Öncü yapay zekâ modelleri Booz Allen'ın OT laboratuvarında tüm saldırı hedeflerine ulaştı

The Register ve Help Net Security'nin aktardığına göre iki öncü yapay zekâ modeli, Booz Allen Hamilton'ın izole bir endüstriyel kontrol test ortamında belirlediği saldırı hedeflerinin tamamına ulaştı; bunlar arasında bir SCADA operatör ekranının ele geçirilmesi ve bir robot kolunun hareket ettirilmesi de vardı. Bir denemede model, ağ sınırını aştıktan sonra 16 dakikadan biraz fazla bir sürede endüstriyel kontrol bölgesinde işlem yapabilir hale geldi. Şirket, sonuçların operasyonel teknoloji (OT) ortamlarını savunanların bu tür saldırıları tespit edip durdurmak için yalnızca birkaç dakikası olabileceğini gösterdiğini belirtiyor.

Neler oldu?

The Register'a göre Booz Allen, Virginia eyaletinin Chantilly kentinde, genel bir üretim tesisini örnek alan, farklı üreticilerin cihazlarından oluşan bir laboratuvar kurdu. Kurumsal ağ, endüstriyel DMZ, tesis operasyonları ve üretim bölgeleri güvenlik duvarları ve anahtarlarla birbirinden ayrıldı. Help Net Security, test ortamında yüzlerce BT ve OT cihazı, gerçek kontrolörler, bir SCADA platformu, değişken frekanslı sürücü, sensörler ve bir robot kolu bulunduğunu aktardı. Modellere yalnızca alt ağ sınırları verildi; kaynak kodu, mühendislik belgesi ya da OT rehberi sağlanmadı.

Booz Allen modellerin adını vermedi ve The Register'a bunları önde gelen yapay zekâ sağlayıcılarının en yeni öncü modellerinden ikisi olarak tanımladı. Test kuralları gereği her istismar ve fiziksel etki doğurabilecek her işlem öncesinde insan onayı alındı, güvenlik açısından kritik cihazlarda ise ek dikkat gösterildi.

Teknik detaylar

Sekiz test; varlıkların haritalanması, açıkların bulunması, erişim elde edilmesi, üretim sistemlerine geçilmesi, kontrolörlerin manipüle edilmesi, motor frekansı ve hızının değiştirilmesi, SCADA ile operatör ekranlarının ele geçirilmesi ve robot kolunun hareket ettirilmesini kapsıyordu. İki yayına göre modeller sekiz hedefin hepsine ulaştı.

The Register'ın haberine göre SCADA testinde ajanlar önce yanlış HMI sürümünü hedef aldı, ardından yöntem değiştirip bir yönetim arayüzü üzerinden kontrol odasına tam ekran bir ele geçirme görüntüsü gönderdi. Help Net Security'ye göre tek bir SCADA ağ geçidi, iki süreç hücresindeki 14 OT cihazına canlı ve kimliği doğrulanmış oturumlar tutuyordu; bu nedenle tek bir dayanak noktası hepsine erişim sağladı. Bir ajan, kendisine söylenmeden yanlış yapılandırılmış ve güvenlik açısından kritik bir koruma rölesini tespit etti ve eksik iletişim ortağını taklit etmeye çalıştı. Robot kolunda ise ajanlar üreticinin varsayılan kimlik bilgileriyle yönetici erişimi elde edip kolu dakikalar içinde hareket ettirdi.

Savunmaların da etkisi oldu. Help Net Security'nin aktardığına göre güvenlik duvarları, ağ bölümlendirmesi ve uç nokta araçları modelleri yavaşlattı veya faaliyetleri işaretledi; bir kontrolör ilk başta durdurma komutunu reddetti, bir denemede de yerel bir ayar motorun uzaktan çalıştırılmasını engelledi. Ancak modeller sıklıkla yöntem değiştirdi veya alternatif yollar buldu; büyük ölçüde yeni teknikler yerine cihazların kendi protokollerini ve varsayılan parolaları kullandı.

Kimler etkileniyor?

Bulgular en çok üreticileri, kamu hizmeti işletmelerini ve diğer kritik altyapı operatörlerini ilgilendiriyor. The Register'a göre rapor, birçok OT cihazında kimlik doğrulama veya şifreleme bulunmadığını, bunun da kötü niyetli komutların çalıştırılmasını kolaylaştırdığını vurguluyor. Booz Allen'ın altyapı siber güvenliğinden sorumlu başkan yardımcısı Kyle Miller, yayına "bazı OT kurumları hazırlıklı, ancak birçoğu değil" dedi.

Ne yapmalı?

Booz Allen, sektörde daha fazla test yapılması ve OT ağlarında siber savunmaların daha yaygın biçimde konuşlandırılması çağrısında bulunuyor. Şirkete göre kurumlar temel OT güvenlik uygulamalarını hayata geçirmeli; köklü kontrollere sahip olanlar bile güvenlik durumlarını gözden geçirmeli. Testin işaret ettiği öncelikler arasında üretici varsayılan parolalarının değiştirilmesi, SCADA ağ geçitlerinden açık tutulan kalıcı oturumların sınırlandırılması, BT ile üretim bölgeleri arasındaki ayrımın sıkılaştırılması ve izleme sistemlerinin saatler yerine dakikalar içinde alarm üretebilmesinin sağlanması yer alıyor.