Vladimir Daščenko, glavni istraživač za bezbednost u kompaniji Kaspersky

Savremeni rashladni sistemi predstavljaju tipičan primer sajber-fizičkih sistema. To znači da se mogu nadzirati i kontrolisati na daljinu, dok njihov nivo bezbednosti često ostaje nedovoljan.

 

U pojedinim slučajevima proizvođači ne primenjuju ni osnovne zaštitne mere, kao što su obavezna primena politike lozinki, dvofaktorska autentifikacija i druge standardne bezbednosne kontrole. Pored toga, kod ovih proizvoda često postoje slabe tačke bezbednoti i tokom razvoja softvera i procesa SSDLC (Security Software Development Life Cycle – životni ciklus razvoja bezbednog softvera).

Ovakvi sajber-fizički sistemi takođe su često izloženi internetu, umesto da budu na odgovarajući način izolovani od njega. Kontrolni paneli rashladnih sistema, na primer, mogu se identifikovati putem pretraživača kao što su Shodan i Censys, koji indeksiraju uređaje dostupne preko interneta. U praksi to znači da, ukoliko je uređaj javno dostupan i nebezbedno konfigurisan, mogu da ga pronađu i administratori i akteri koji predstavljaju pretnju. To značajno povećava rizik od neovlašćenog pristupa, iskorišćavanja poznatih ranjivosti i naknadnog ometanja rada opreme.

Informacije o načinu na koji se daljinski omogućuje proizvoljno izvršavanje  koda na sličnim kontrolnim panelima rashladnih sistema pojavile su se u javno dostupnim izvorima pre nekog vremena. U pojedinim slučajevima, proizvođačima nedostaje mehanizam kojim bi mogli da osiguraju instalaciju kritičnih ažuriranja, što predstavlja realističan vektor za ovu vrstu sajber-napada.

Proizvođačima se preporučuje da bezbednosne zahteve ugrade već u fazi projektovanja i da ih primenjuju tokom čitavog procesa razvoja: da izbegavaju direktno izlaganje uređaja internetu, uvedu snažne mehanizme autentifikacije i obezbede pravovremenu instalaciju kritičnih ažuriranja. Kupci i organizacije koje nabavljaju ovu vrstu opreme takođe bi trebalo da obrate pažnju na sajberbezbednosne prakse dobavljača, uključujući upravljanje bezbednosnim zakrpama i zaštitu daljinskog pristupa.