Taarifa mpya ya onyo kutoka CISA inaonya kuwa vikundi vinavyofadhiliwa na serikali vinazidi kulenga PLC kutoka kwa wauzaji wawili wakubwa wa viwanda, vikitumia itifaki zisizo na uthibitisho na viungio vya mtandao vilivyo wazi ili kuandika upya mantiki ya udhibiti. Taarifa hiyo inasema mwelekeo huo unahamia kutoka kwenye mifumo midogo iliyotengwa kwenda kwenye mnyororo wa ugavi wa kimataifa unaowezesha viwanda, mitambo ya umeme, na vituo vya kusafisha maji, na inawahimiza waendeshaji kuchukulia uchezaji wa mantiki kama uvunjaji wa usalama wa kimwili.

Kwa nini PLC sasa ni lengo kuu la mbele

Programmable Logic Controllers (PLC) ziko katikati ya viwanda vya kisasa: hufungua valvu, huzungusha taini, husimamia kemikali, na kuweka njia za uzalishaji zikiwa zinaendelea. Mabadiliko hasidi kwenye kodi ya PLC yanaweza kugeuza mchakato wa kawaida kuwa hatari ya usalama, kusababisha muda mrefu wa kusimama kwa kazi wenye gharama kubwa, au hata kusababisha uharibifu wa mazingira. Taarifa hiyo inaashiria udhaifu mrefu mitatu unaofanya vifaa hivi kuwa vinavutia:

  • Itifaki za viwanda zisizo na uthibitisho kama Modbus TCP na S7comm zilidizainiwa kwa ajili ya kasi, si usalama, na hutuma amri katika maandishi wazi (clear text).
  • Udhibiti dhaifu wa ufikiaji unaruhusu mtu yeyote mwenye ufikiaji wa mtandao kutoa amri za kuandika au kupakua programu mpya.
  • Viungio vinavyokabili mtandao vinatoa nafasi ya mfumo wa udhibiti kukabiliwa na mtandao mpana wa kampuni au wa umma, hivyo kualika unyonyaji wa mbali (remote exploitation).

Wakati washambuliaji wanapotumia mianya hii, huandika upya rejista ili kubadilisha viwango vya seti (setpoints), kukwepa mifumo ya usalama (safety interlocks), au kughushi data za sensa ili kuficha hali hatari. Athari hazizuiliwi tena kwenye upotevu wa data pekee; zinakuwa suala la usalama wa kimwili.

Kutoka marekebisho ya kurekebisha hadi ulinzi wa tabaka mbalimbali

Mwongozo wa CISA unawasukuma waendeshaji kutoka katika msimamo wa “gundua-na-itikia” kuelekea ulinzi wa tabaka mbalimbali. Hatua zifuatazo zinatafsiri mapendekezo ya taarifa hiyo kuwa mpango kazi madhubuti wa kuimarisha usalama kwa timu za maendeleo na uendeshaji.

1. Ondoa ufikiaji wa moja kwa moja wa Mtandao

Usikae PLC kwenye subnet inayokabili umma. Elekeza ufikiaji wote wa mbali kupitia Industrial DMZ (IDMZ) maalum. IDMZ hufanya kazi kama eneo la mpito ambapo trafiki inaweza kukaguliwa, kurekodiwa, na kuwekewa mipaka kwa huduma zilizoidhinishwa pekee.

2. Elekeza vikao vya mbali kupitia lango salama

Weka jump host ndani ya IDMZ na uombe uthibitishaji wa hatua nyingi (MFA) kwa kila muunganisho. MFA inaongeza hatua ya pili ya uhakiki—kitu ambacho mtumiaji anacho au anakijua—na kufanya wizi wa utambulisho usifanye kazi kwa urahisi.

3. Sakinisha lango za upande mmoja (data diodes)

Data diode inalazimisha kifizikia trafiki ya upande mmoja kutoka kwenye mtandao wa OT (teknolojia ya uendeshaji) kwenda kwenye mtandao wa IT. Kizuizi hiki cha vifaa huzuia amri zinazoingia huku kikiruhusu telemetry na kumbukumbu (logs) kutiririka nje kwa ajili ya uchambuzi.

4. Tumia funguo za kifizikia za kuzuia uandishi

PLC nyingi zinatoa uwezo wa kubadilisha kati ya hali ya RUN/PROGRAM. Katika hali ya RUN, kiongozi (controller) hutekeleza mantiki yake ya sasa lakini hukataa kupakia programu za mbali. Kubadilisha kwenda kwenye hali ya PROGRAM kunahitaji kuzungusha funguo ya kifizikia, kuhakikisha kuwa mabadiliko yoyote ya mantiki ni kitendo cha makusudi kilichofanyika eneo la kazi.

5. Weka ufuatiliaji wa mtandao usioingilia kati (passive)

Vichanganuzi hai (active scanners) vinaweza kuzidisha mzigo kwenye firmware za zamani za PLC na kusababisha hitilafu. Vichanganuzi pasifu (passive monitors) husikiliza trafiki bila kuingiza pakiti, na kutoa tahadhari kuhusu:

  • Vifaa vipya vinavyotokea kwenye sehemu ya OT
  • Mitindo isiyo ya kawaida ya amri au fremu za itifaki zisizo sahihi
  • Majaribio yasiyoidhinishwa ya kupakua au kupakia programu za PLC

6. Weka msingi (baseline) na ulinganishe mipangilio mara kwa mara

Weka hifadhi inayodhibitiwa kwa matoleo (version-controlled repository) ya mantiki ya PLC iliyoidhinishwa. Piga hesabu ya checksum au hash ya programu inayojiendesha mara kwa mara na uilinganishe na msingi (baseline). Kutolingana kwa kitu chochote kunapaswa kuchochea mwitikio wa haraka wa tukio la usalama.

Nini cha kufuatilia baadaye

Muhtasari: Chukulia mantiki ya PLC kama msingi muhimu wa kodi, si kama firmware ya kifaa pekee. Kwa kuondoa ufikiaji wa Mtandao, kusimamia ulinzi wa kifizikia wa uandishi, na kufuatilia mabadiliko yasiyoidhinishwa mara kwa mara, unageuza sehemu ya udhibiti inayoweza kushambuliwa kuwa sehemu imara na inayoweza kukaguliwa ya hali yako ya usalama kwa ujumla.