அரசு ஆதரவு பெற்ற குழுக்கள், இரண்டு மிகப்பெரிய தொழில்துறை விற்பனையாளர்களின் PLCs-களை அதிகளவில் குறிவைப்பதாக ஒரு புதிய CISA அறிவுரை எச்சரிக்கிறது. இவர்கள் அங்கீகரிக்கப்படாத நெறிமுறைகளையும் (unauthenticated protocols), வெளிப்படையான நெட்வொர்க் இடைமுகங்களையும் பயன்படுத்தி கட்டுப்பாட்டு தர்க்கத்தை (control logic) மாற்றியமைக்கின்றனர். இந்த போக்கு, தனிமைப்படுத்தப்பட்ட, குறிப்பிட்ட அமைப்புகளிலிருந்து தொழிற்சாலைகள், மின் நிலையங்கள் மற்றும் நீர் சுத்திகரிப்பு நிலையங்களை இயக்கும் உலகளாவிய விநியோகச் சங்கிலிகளுக்கு நகர்ந்து வருவதாக அந்த அறிவுரை கூறுகிறது. மேலும், தர்க்கத் திருத்தங்களை (logic-tampering) ஒரு உடல் ரீதியான பாதுகாப்பு மீறலாகக் கருதoperators-களுக்கு அது வலியுறுத்துகிறது.

ஏன் PLCs இப்போது ஒரு முன்னணியில் உள்ள இலக்காக உள்ளன

நவீன தொழில்துறையின் மையப்பகுதியில் Programmable Logic Controllers (PLCs) அமைந்துள்ளன: அவை வால்வுகளைத் திறக்கின்றன, டர்பைன்களைச் சுழற்றுகின்றன, இரசாயனங்களைக் கட்டுப்படுத்துகின்றன மற்றும் உற்பத்தி வரிசைகளைத் தொடர்ந்து இயங்க வைக்கின்றன. ஒரு PLC-யின் குறியீட்டில் (code) செய்யப்படும் தீய மாற்றம், ஒரு சாதாரண செயல்முறையை ஒரு பாதுகாப்பு அபாயமாக மாற்றக்கூடும், அதிகப்படியான உற்பத்தி முடக்கத்தை (downtime) ஏற்படுத்தக்கூடும் அல்லது சுற்றுச்சூழல் பாதிப்பைக்கூட உண்டாக்கக்கூடும். இந்த சாதனங்களை இலக்காகக் கொள்ளச் செய்யும் மூன்று தொடர்ச்சியான பலவீனங்களை இந்த அறிவுரை சுட்டிக்காட்டுகிறது:

  • அங்கீகரிக்கப்படாத தொழில்துறை நெறிமுறைகள் (Unauthenticated industrial protocols): Modbus TCP மற்றும் S7comm போன்ற நெறிமுறைகள் பாதுகாப்பிற்காக அல்லாமல் வேகத்திற்காக வடிவமைக்கப்பட்டன, மேலும் அவை கட்டளைகளைத் தெளிவான உரையாகவே (clear text) அனுப்புகின்றன.
  • பலவீனமான அணுகல் கட்டுப்பாடுகள் (Weak access controls): நெட்வொர்க் அணுகல் கொண்ட எவரும் எழுதும் கட்டளைகளை வழங்கவோ அல்லது புதிய நிரல்களைப் பதிவிறக்கவோ இது அனுமதிக்கிறது.
  • இணையத்துடன் இணைக்கப்பட்ட இடைமுகங்கள் (Internet-facing interfaces): கட்டுப்பாட்டுத் தளத்தை (control plane) பரந்த கார்ப்பரேட் அல்லது பொது நெட்வொர்க்குடன் இணைப்பதன் மூலம், தொலைதூரத் தாக்குதல்களுக்கு (remote exploitation) வழிவகுக்கிறது.

தாக்குதல் நடத்துபவர்கள் இந்த இடைவெளிகளைப் பயன்படுத்தும்போது, அவர்கள் செட் பாயிண்டுகளை (setpoints) மாற்ற ரெஜிஸ்டர்களை (registers) மாற்றியமைக்கிறார்கள், பாதுகாப்புத் தடைகளை (safety interlocks) மீறுகிறார்கள் அல்லது ஆபத்தான நிலைகளை மறைக்க சென்சார் தரவுகளைத் தவறாகச் சித்தரிக்கிறார்கள் (spoof). இதன் தாக்கம் இனி தரவு இழப்புடன் மட்டும் நின்றுவிடுவதில்லை; அது உடல் ரீதியான பாதுகாப்பைக் கேள்விக்குறியாக்கும் விஷயமாக மாறுகிறது.

எதிர்வினை நடவடிக்கைகளிலிருந்து ஆழமான பாதுகாப்பு வரை (From reactive fixes to defense-in-depth)

CISA-வின் வழிகாட்டுதல், இயக்குபவர்களை "கண்டறிந்து எதிர்வினை ஆற்றும்" (detect-and-react) நிலையிலிருந்து மாறி, அடுக்கு பாதுகாப்பு (layered protection) முறையை நோக்கி நகர்த்துகிறது. பின்வரும் படிகள், அறிவுரையின் பரிந்துரைகளை மேம்பாட்டு மற்றும் செயல்பாட்டுக் குழுக்களுக்கான ஒரு உறுதியான பாதுகாப்புத் திட்டமாக மாற்றுகின்றன.

