Các cuộc tấn công không gian mạng chống lại các mạng sống còn của Mỹ tăng nhanh chóng

Cyberattacks against critical U.S. networks rising at a faster rate

By Jill R. Aitoro 12/08/2009

Theo: http://www.nextgov.com/nextgov/ng_20091208_4177.php

Bài được đưa lên Internet ngày: 08/12/2009

Lời người dịch: Số vụ tấn công không gian mạng vào các hệ thống hạ tầng mang tính sống còn của Mỹ như hệ thống mạng giao thông, cấp thoát nước và các nhà máy điện đang gia tăng, một phần do các công nghệ đảm bảo an ninh đã cũ kỹ. Hiện nước Mỹ đang xây dựng các chuẩn an ninh cho những vấn đề như thế này. Một cảnh báo cho các hệ thống hạ tầng của Việt Nam.

Số lượng các cuộc tấn công an ninh không gian mạng chống lại các mạng máy tính mà vận hành hạ tầng mang tính sống còn của quốc gia như các hệ thống giao thông, cấp thoát nước và các nhà máy điện, đã gia tăng một cách đột ngột, hầu hết vì những ngành công nghiệp này dựa vào các công nghệ đã có từ trước mà chúng không bảo vệ được các hệ thống từ những cuộc tấn công tinh vi phức tạp.

Trong quý III, 11 vụ việc về không gian mạng đã bổ sung vào Kho về Những vụ việc An ninh Công nghiệp (RISI), một cơ sở dữ liệu về các cuộc tấn công an ninh không gian mạng mà chúng đã hoặc có thể đã ảnh hưởng tới các hệ thống mà vận hành các hoạt động công nghiệp chủ chốt tại Mỹ. Những mạng chủ chốt này được biết như là các hệ thống Kiểm soát Giám sát và Thu nhận Dữ liệu. Những người chủ sở hữu và những người vận hành các nhà máy công nghiệp duy trì cơ sở dữ liệu này.

Trong toàn bộ năm 2009, các ngành công nghiệp đã bổ sung thêm 35 vụ việc vào RISI, đại diện cho hơn 20% trong số 164 vụ được ghi nhận kể từ năm 1982. Tổng số lượng các vụ trong cơ sở dữ liệu này gia tăng 37% năm nay nếu các xu hướng này tiếp tục với tỷ lệ như hiện nay, theo báo cáo quý III của RISI, mà nó đã được đưa ra vào ngày 30/11.

Các phần mềm độc hại như các loại virus, sâu và Trojan đã gây nên hầu hết các cuộc tấn công không gian mạng, theo báo cáo này. Các vụ việc có liên quan tới việc truy cập không được phép hoặc phá hoại bởi con người làm việc trong công ty như các nhân viên cũ bất mãn hoặc các nhà thầu cũng đã gia tăng.

“Đáng tiếc, tất cả những thứ này đánh vào người hâm mộ”, Jake Brodsky, kỹ sư hệ thống kiểm soát với Ủy ban Vệ sinh các vùng Ngoại ô Washington, tại Hội nghị Thượng đỉnh về An ninh Hệ thống Kiểm soát và SCADA tại Vienna, Va., hôm thứ ba nói: “Chúng ta có những hoạt động để tự quan tâm với an toàn của nhà nước. Và cùng lúc, chúng ta phải nhận thức được về công nghệ mới nhất và bất kỳ chỗ có thể bị tổn thương nào về an ninh. Chúng ta đang cố gắng thử trộn tất cả những thứ này cùng với nhau và vượt qua được một hệ thống mà nó chỉ có làm việc mà thôi”.

The number of cybersecurity attacks against computer networks that operate the nation's critical infrastructure such as transportation systems and water treatment and power plants, has increased dramatically, mostly because these industries rely on legacy technologies that don't protect systems from sophisticated attacks.

In the third quarter, 11 cyber incidents were added to the Repository for Industrial Security Incidents, a database of cybersecurity attacks that have or could have affected systems that operate major industrial operations in the United States. These key networks are known as Supervisory Control and Data Acquisition systems. The owners and operators of industrial plants maintain the database.

For all of 2009, industries have added 35 incidents to RISI, representing more than 20 percent of the 164 incidents recorded since 1982. The total number of incidents in the database could increase 37 percent this year if trends continue at the current rate, according to RISI's third-quarter report, which was released on Nov. 30.

Malicious software such as viruses, worms and Trojans were the cause of most cyberattacks, according to the report. Incidents involving unauthorized access or sabotage by people working for the company such as disgruntled former employees or contractors also increased.

