Enerji Sistemi için Artan Siber Güvenlik Riskine Yönelik Boru Hattı Hack Noktaları

WASHINGTON – Büyük bir yakıt boru hattını kapatan ve Amerikalıları bu hafta Güneydoğu’da benzin için çabalamaya gönderen cüretkar fidye yazılımı saldırısı, bilgisayar korsanlarının Amerika’nın yaşlanan, savunmasız enerji altyapısını ilk kez bozduğu olay değildi. Ve son olması pek olası değil.

Tüm dünyada siber saldırganlar, modern toplumun temelini oluşturan enerji sistemlerini giderek daha fazla hedef alıyor. IBM’in Şubat ayı raporunda, enerji endüstrisinin 2020’de bu tür saldırılar için yalnızca finans ve üretimin ardından en çok hedeflenen üçüncü sektör olduğu bulundu. Bu, 2019’da dokuzuncu sıradan yüksekti.

Enerji danışmanlığı şirketi Converge Strategies’in müdürü Jonathon Monken, “Bu bir uyandırma çağrısı olmalı” dedi. “Bugün enerji şirketlerinde kesintilere en çok neyin neden olduğuna baktığınızda, siber güvenlik risklerini en üste koymanız gerektiğini düşünüyorum. ”

Yıllarca süren uyarılara rağmen, Amerika’nın geniş boru hatları, elektrik şebekeleri ve enerji santralleri ağı, milyonlarca insanın enerji kaynaklarını kesintiye uğratma potansiyeline sahip siber saldırılara karşı son derece savunmasız kalmaya devam ediyor. Analistler, bu risklerin üstesinden gelmenin, ülkenin enerji altyapısını modernize etmek ve iklim değişikliğini ele almak için daha temiz enerji kaynaklarına geçmek için yüz milyarlarca dolar aradığı için Biden yönetimi için büyük bir zorluk teşkil edeceğini söyledi.

Düzenleyiciler giderek daha fazla devreye girmeye hazırlanıyor. Pazartesi günü, Federal Enerji Düzenleme Komisyonu başkanı Richard Glick, ülkenin yaklaşık 3 milyon millik petrol ve gaz boru hatları için zorunlu siber güvenlik standartları oluşturma zamanının geldiğini söyledi. şu anda elektrik sektöründe bulunanlar.

Glick yaptığı açıklamada, “Boru hatlarını gönüllü olarak en iyi uygulamaları benimsemeye teşvik etmek, kötü niyetli siber aktörlerin sayısı ve karmaşıklığına yetersiz bir yanıttır” dedi.

Ülkenin enerji sistemlerine yönelik riskler yaygın ve çeşitlidir. Örneğin birçok petrol ve gaz boru hattı, daha karmaşık siber saldırılara karşı iyi savunulmayan ve kolayca güncellenemeyen onlarca yıllık kontrol sistemlerine güveniyor.

Ve bu sadece boru hatları değil. Elektrik şebekesi operatörleri, güç akışını yönetmeye yardımcı olmak ve gezegenin ısınmasına neden olan emisyonları azaltmak için (akıllı termostatlar veya çok uzak ancak birbirine bağlı güneş enerjisi dizileri ağları gibi) giderek artan bir dizi dijital teknolojiden yararlandıkça, bilgisayar korsanları yararlanmak için yeni giriş noktaları bulabilir.

Teksas’tan New Jersey’e 5.500 mil uzanan ve Doğu Kıyısı’nın yakıt kaynaklarının yüzde 45’ini taşıyan Kolonyal Boru Hattı’nın Cuma günü kapatılması, bu tür saldırıların ne kadar yıkıcı olabileceğini gösteriyor.

Colonial Cumartesi günü, kurumsal bilgisayar sistemlerinin, kurban fidye ödeyene kadar suç gruplarının verileri rehin tuttuğu bir fidye yazılımı saldırısına maruz kaldığını kabul etti. Şirket, görünüşe göre bilgisayar korsanlarının boru hattının bazı kısımlarına saldırmalarını sağlayacak bilgiler elde etmiş olabileceğinden korktuğu için boru hattını bir önlem olarak kapattığını söyledi.

Colonial Çarşamba günü yaptığı açıklamada, boru hattı operasyonlarına devam etmeye başladığını, ancak tam hizmete kavuşmasının birkaç gün alacağını söyledi. Ancak Güneydoğu’da panik içindeki Amerikalılar benzin stoklamak için yarışıyorlardı ve bu da binlerce benzin istasyonunda yakıtın bitmesine neden oluyordu.

Charlotte, N.C’de Kolonyal Boru Hattı depolama alanı. Kredi. . . Logan Cyrus / Agence Fransa-Presse – Getty Images

Colonial, boru hattının kapanmasını neyin tetiklediğini henüz tam olarak açıklamamış olsa da, uzmanlar Amerika’nın enerji altyapısında pek çok güvenlik açığı olduğunu söylediler.

