Одна из проблем автоматизации процессов управления в том, что чем более критичные процессы доверяются программам, тем более привлекательными мишенями они становятся для террористов. Представьте, например, модные автопилоты на автомобилях, получившие взломанный патч, которые сообщит им, что в час Х им надлежит разогнаться до максимальной скорости и направиться в скопление людей. Лобовое столкновение поездов, системы управления сложными инфраструктурными объектами и т.д.
Хакерские изыскания в этом направлении идут:
Городок Олдсмар (Флорида) сообщает об успешном взломе системы управления водоснабжением, в результате которого хакер получил полный доступ и смог повысить концентрацию щелочи в воде с 100 единиц на миллион до 11100 единиц (то есть, более чем в сотню раз).
Сообщается, что система управления водоснабжением была установлена достаточно новая (8 летней давности), своевременно получала все обновления и патчи, то есть проблема не в том, что работает нечто древнее с кучей уязвимостей.
В данном случае взлом не создал опасности для людей (вода из резервуаров поступает к конечным потребителям с приличной задержкой), но все впереди.
Не иначе - русские хакерытм.
Комментарии
О чём предупреждал с 2007 года, на электронике уязвимости систем жизнеобеспечения городов.
В подобном случае спасла одна из двух пенсионеров-вахтерш не поленившаяся в мороз ночью пойти и проверить показания прибора.
А есть ещё структурные удары и просто сложность системы когда валиться многократно пропатченное и пофиксенное электроникой начинает. от 737-MAX до систем водоподготовки и энергоснабжения.
В США или умерли или им по 85+лет НАСТОЯЩИМ спецам по сложным системам.
А зачем вообще внутренней системе управления связь с внешним миром? Достаточно передачи телеметрии, всё.
А как же еженочьнные обновления? Если их не делать, то как ТНК смогут контролировать мир?
Спрашивается почему ОС постоянно обновляются?
Ответ для лохов - устраняются проблемы в безопасности.
Естественно возникает вопрос: а сколько лет нужно, чтобы в ОС устранить все проблемы?
Ответ - бесконечно много, потому, что устранив ставшую достоянием общественности дыру, тут же создают новую.
Устранять дыру через дыру ?
Закрывают уязвимость, чтоб ею не пользовались те, кому это не положено.
Это как если бы мне, например, продали квартиру с условием, что ключ от входной двери останется у управляющей компании. Якобы для моей же безопасности. Это как бы для того, что бы они смогли контролировать работу систем жизнеобеспечения квартиры и замков входной двери. А в случае, когда они посчитают необходимым, мне заменят любую систему или замок на более "современную". За мой счёт естественно.
Практически весь запад так живет. Лет 50 так точно...
Физически, чем сложнее система, тем больше дыр для профессионала.
Именно так.
У ту только через опторазвязку передавать;)
1. ВЧ навязывание.
2. Манагеры экономят на безопасности и надёжности, вместо скажем десяти всего один-два оператора где-то на центральном посту.
Уязвимость все более сложной системы повышается в любом случае. В ручном или автоматическом исполнении контроля - я бы поспорил. Попробуйте посадить вахтерш на все датчики и получите полный коллапс за день. Кроме того существуют процессы в которых скорость реакции человека просто недостаточна. Для этого создавалась наука мехатроника.
Вопрос грамотного проектирования и исполнения.
Всё ближе подходит время, когда "даже один человек ( если он того захочет) - сможет уничтожить весь мир", как это было сказано в каком-то древнем тексте....
Наиболее надёжна автоматика +люди с высокой ответственностью. и хорошо знающие максимальные параметры оборудования. Автоматика с обновлениями как и с доступом лиц на объекте - еретические концепции.
в противоречие обычно входит не выбор ручное-автоматическое управление, в противоречие входит прибыль-безопасность.
С целью снижения зависимости от наличия квалифицированного персонала на каждом объекте (что очень дорого и иногда даже невозможно) делается удаленный доступ. Это существенно снижает затраты.
Но любой удаленный доступ это резкое снижение безопасности.
Вот эти качели сейчас и раскачиваются.
Любая система управления действует в интересах реальной, а не публичной власти. А реальная власть у нелюдей. Пока люди не начнут различать в своем обществе нелюдей и не уберут их из управления обществом, ничего не изменится.
Для 70г.р. у вас глубокое понимание ситуации!
Может и детали поясните, например:
1. Кто именно эти "люди" которые уберут "не людей"?
2. По какому именно критерию первые отличаются от вторых?
Нацисты вроде пробовали разделить и "убрать", не получилось. Или нелюди это те что во власти, а люди, это те что ЕЩЕ не смогли попасть во власть?, (читай - еше не успели стать нелюдями). Очень интересно получить развернутый ответ.
По психическим расстройствам например. Врядли их кто-то проверяет, даже когда они очевидны. Байден, Хиллари. А есть ещё скрытые.