1. நேரடி இணைய வெளிப்பாட்டைத் தவிர்க்கவும்

ஒரு PLC-யை ஒருபோதும் பொது இணையத் துணைப்பின்னலில் (public-facing subnet) வைக்க வேண்டாம். அனைத்து தொலைநிலை அணுகல்களையும் ஒரு பிரத்யேக தொழில்துறை DMZ (IDMZ) வழியாக மட்டுமே கொண்டு செல்லுங்கள். IDMZ என்பது போக்குவரத்து ஆய்வு செய்யப்படவும், பதிவு செய்யப்படவும் மற்றும் அங்கீகரிக்கப்பட்ட சேவைகளுக்கு மட்டுமே மட்டுப்படுத்தப்படவும் உதவும் ஒரு இடைப்பகுதியாகச் செயல்படுகிறது.

2. பாதுகாப்பான நுழைவாயில்கள் மூலம் தொலைநிலை அமர்வுகளை வழிநடத்தவும்

IDMZ-க்குள் ஒரு ஜம்ப் ஹோஸ்ட்டை (jump host) நிறுவுங்கள் மற்றும் ஒவ்வொரு இணைப்பிற்கும் பல காரணி அங்கீகாரத்தை (MFA) கட்டாயமாக்குங்கள். MFA என்பது பயனர் வைத்திருக்கும் அல்லது அறிந்த ஒரு கூடுதல் சரிபார்ப்புப் படிநிலையைச் சேர்க்கிறது, இது கடவுச்சொல் திருட்டைப் பயனற்றதாக்குகிறது.

3. ஒருவழி நுழைவாயில்களைப் பயன்படுத்தவும் (data diodes)

ஒரு data diode என்பது OT (operational technology) நெட்வொர்க்கிலிருந்து IT நெட்வொர்க்கிற்கு ஒருவழிப் போக்குவரத்தை உடல் ரீதியாக உறுதி செய்கிறது. இந்த வன்பொருள் தடுப்பு, உள்ளே வரும் கட்டளைகளைத் தடுக்கிறது, அதே நேரத்தில் பகுப்பாய்விற்காகத் தரவுகள் மற்றும் பதிவுகள் (logs) வெளியேறுவதை அனுமதிக்கிறது.

4. இயற்பியல் எழுத்து-பாதுகாப்பு விசைகளைப் பயன்படுத்தவும்

பெரும்பாலான PLCs-கள் RUN/PROGRAM பயன்முறை மாற்றத்தை (toggle) வழங்குகின்றன. RUN பயன்முறையில், கன்ட்ரோலர் அதன் தற்போதைய தர்க்கத்தை இயக்கும் ஆனால் தொலைநிலை நிரல் பதிவேற்றங்களை (remote program uploads) நிராகரிக்கும். PROGRAM பயன்முறைக்கு மாறுவதற்கு ஒரு இயற்பியல் விசையைத் திருப்ப வேண்டும், இது எந்தவொரு தர்க்க மாற்றமும் திட்டமிடப்பட்ட, தளத்திலேயே செய்யப்படும் செயலாக இருப்பதை உறுதி செய்கிறது.

5. செயலற்ற நெட்வொர்க் கண்காணிப்பைச் செயல்படுத்தவும் (Passive network monitoring)

Active scanners பழைய PLC firmware-களை அதிகப்படியான சுமைக்கு உள்ளாக்கி, அவற்றை செயலிழக்கச் செய்யலாம். Passive monitors என்பது பாக்கெட்டுகளை (packets) உள்ளீடு செய்யாமல் போக்குவரத்தைக் கவனித்து, பின்வருவனவற்றிற்கு எச்சரிக்கை செய்கின்றன:

  • OT பிரிவில் புதிய சாதனங்கள் தோன்றுதல்
  • அசாதாரண கட்டளை முறைகள் அல்லது தவறான நெறிமுறை கட்டமைப்புகள் (malformed protocol frames)
  • PLC நிரல்களைப் பதிவிறக்க அல்லது பதிவேற்றச் செய்யும் அங்கீகரிக்கப்படாத முயற்சிகள்

6. உள்ளமைப்புகளைத் தரநிலையாகக் கொண்டு தொடர்ந்து ஒப்பிடவும்

அங்கீகரிக்கப்பட்ட PLC தர்க்கத்தின் பதிப்பு-கட்டுப்பாட்டு களஞ்சியத்தை (version-controlled repository) பராமரிக்கவும். அவ்வப்போது இயங்கிக் கொண்டிருக்கும் நிரலின் செக்சம் (checksum) அல்லது ஹேஷைக் (hash) கணக்கிட்டு, அதைத் தரநிலையுடன் (baseline) ஒப்பிடுங்கள். ஏதேனும் முரண்பாடு இருந்தால், அது உடனடியாகப் பாதுகாப்புச் சம்பவப் பதிலளிப்பு நடவடிக்கையைத் (security incident response) தூண்ட வேண்டும்.

அடுத்து எதைக் கவனிக்க வேண்டும்

முக்கியக் கருத்து: PLC தர்க்கத்தை வெறும் சாதனத்தின் ஃபார்ம்வேராக (firmware) மட்டும் பார்க்காமல், ஒரு முக்கியமான குறியீட்டுத் தளமாக (critical code base) கருதவும். இணைய வெளிப்பாட்டை நீக்குவதன் மூலம், இயற்பியல் எழுத்து பாதுகாப்பை உறுதி செய்வதன் மூலம் மற்றும் அங்கீகரிக்கப்படாத மாற்றங்களைக் கண்காணிக்கத் தொடர்ந்து கண்காணிப்பதன் மூலம், நீங்கள் ஒரு பலவீனமான கட்டுப்பாட்டுப் பரப்பை உங்கள் ஒட்டுமொத்தப் பாதுகாப்பின் ஒரு வலுவான மற்றும் தணிக்கை செய்யக்கூடிய அங்கமாக மாற்றுகிறீர்கள்.