Ben-Gurion University of the Negev (BGU) cybersäkerhetsforskare varnar för en potentiell distribuerad attack mot urbana vattentjänster som använder ett botnet av smarta bevattningssystem som vattnar samtidigt. Ett botnät är ett stort nätverk av datorer eller enheter som styrs av en kommando- och kontrollserver utan ägarens vetskap.
Ben Nassi, en forskare på Cyber@BGU, kommer att presentera "Attacking Smart Irrigation Systems" i Las Vegas på den prestigefyllda Def Con 26 -konferensen i IoT Village den 11 augusti.
Forskarna analyserade och fann sårbarheter i ett antal kommersiella smarta bevattningssystem, som gör det möjligt för angripare att fjärransluta och stänga av vattensystem när de vill. Forskarna testade tre av de mest sålda smarta bevattningssystemen:GreenIQ, BlueSpray, och RainMachine smarta bevattningssystem.
"Genom att samtidigt tillämpa en distribuerad attack som utnyttjar sådana sårbarheter, ett botnät på 1, 355 smarta bevattningssystem kan tömma ett urbant vattentorn på en timme och ett botnät på 23, 866 smarta bevattningssystem kan tömma vattenreservoar över natten, "Nassi säger." Vi har meddelat företagen att varna dem om säkerhetsluckorna så att de kan uppgradera deras smarta systems bevattningssystems firmware. "
Vattenproduktions- och leveranssystem är en del av en nations kritiska infrastruktur och är i allmänhet säkrade för att förhindra att angripare infekterar deras system. "Dock, kommuner och lokala myndigheter har antagit ny grön teknik som använder IoT smarta bevattningssystem för att ersätta traditionella sprinklersystem, och de har inte samma kritiska infrastruktursäkerhetsstandarder. "
I studien, forskarna presenterar en ny attack mot urbana vattentjänster som inte kräver infektion av dess fysiska cybersystem. Istället, attacken kan tillämpas med hjälp av ett botnät av smarta bevattningsregleringssystem vid vattentjänster i stad som är mycket lättare att attackera.
Forskarna visade hur en bot som körs på en komprometterad enhet kan (1) upptäcka ett smart bevattningssystem anslutet till dess LAN på mindre än 15 minuter, och (2) slå på vattning via varje smart bevattningssystem med hjälp av en uppsättning sessionskapande och omspelningsattacker.
"Även om den nuvarande generationen av IoT -enheter används för att reglera vatten och el från kritisk infrastruktur, som smart-grid och urbana vattentjänster, de innehåller allvarliga säkerhetsproblem och kommer snart att bli primära mål för angripare, säger Nassi, som också är doktorand student vid prof. Yuval Elovicis vid BGU:s avdelning för programvara och informationssystemteknik och forskare vid BGU Cyber Security Research Center. Elovici är centrumets direktör liksom direktören för Telekom Innovation Labs på BGU.
Forskargruppen inkluderade också Ph.D. student Yair Meidan övervakad av Dr Asaf Shabtai, liksom två praktikanter, Moshe Sror och Ido Lavi.
Tidigare forskning fokuserade på en ny metod för att upptäcka olaglig drönningsfilmning.