На эту тему написана серия статей и ещё несколько в планах. В двух словах так: все люди делятся на людей душевных (существом управляет Душа), людей одержимых (Душа потеряла управление телом в пользу посторонней силы) и биороботов.
Механизм душевности.
Психология против государственности.
Учимся разбираться в людях.
Механизм гнета или как управляют Человечеством.
Картина мира у биороботов.
Государственная одержимость России.
Точно хакеры? Или так теперь можно прикрыть халатность? Очень похоже, что жертвы образования попутали показатели ppm, там действительно можно лохануться если опыта нет
Да запросто может быть. Залез такой иуный кулхацкер, доступ получил. А как там техпроцесс устроен, он и не знает. Вот и «покрутил» первый попавшийся краник. Например, дозирующую станцию. Ну, станция сколько смогла, столько и добавила.
В общем, такое вполне может быть.
Другое дело, что это может быть совсем не юный балбес. И взломана может быть вовсе не станция водоочистки.
Не, я подумал, что юный сотрудник станции напутал с терминами, не кулхацкер.
Да не, там обычно всё автоматизировано до упора и практически никто никуда не лезет. И незачем и, часто, у дежурных смен просто и возможности нет. Всё в контроллеры зашито, короче.
точно так. я управляю IT большого современного завода. операторам недоступны контроллеры как таковые - только экраны управления. случайно или намеренно могли изменить значение тэгов или местные автоматчики\IT-шники или хакеры. Большая часть моей работы заключается в выполнении мероприятий по достижению заданного уровня безопасности, особенно для систем IoT - всякие умные системы активно пихаемые в производство. Из за скорости и энергии с которой их пихают могут возникать такие уязвимости. P.S в эту минуту как раз настраиваю порт сниффер на свичах как часть корпоративных мероприятий по IT безопасности.
Что меня в таких системах умиляет, так это покладание болта на настройку оконечных устройств (та самая отрыжка «удобства»).
Ага, вот. Спасибо!
Вы-то управляете, а я всё-таки «мимо прохожу».
А уж, извиняюсь за выражение, *как* реализовано включение фрюниксов в такую востребованную ересь, как «домен» (в смысле совместимости действа с хоть как-то претендующей на безопасность настройкой ОС…)…
Про прописываемые в нормативных документах требования установки вредоносного ПО (в пакете с функциональностью оного, до совместимости с традиционными технологиями включительно и *ответственности* авторов) скромно промолчу.
Не имел с этим дела,
увык счастью.Но очень давно и очень точно знаю, что установка чего бы то ни было от Microsoft Corp.©®™ есть сделка с Диаволом.
А апофеозо оного — ихняя Еула. За одно принятие коего отвлиц надо сразу расстреливать из атомных мультуков.
Обычный набор отмазок в линии третьей этической…
ЗЫ: И, кстати, на второй пятилетке санкций со импортозамещением заметных подвижек в направлении отвязки от поделий мелкосовта не наблюдаю ☹
1. Ну вы пока не доказали, что метод с Третьей этической корректен в применении…
2. Увы. И, скорее, наоборот.
все на винде и все глючит. так и живем. более того, автоматчики поначалу скромничали и не использовали Ethernet ( ибо не детерминистический протокол ) - делали через device net и control net. а теперь понесли ботинки Витю - все лепят через Ethernet. зовут это Industrial и радуются. никаких подтверждений принятия сигнала на уровне контроллеров не делают. всех, кто на это укажет считают ретроградом. время от времени делают круглые глаза - а почему котел сам включился! но ничего уже не остановить.....
Поддерживаю. Самый страшный "вирус/хакер" - пользователь идиот.
Как правило, все системы имеют защиту от "дурака". И "дурак" сидит за компом, а управление делает контроллер. В худшем случае система оставит "дурака" без информации о текущем состоянии.
А вот хакер может обойти защиту от дурака и выдать на оборудование команды, которые могут привести к его выходу из строя.
В данном случае приготовили из водопроводной воды минералку, а могли туда разом бухнуть всю имеющуюся в наличии химию. А там много разных реагентов, не только щелочь.
Могли выключить систему биологического обеззараживания воды, как вариант.
Ник у вас хороший. В тему.
Ну вот у нас сидит диспетчер, в его обязанности входит например задавать при необходимости пропускную насосов гвс, мощность и режим работы и вентмашин, холодоцентра и прочая. Если он лажанет и вобьет 100% вместо 10 - сработает резервный сброс. А если, вдруг, сброс, скажем, физически закис - будет ущерба на десяток-другой лямов деревянных.
Или один раз засидется в туалете и переморозить абхм - потом неделю ее восстанавливать, с кучей гемороя и тож недешего (фактически всю разобрать, построить вокруг парник, и в этом парнике поднимать температуру как в печи).
Такой же гиппотетически идиот, за таким же дезиго может случайно промахнуться и подать команду на открытие дамбы в питере, с затоплением части васильевского острова, тут сумму ущерба даже прикидывать не возьмусь.
