
• Reputacinis poveikis — incidentas plačiai nuskambėjo.

Potenciali žala, kurios išvengta

Vandens tiekimo ir nuotekų tvarkymo sutrikimas antrajame pagal dydį šalies mieste — scenarijus, kurį NKSC įvardijo kaip tikėtiną, jei incidentas nebūtų suvaldytas laiku. Kibernetinio saugumo rizika matuojama ne tik tuo, kas įvyko, bet ir tuo, kiek trūko iki to.

Pamokos organizacijoms, valdančioms technologinius tinklus

1. IT ir OT tinklai turi būti atskirti — kuo fiziškiau, tuo geriau

Vienintelė priežastis, dėl kurios šifravimo virusas nepasiekė siurblinių — jam pritrūko kelio. Loginis atskyrimas yra būtinas minimumas, bet lieka taisyklių rinkiniu.

2. Jokių atvirų RDP ir kitų nuotolinių prieigų tiesiai iš interneto

Atvira RDP prieiga — laukiantis incidentas: ją suranda masiniai skeneriai. Nuotolinė prieiga tik per VPN su MFA ir kontroliuojamus jump serverius.

3. VPN ir kiti „patikimi“ kanalai taip pat yra atakos keliai

Debesijos ištekliai buvo užšifruoti per šifruotą VPN. Šifravimas apsaugo kanalą, bet ne tai, kas juo keliauja. Kiekviena jungtis turi būti vertinama pagal tai, ką ji leidžia pasiekti.

4. Paskyros ir autentifikavimas IT ir OT — atskiri

Jei ta pati paskyra (ar katalogo tarnyba) veikia abiejose aplinkose, IT administratoriaus perėmimas atveria OT automatiškai.

5. Atsarginės kopijos — atjungtos ir išbandytos

Kritinei infrastruktūrai būtinos offline kopijos, įskaitant PLC/SCADA konfigūracijas, ir reguliarūs atkūrimo bandymai.

6. Rankinio valdymo procedūros — paskutinė gynybos linija

Kritinė paslauga turi išgyventi ir tada, kai skaitmeninės sistemos neveikia — dokumentuotos ir išbandytos rankinio valdymo procedūros.

7. Incidentų valdymo planas ir pratybos — iki incidento

Greitą suvaldymą lemia iš anksto žinomi kontaktai, aiškios atsakomybės ir praktiškai išbandytas scenarijus, apimantis OT.

8. OT stebėsena — atskira disciplina

Grėsmė OT gali bręsti IT tinkle, kur OT operatoriai jos nemato. Reikalinga stebėsena abiejose pusėse.

Viešų duomenų ribos

• Ransomware šeima viešai neskelbta.
• Ar buvo pareikalauta ir (ar) sumokėta išpirka — viešai nepatvirtinta.
• Tiksli incidento data — šaltiniai nurodo tik „kovo pradžią“.
• Konkrečios techninės priemonės po incidento viešai nedetalizuotos.

Galutinis vertinimas

Kritinės paslaugos saugumas matuojamas ne administracinio tinklo apsaugos kokybe, o atstumu tarp administracinio tinklo ir technologinių procesų. Jei tas atstumas — tik ugniasienės taisyklė ar VPN jungtis, biuro kompiuterio užkrėtimas nuo fizinės paslaugos sutrikimo skiriasi tik užpuoliko motyvacija ir laiku.