Sistemas de água e águas residuais na mira

Ataques cibernéticos a sistemas de água e águas residuais (WWS) têm sido notícia ultimamente, juntamente com a ação e orientação do governo para melhorar a cibersegurança em todo o setor WWS.

O setor WWS partilha todas as potenciais vulnerabilidades que caracterizam outros grandes sistemas de infraestrutura, onde a tecnologia operacional (OT) mais antiga e a moderna IoT/IT se cruzam, criando oportunidades para cibercriminosos e atores estatais maliciosos penetrarem e sabotarem redes e sistemas.

Mas, em comparação com outros sistemas de infraestrutura, os WWS apresentam riscos únicos e significativos se um agente malicioso tomar o controlo sobre eles. Simplesmente fechar um grande sistema municipal de abastecimento de água criaria uma situação caótica e perigosa, exigindo uma resposta de emergência massiva.

E se os ciber-sabotadores conseguissem realmente contaminar o abastecimento de água local — como foi tentado tanto em Florida como em São Francisco em 2021 — as consequências poderiam ser verdadeiramente devastadoras.

Ação governamental, reação, retratação

Em março de 2023, em resposta a um número crescente de ciberataques a sistemas de infraestrutura pública e privada, incluindo WWS, a Agência de Proteção Ambiental dos EUA (EPA) emitiu um memorando com requisitos detalhados para que os operadores de sistemas de água pública realizem avaliações de cibersegurança como parte das inspeções sanitárias anuais dos seus sistemas.

Depois veio a política. Arkansas, Iowa e Missouri responderam ao memorando processando a EPA, acusando-a de exceder a sua autoridade. Um tribunal federal de recurso suspendeu a regra, e a EPA emitiu um novo memorando em outubro de 2023, retirando o memorando anterior.

Novos ataques, foco aprimorado

Em novembro de 2023, dois ataques muito preocupantes concentraram ainda mais a atenção na ameaça aos sistemas de água. Em rápida sucessão, a Aliquippa Water and Sewer Authority na Pensilvânia e o North Texas Municipal Water District foram atingidos.

A autoridade de Aliquippa foi atacada por um grupo de cibercriminosos com base no Irão, chamado Cyber Av3ngers, que afirmou escolher vítimas que utilizam componentes industriais e software fabricados em Israel. Um único sistema de bombagem foi afetado, e a equipa conseguiu desligá-lo sem afetar a prestação de serviços.

Em contrapartida, o distrito do Norte do Texas foi vítima de um ataque de ransomware lançado pelo cybergang Daixin Team, que afirma ter roubado quase 34.000 ficheiros, incluindo nomes, datas de nascimento, números de registo médico e números de Segurança Social. Novamente, a prestação de serviços não foi afetada no ataque.

Nova orientação de agência federal

Finalmente, em janeiro deste ano, o FBI, a EPA e a Agência de Cibersegurança e Segurança de Infraestruturas (CISA) colaboraram para produzir um guia sobre as melhores práticas de cibersegurança para o setor WWS.

A orientação fornecida está dividida em quatro secções:

• Preparação — Como desenvolver, implementar e praticar um plano eficaz de resposta a incidentes
• Deteção e análise — Implementação de medidas técnicas para detetar intrusões e analisar registos de eventos para compreender rapidamente toda a extensão e alcance de um incidente de cibersegurança
• Confinamento, erradicação e recuperação — Utilizando meios técnicos para isolar sistemas afetados, erradicar malware, e restaurar os sistemas ao estado anterior ao incidente
• Atividades pós-incidente — Manter e usar dados de incidentes para melhorar os esforços de segurança e corrigir quaisquer deficiências no plano de resposta a incidentes e/ou na sua execução

O guia é bastante geral, não técnico, e não impõe ou exige quaisquer ações — possivelmente em reconhecimento ao risco político de impor regras, como a EPA tentou em março. Portanto, é muito útil ao nível do planeamento administrativo e organizacional. Mas não fornece orientações detalhadas sobre soluções e tecnologias específicas a utilizar para alcançar as melhores práticas que descreve.

A EPA fornece uma variedade de outros recursos (resumidos nesta ficha informativa) para ajudar as agências WWS nos seus esforços de cibersegurança, que valem a pena explorar.

A tornar-se real

Nos EUA, existem aproximadamente 50.000 sistemas independentes de água e águas residuais, que variam enormemente em tamanho e nos recursos disponíveis para eles. O financiamento limitado significa que têm de optar por investimentos em cibersegurança de alto valor. E a falta de pessoal de TI qualificado significa que há um valor elevado em sistemas que usam automação e integração para manter as coisas simples.

Quando se trata de prevenir, detectar e responder a intrusões de rede, um ótimo ponto de partida é uma plataforma de segurança de rede abrangente e integrada, como Barracuda Network Protection. A sua estrutura modular é fácil de desenvolver ao longo do tempo à medida que os orçamentos o permitirem.

As capacidades de segurança Industrial (IoT/OT) tornam fácil proteger dispositivos industriais conectados à internet em larga escala. Os avançados protocolos de Acesso Zero Trust reduzem drasticamente a possibilidade de acessos não autorizados aos seus sistemas e redes. E o design altamente integrado da plataforma, construído em torno do poderoso e versátil Barracuda CloudGen Firewall, proporciona uma visibilidade de toda a sua infraestrutura a partir de um único painel.