Белый дом запустил в Техасе шестимесячный пилот Project Watershed 250, который должен найти практический способ защитить американские системы водоснабжения и канализации от кибератак. Водоканалы получат бесплатные проверки, помощь с устранением слабых мест и защитные технологии от крупных ИТ- и ИБ-компаний, однако отдельный бюджет самого проекта власти пока не объявили.
Программу курируют аппарат национального директора по кибербезопасности США и Texas Cyber Command. К проекту присоединились Parsons, Microsoft, Fortinet, Google Cloud, Palo Alto Networks, Amazon Web Services, Reflection AI, Cloudflare, Zscaler, Forescout, Abnormal AI и Dragos. Национальный директор по кибербезопасности Шон Кэрнкросс рассчитывает за полгода выяснить, какие меры реально работают на коммунальной инфраструктуре, а затем распространить удачные решения на другие штаты.
Водоканалам предложат Red Team-тестирование с имитацией действий реального атакующего, анализ защищённости, укрепление конфигураций и инструменты на базе ИИ. Texas Cyber Command также обещает практическую помощь с устранением обнаруженных проблем, поэтому Watershed 250 не ограничивается очередным аудитом с отчётом об уязвимостях. Неясным остаётся другой вопрос, кто будет поддерживать внедрённые меры после завершения шестимесячного пилота и оплачивать дальнейшую модернизацию оборудования.
Для американской водной отрасли кадровая и финансовая сторона может оказаться сложнее технической. В США работает почти 170 тысяч систем водоснабжения и водоотведения, причём уровень их киберзащиты сильно различается. Более 90% систем питьевого водоснабжения обслуживают менее 10 тысяч человек. Небольшие организации сталкиваются с текучестью персонала, старым оборудованием и нехваткой денег, а расходы на кибербезопасность конкурируют с ремонтом труб, очисткой воды и выполнением санитарных требований.
Угроза при этом давно перестала быть теоретической. В июле злоумышленники атаковали более 100 систем водоснабжения и водоотведения как минимум в 12 штатах. Федеральные следователи установили, что в ряде случаев атакующие получали удалённый доступ к программируемым логическим контроллерам, которые управляют насосами, давлением, клапанами и другими физическими процессами. Под удар попали в том числе Rockwell Automation Allen-Bradley MicroLogix 1100 и 1400.
После проникновения злоумышленники меняли IP-адреса и пароли контроллеров, из-за чего сотрудники теряли возможность наблюдать за оборудованием и управлять им дистанционно. В некоторых случаях атаки нарушили работу водных объектов. Власти Техаса связывали кампанию с Ираном, однако опубликованное предупреждение ФБР не содержит формальной атрибуции этой июльской серии атак. Отдельно американские ведомства ещё весной подтверждали активность связанных с Ираном группировок против операционных технологий водного сектора.
Многие рекомендации после атак выглядят почти элементарно, что хорошо показывает исходный уровень защиты части отрасли. Ведомства советуют убрать промышленные контроллеры из прямого доступа из интернета, закрыть оборудование шлюзами и межсетевыми экранами, сменить стандартные пароли, ограничить разрешённые соединения и использовать многофакторную аутентификацию. Если удалённый доступ действительно необходим, CISA рекомендует проводить его через контролируемый шлюз или VPN, а не подключаться к промышленному контроллеру напрямую.
Американские власти уже пытались повысить обязательные требования к защите водоканалов. В 2023 году EPA решила включить кибербезопасность в проверки систем питьевого водоснабжения, но несколько штатов оспорили подход в суде, после чего агентство отказалось от требования. Watershed 250 использует другую модель, вместо новых обязательных проверок государство привлекает частные компании и предлагает коммунальным организациям бесплатную техническую помощь.
Отсутствие объявленного бюджета Watershed 250 уже вызвало критику. Специалист по безопасности водной инфраструктуры, пожелавший сохранить анонимность, заявил, что за инициативой «нет реальных денег» и значительная часть нагрузки фактически перекладывается на частный сектор. Однако говорить, что федеральные власти вообще не финансируют киберзащиту водоснабжения, было бы неверно. Одновременно с запуском пилота EPA выделило $11,75 млн десяти проектам по повышению устойчивости средних и крупных систем питьевого водоснабжения, включая замену промышленных контроллеров и модернизацию управляющей инфраструктуры.
Watershed 250 в итоге проверит не столько способность современных ИБ-инструментов находить слабые места, сколько возможность превратить рекомендации в работающую защиту на небольших коммунальных объектах. Если модель окажется успешной, Белый дом намерен масштабировать её по стране. Главная проблема проявится позже, когда бесплатные проверки и помощь партнёров закончатся, а водоканалам придётся самостоятельно поддерживать защищённые конфигурации, обновлять старое оборудование и находить специалистов для инфраструктуры, которую нельзя просто выключить на время ремонта.