Конечно, на подобные места обычно не берут идиотов, и, как правило есть несколько рубежей обороны, но никто никогда не даст гарантии что профессиональный идиот случайно не обойдет их все. А тут всего то надо два раза 100 вбить в одно поле, достаточно задуматься/отвлечься, вбить не глядя и жмякнуть энтер.
За чем там у вас следят контроллеря - я без понятия. 21ый век на дворе, сто лет как контроллер ничем кроме получения и отправки управляющих сигналов от сервера к оконечке не занят. Уж точно не верификацией валидности установки - это задачи сервера. А на серваке не всегда можно все значения строго обрезатт в пределах допустимых - потому что штатный и тестовый режим могут отличаться. Какч например, при промывке системы.
= 21ый век на дворе, сто лет как контроллер ничем кроме получения и отправки управляющих сигналов от сервера к оконечке не занят. Уж точно не верификацией валидности установки - это задачи сервера. А на серваке не всегда можно все значения строго обрезатт в пределах допустимых - потому что штатный и тестовый режим могут отличаться. =
смотря как система автоматизации устроена.
Я как-то делал распределенную систему, там контроллер прошивается на тему "минимальное и максимальное возможные значения". Если измеренный параметр выскакивает за пределы, то выдаётся сигнал ошибки. Как этот сигнал обработать: резко остановить процесс, если это опасно, или для информации "обратить внимание" или ещё как - дело алгоритма установки. Но эти флажки можно выставить именно прямо в контроллере.
Правда сейчас все фанатеют к централизованным решениям, и там не контроллеры а просто преобразователи сигнала, и там да, программно решается, какие ограничения выставить.
Клава вздребезгнула... а оператор на экран не смотрел.
Классика жанра: "я уже почти закончила отчот, но тут появился вирус и удалил его!!! (хнык-хнык)"
Оригинал статьи читайте. Никто там ничего не взламывал, почти наверняка. И уж как минимум, не "систему водоснабжения".
> as the operator could see the mouse moving on the computer screen, opening various software functions that controlled
Наверняка там тупили жёстко простые работяги, ну и сделали им техническую поддержку, что-нибудь типа бесплатного AnyDesk / TeamViewer или даже xxxxxVNC - да может быть сын\дочь одного из работяг и поставили, чтобы папке помочь. И забыли удалить.
А чтобы не теряться - то никакого пароля не ставили, или ставили короткий и без защиты от подбора.
А какой-нибудь школьник просто тупо просеивал сеть, искал открытые всему миру двери - и нашёл, и заглянул внутрь: "а что это у нас тут за такая странная игра, блин, да тут просто SimCity вместе с KerbalSpace, ой какие интересные кнопочки!"
Нормальный хакер бы сделал все так, чтобы "мышка не шелохнулась" и вообще никаких признаков не было. Вспоминайте иранский урановый завод - там вообще узнали, что взломаны, когда центрифуги загорелись. А тут явно какой-то школьник наткнулся на "пещеру Али Бабы" и с горящими глазами начал крутить и нажимать всё подряд.
В общем, реально халатность и "вкладываться в безопасность? и так сойдет, а если что - виновата полиция и хакеры, а не мы".
Когда в реальном времени Скорая Помощь Москвы данные всех выездов выгружала на публичную БД в Германии, потому что "да кто их тут найдёт, да кому они тут интересны" - это тоже был взлом и хакеры?..
Воду можно и слить, в принципе не сильная беда. А вот получение удалённого доступа к системе телеуправления объектов диспетчиризации энергосистемы в - 30 больным отморозком, вот это БЕДА!
Безопасность АСУТП Тренд в ИБ для РФ уже лет 5
а чем это для человека грозит????
Изжога пройдет.
Как-то, пока с дозатором одним рядом стоял, опёрся краем ладони на боковину. Кожа приобрела нормальный цвет и фактуру года два спустя. Ещё случилось пройтись по залитому смесью полу цеха в тапках не той системы. Потом очень радовался тому обстоятельству, что в них дырок не было. На тот момент.
Щёлочи - они такие.
Пройдёт внутрь.
Ну вот, у Овц теперь полиняет шкурка ...
Кстати,подумалось - а ведь, если что, то удобно многие косяки сваливать на происки неизвестных хакеров
Тоже вот забеспокоился за Овче, не полиняют ли кроссовки
Да прям таки и неизвестных. Кого назначат тот и крайний. А кого в последнее время постоянно обвиняют ? Кто у нас вездесущ и имеет длинные руки ? Отож !!!
Ну если совсем в последнее, то Трамп.
Кстати, Доня сейчас как раз во Флориде ошивается, какие ещё доказательства требуются ?
Интересно, а если в систему водоснабжения города ботулинчику плеснуть, успеют службы тему отловить до того, как вода из кранов в квартирах потечёт?
Со щелочью-то ладно, датчики покажут... Да и на вкус заметно будет...
Это не через хакера. Это уже полноценный теракт с захватом очистных сооружений.
Страницы