美國針對水利設施提出警告，管理者應儘速處理曝露在網際網路的HMI

12月13日美國環境保護局（EPA）網路安全暨基礎設施安全局（CISA）發布聯合警報，呼籲水利設施業者、廢水處理業者應對於曝露在網際網路的人機介面（HMI）採取相關的安全防護措施，以免這類系統成為攻擊者入侵相關設施的管道。

這兩個機構表示，他們利用公開的網頁搜尋平臺掃描，結果經常發現曝露在網際網路的人機介面。一旦水利設施及廢水處理業者缺乏相關的資安控管，未經授權的攻擊者就有機會存取其中的內容，包含系統分布地圖、事件記錄、資安組態設定，並且有機會執行未經授權的變更，從而有機會中斷相關機關的處理流程。

他們提及今年有俄羅斯駭客發動相關攻擊的事故，這些駭客操弄人機介面，結果導致水泵和鼓風機設施超過正常作業的數值。

在相關攻擊行動裡，駭客通常會將有關參數設為極限值、竄改組態、關閉警示機制，並更換管理員密碼，而將原本的管理員拒於門外。這麼一來，受害公司只能被迫切換至手動作業，而使得運作受到影響。

對此，EPA和CISA呼籲水利設施及廢水處理業者應對於遠端存取人機介面祭出強化機制，大致可區分幾個層面，而這是首度CISA針對人機介面提出有關的防護建議。首先，便是從盤點有那些曝露於網際網路的資產，並中斷未受保護的系統透過網際網路與人機介面的連線。

再者，就是針對身分驗證的部分進行強化，包含在人機介面常見採用預設密碼的現象，換用高強度密碼，甚至進一步為人機介面、OT網路導入多因素驗證（MFA）。

接著，CISA提出中長期的措施，像是實作網路分段並建置DMZ區域、導入地理柵欄等。

而針對管理層面的防護，CISA認為可調整為僅授權特定IP位址進行遠端存取，並監控登入人機介面的狀態，是否出現不尋常次數的失敗跡象。

此外，他們也建議這些公司使用CISA的免費弱點掃描服務，來偵測軟體的漏洞，並確認是否已正確套用最新的修補程式。