"Unfortunately, it's all hitting the fan," said Jake Brodsky, control systems engineer with the Washington Suburban Sanitary Commission, at the SCADA and Control Systems Security Summit in Vienna, Va., on Tuesday. "We have operations to concern ourselves with, public safety. And at the same time, we have to be aware of the latest and greatest technology and any [associated] security vulnerabilities. We're trying to merge all of this together and come up with a system that just plain works."

Công nghệ cũ thể hiện một vấn đề đặc biệt khó khăn để giải quyết. Trong khi hầu hết các hệ thống máy tính được cập nhật mỗi 3-5 năm, thì các hệ thống kiểm soát thường vẫn hoạt động cho tới 20 năm, Sean Paul McGurk, giám đốc về an ninh các hệ thống kiểm soát tại Bộ An ninh Quốc nội, nói. Những hệ thống cũ này đã không được phát triển để hoạt động trong một môi trường kết nối mạng hoặc chiến đấu với sự công kích của các cuộc tấn công không gian mạng.

“Việc giới thiệu công nghệ [thương mại] trong môi trường [SCADA] có nghĩa rằng chúng ta chuyển đổi sang các mạng công nghiệp này” những chỗ bị tổn thương y như vậy mà chúng đang tồn tại trong các môi trường công nghệ thông tin truyền thống, ông nói. “Chúng ta sẽ mua các máy chủ dẹt, gắn chúng vào một môi trường xử lý mạng, và không hiểu làm thế nào để thiết lập cấu hình cho chúng cho một môi trường kiểm soát công nghiệp”.

McGurk nói các quản trị mạng quan tâm về các chỗ bị tổn thương về ngày số 0, mà chúng được khai thác trước khi nhà cung cấp có một cơ hội để tạo ra bản vá, nhưng đối với các hệ thống kiểm soát, thì “bạn sẽ quan tâm về các chỗ bị tổn thương chục năm số 0”.

Các quan chức chính phủ, làm việc với các lãnh đạo từ các công ty điều hành các hạ tầng mang tính sống còn và các nhà cung cấp mà hỗ trợ chúng, đang phát triển các chuẩn an ninh thông qua Chương trình An ninh Hệ thống Kiểm soát. Bộ An ninh Quốc nội cũng đã thiết lập Ủy ban Tư vấn Đối tác Hạ tầng Sống còn để đảm bảo rằng những cá nhân và các công ty này với một lợi ích trong việc bảo vệ các hệ thống chủ chốt đóng góp vào các quyết định chính sách.

“Chúng ta đang đưa các cá nhân tới bàn làm việc vì mục tiêu đi tới đồng thuận”, McGurk nói. “Chúng ta có thứ như là trí tuệ để hiểu được thách thức cùng với các công việc về chính sách và các nhà điều tiết chính sách chỉ ra cách làm thế nào để [các chuẩn an ninh không gian mạng] là thực tế và hành động được trong nền tảng nhà máy. Chính phủ không có được tất cả các câu trả lời. Vấn đề lớn này sẽ được giải quyết bởi khu vực tư nhân”.

Old technology presents a particularly difficult problem to solve. While most computer systems are upgraded every three to five years, control systems typically remain operational for up to 20 years, said Sean Paul McGurk, director of control systems security at the Homeland Security Department. These old systems were not developed to function in a networked environment or combat the onslaught of cyberattacks.

"The introduction of [commercial] technology into the [SCADA] environment means that we migrate into these industrial networks" the same vulnerabilities that exist in traditional information technology environments, he said. "We'll buy blade servers, stick them in a process-network environment, and not understand how to configure them for an industrial control environment."

McGurk said network managers are concerned about zero-day vulnerabilities, which are exploited before the vendor has a chance to create patch, but for control systems, "you're worried about zero-decade vulnerabilities."

Government officials, working with executives from companies operating critical infrastructures and the vendors that support them, are developing security standards through the DHS Control Systems Security Program. Homeland Security also established the Critical Infrastructure Partnership Advisory Council to ensure that those individuals and companies with a stake in protecting major systems contribute to policy decisions.

"We're bringing individuals to the table for the purposes of arriving at consensus," McGurk said. "We get the like minds that understand the challenge together with the policy wonks and regulators figuring out how to make [cybersecurity standards] real and actionable on the plant floor. Government does not have all the answers. By and large this problem is going to be solved by the private sector."

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com