Geçen yıl, Siber Güvenlik ve Altyapı Güvenliği Ajansı, bir doğal gaz sıkıştırma tesisine, tesisin iki gün süreyle kapatılmasına neden olan bir fidye yazılımı saldırısı bildirdi. 2018 yılında, birkaç doğal gaz boru hattı operatörü, müşteri işlemlerini işleyen bir sisteme saldırıya uğradığını ve bu da hizmet kesintilerine yol açtığını bildirdi.

Ancak daha büyük riskler pusuda: 2016 yılında bilgisayar korsanları, bir siber saldırının tetiklediği ilk kasıtlı kesinti olduğu düşünülen Ukrayna’daki elektrik şebekesinin büyük bölümlerini ortadan kaldırdı. O sırada Obama yönetimi, Amerika’nın elektrik tesislerinin benzer saldırılara karşı bağışık olmadığı konusunda uyardı.

Geçmişte, enerji şirketleri tipik olarak boru hatlarını veya elektrik santrallerini çalıştıran işletim sistemlerini daha geniş internetten bağlantısı kesilmiş veya “hava boşluklu” tutuyordu; bu, bilgisayar korsanlarının en kritik altyapıya kolayca erişemeyeceği anlamına geliyordu. Ancak şirketler, bu sistemleri daha verimli bir şekilde çalıştırmalarına yardımcı olan daha gelişmiş izleme ve teşhis yazılımları yükledikçe artık durum artık böyle değil. Bu potansiyel olarak yeni siber güvenlik riskleri yaratır.

Bir siber güvenlik firması olan Tenable’ın operasyonel teknolojiden sorumlu başkan yardımcısı Marty Edwards, “Artık bu sistemler, şirketlerin kendilerinin her zaman tam olarak anlayamayacağı şekillerde birbirine bağlı,” dedi. “Bu, bir bölgedeki saldırıların başka bir yere yayılması için bir fırsat sağlıyor. ”

Pek çok endüstriyel kontrol sistemi onlarca yıl önce kuruldu ve güncel olmayan yazılımlarla çalıştırıldı, bu da sistemleri yükseltecek programcılar bulmanın bile zor olabileceği anlamına geliyor. Ve boru hatları, rafineriler veya enerji santralleri gibi hayati önem taşıyan enerji altyapısının operatörleri, sık sık güvenlik yamaları kurmak için yakıt veya güç akışını uzun süreler boyunca kapatma konusunda genellikle isteksizdirler.

Analistler, işleri daha da zorlaştıran, kısmen ne tür riskler olduklarına dair hazır verilerin bulunmaması nedeniyle, çoğu şirketin, maliyetli yeni siber güvenlik savunmalarına tam olarak ne zaman ve nerede para harcamaya değer olduğuna dair her zaman iyi bir fikre sahip olmadığını söyledi. büyük ihtimalle yüzleşecek.

CyberSaint Security’nin siber güvenlik konusunda ardışık düzenler ve kritik altyapıyla çalışan kurucularından Padraic O’Reilly, “Şirketler gördükleri tehditler hakkında her zaman kamuya çok fazla bilgi vermez” dedi. “Bu, bir endüstri olarak nereye yatırım yapılacağını bilmeyi zorlaştırabilir. ”

Analistler, ülkenin elektrik hizmet kuruluşlarının ve şebeke operatörlerinin siber saldırılara hazırlanma konusunda petrol ve gaz endüstrisine göre tipik olarak daha ileride olduklarını, çünkü kısmen federal düzenleyicilerin ülkenin elektrik şebekesinin omurgası için uzun süredir gerekli siber güvenlik standartlarına sahip olduğunu söyledi.

Yine de güvenlik açıkları devam ediyor. Bir sigorta şirketi olan Marsh’daki Amerika Birleşik Devletleri siber danışmanlık uygulamasının genel müdürü Reid Sawyer, “Bunun bir kısmı şebekenin karmaşıklığıdır” dedi. Örneğin, şebekenin tüm seviyeleri zorunlu standartlarla karşı karşıya değildir ve ülkede farklı siber güvenlik uygulamalarına sahip 3.000’den fazla kamu hizmeti vardır.

Uzmanlar, enerji şirketlerinin her bir potansiyel siber saldırıya karşı kendilerini asla savunamayabileceğini söyledi. Bunun yerine, işletmelerin ve politika yapıcıların, örneğin daha fazla fazlalık veya geçersiz kılmalar oluşturarak saldırılara ve potansiyel kapanmalara dirençli daha geniş enerji sistemleri tasarlamaları gerekecektir.

Monken, “Siber güvenlikte eski bir söz: Savunmada çalışan insanlar her zaman doğru olmalı, saldırganlar ise sadece bir kez haklı olmalı,” dedi Monken. Bu, savunmalar başarısız olduğunda beklenmedik durumlar hakkında çok daha fazla düşünmemiz gerektiği anlamına geliyor. “