חוקרי אבטחת מידע מזהירים מפני התקפת סייבר מבוזרת כנגד שירותי המים העירוניים

חוקרי סייבר מאוניברסיטת בן-גוריון בנגב מזהירים מפני התקפות פוטנציאליות על שירותי המים העירוניים באמצעות שימוש ב-BOTNET של מערכות השקיה חכמות המופעלות במקביל. BOTNET הוא רשת של תוכנות הפועלת על מחשבים או התקנים רבים אשר נגועים בפוגען (BOT) ונשלטים מרחוק באמצעות שרת פקודות ובקרה המופעל ע"י התוקף ללא ידיעת הבעלים. בן נשיא, חוקר ב-Cyber@BGU, הציג את מחקרו "התקפות על מערכות השקיה חכמות" בימים אלה בכנס היוקרתי Def Con 26 אשר התקיים בלאס וגאס.

החוקרים ניתחו ומצאו פגיעויות במספר מערכות השקיה חכמות, אשר מאפשרות לתוקפים להפעילן מרחוק לסירוגין. הם בחנו שלוש מערכות השקיה חכמות נפוצות בשוק:BlueSpray, GreenIQ ו-RainMachine; לחץ כאן לצפייה בסרטון הסבר.  

"באמצעות ביצוע התקפות מבוזרות אשר מנצלות פגיעויות במספר רב של מערכות השקיה, יכולה תשתית BOTNET המאגדת 1,355 מערכות השקיה חכמות לרוקן מגדל מים עירוני בשעה בודדת, בעוד תשתית BOTNET של 23,866 מערכות השקיה חכמות לרוקן את מאגר המים העירוני תוך לילה", אומר נשיא. "במהלך החודש וחצי האחרונים יצרנו קשר עם יצרניות של מערכות השקיה חכמות על מנת להתריע על ליקויי אבטחה לצורך שדרוג הקושחה של המערכת".

מערכות ייצור והפצה של מים נחשבות לתשתית קריטית ועל פי רוב מערכותיהן מאובטחות במטרה למנוע מהתוקפים לפגוע בהן. "אולם, צרכנים רבים וערים חכמות אימצו טכנולוגיה ירוקה חדשה של מערכות השקיה חכמות כתחליף לממטרות המסורתיות אשר אינן עומדות בתקני אבטחת המידע הנדרשים".

במחקר הנוכחי, החוקרים מציגים התקפה מסוג חדש על שירותי מים עירוניים שאינה דורשת הדבקה של תשתית המים העירונית. במקום זאת, ההתקפה מיושמת באמצעות תשתית BOTNET של מערכות השקיה חכמות, המהוות "טרף קל" עבור תוקפים. החוקרים הראו כי BOT הפועל על מכשיר מודבק יכול לזהות מערכת השקיה חכמה המחוברת לרשת ה-LAN שלו תוך פחות מ-15 דקות באמצעות ניתוח תקשורת של כתובות IP ברשת וכן ליזום השקיה באמצעות תקיפה של המערכת השקיה החכמה שזוהתה.

"על אף שהדור הנוכחי של מכשירי IoT (Internet of Things) מווסת משאבים כמו מים וחשמל שנצרכים מתשתיות קריטיות, כגון חברת המים והחשמל העירוניות, הם מכילים פגיעויות אבטחה רציניות ועתידים להפוך ליעדים מרכזיים עבור תוקפים", טוען נשיא, דוקטורנט בהנחייתו של פרופ' יובל אלוביץ במחלקה להנדסת מערכות תוכנה ומידע באוניברסיטה וחוקר במרכז לחקר הסייבר האוניברסיטאי, כאשר פרופ' אלוביץ מנהל את מרכז לחקר הסייבר ואת מעבדות טלקום לחדשנות.

צוות המחקר כלל גם את הדוקטורנט יאיר מידן, ואת המנחה שלו ד"ר אסף שבתאי וכן שני חוקרי אבטחת מידע – משה סרור ועידו לביא.

אולי יעניין אותך גם

An F-15C Eagle assigned to the 493rd Fighter Squadron takes off in support of exercise Point Blank 20-1 at Royal Air Force Lakenheath, England, Jan. 30, 2020. Point Blank is a bilateral exercise that enhances professional relationships and improves overall coordination with allies and partner militaries. (U.S. Air Force photo by Airman 1st Class Mikayla Whiteley)

 

בית הנבחרים של ארה"ב אישר תקציב ההגנה לשנה הקרובה

אישור התקציב מאפשר לפנטגון להתחיל ברכש עשרות מערכות נשק חדשות