Pierwszym skutkiem ataku na maszynę budowlaną nie musi być niekontrolowany ruch wysięgnika. Bardziej prawdopodobne są utrata dostępu do danych, ujawnienie lokalizacji sprzętu albo zakłócenie diagnostyki. Współczesna koparka, ładowarka czy podnośnik nadal opiera się na hydraulice i mechanice, lecz coraz większą częścią jej pracy zarządza elektronika.
Elektronika przejmuje kolejne funkcje maszyny
W wielu nowych maszynach poszczególne układy mają własne sterowniki elektroniczne. Kontrolują one pracę silnika, hydrauliki, przekładni, osprzętu, systemów bezpieczeństwa i panelu operatora. Informacje są wymieniane za pośrednictwem wewnętrznej sieci komunikacyjnej, często opartej na magistrali CAN i rozwiązaniach z rodziny SAE J1939, stosowanych w ciężkich pojazdach oraz sprzęcie pracującym poza drogami publicznymi.
Taka architektura pozwala sterownikom współpracować bez prowadzenia osobnego przewodu dla każdej funkcji. Informacja o obrotach silnika może trafić jednocześnie do układu hydraulicznego, wyświetlacza i modułu diagnostycznego. Awaria komunikacji albo pojawienie się w sieci nieprawidłowych danych może więc wpływać na kilka podzespołów.
Cyfrowa warstwa obejmuje również prowadzenie osprzętu. Systemy wykorzystujące czujniki położenia, odbiorniki GNSS i modele terenu pomagają utrzymywać głębokość wykopu, rzędną lub spadek. Rozwiązania 2D i 3D są stosowane zarówno w koparkach, jak i w sprzęcie przeznaczonym do niwelacji terenu.
Modem nie daje automatycznie kontroli nad wysięgnikiem
Obecność modemu komórkowego lub satelitarnego nie oznacza, że ktoś może przez internet przejąć joysticki operatora. Dostęp do danych telematycznych, zdalnej diagnostyki i układów odpowiedzialnych za ruch maszyny może być rozdzielony technicznie oraz chroniony dodatkowymi zabezpieczeniami. Zakres dostępnych funkcji zależy od producenta, modelu i konfiguracji sprzętu.
Systemy telematyczne przekazują przede wszystkim lokalizację, liczbę motogodzin, poziom paliwa, czas pracy na biegu jałowym, komunikaty serwisowe i kody usterek. W wybranych rozwiązaniach dostępne są również zdalne aktualizacje, diagnostyka, ograniczenie osiągów albo blokada możliwości uruchomienia maszyny. Ostatnia funkcja jest projektowana tak, aby uniemożliwić rozruch, a nie nagle zatrzymywać sprzęt podczas pracy.
Innym przypadkiem jest sterowanie radiowe będące podstawowym sposobem obsługi. Spotyka się je między innymi w urządzeniach zagęszczających pracujących w niebezpiecznych miejscach. Operator zdalnie sterowanego walca do wykopów może pozostawać poza ciasną przestrzenią roboczą, ale takie sterowanie działa inaczej niż internetowy portal do zarządzania flotą.
Bardziej realnym celem są dane i dostęp do usług
Filmowa wizja koparki poruszanej przez anonimowego napastnika odwraca uwagę od bardziej prawdopodobnych problemów. Przejęte konto do platformy flotowej może ujawnić miejsce postoju sprzętu, czas jego pracy i dane eksploatacyjne. Możliwość zmiany ustawień lub przesyłanych informacji zależy natomiast od uprawnień danego konta oraz konstrukcji systemu.
Atak może również polegać na zablokowaniu dostępu do portalu, zmianie kont użytkowników albo zakłóceniu przesyłania danych. Jeżeli firma planuje przeglądy na podstawie automatycznie rejestrowanych motogodzin i kodów usterek, utrata wiarygodności tych informacji zaczyna wpływać na organizację pracy.
Znaczenie danych rośnie wraz z automatyzacją placu budowy. W zależności od wyposażenia i zastosowanego systemu układy sterowania i nadzoru pracy żurawi mogą rejestrować obciążenia, alarmy, cykle pracy oraz zdarzenia związane z wyznaczonymi strefami. Takie zapisy ułatwiają serwis i analizę incydentów, ale wymagają ochrony kont, transmisji i urządzeń mających do nich dostęp.
Badania pokazały słabe strony sieci J1939
W kontrolowanych badaniach ciężarówki i autobusu korzystających z SAE J1939 wykazano możliwość wysyłania spreparowanych komunikatów do wewnętrznej magistrali. Badacze korzystali z urządzenia podłączonego do sieci pojazdu, a więc nie przeprowadzili przypadkowego ataku przez internet. Testy nie dotyczyły koparek ani ładowarek, dlatego ich wyników nie można automatycznie przypisywać każdej maszynie budowlanej.
Wnioski są jednak istotne dla urządzeń korzystających z podobnych mechanizmów komunikacyjnych. Sama magistrala została zaprojektowana przede wszystkim do sprawnej wymiany informacji pomiędzy sterownikami. Odporność całej maszyny zależy więc między innymi od bram sieciowych, filtrowania komunikacji, zabezpieczenia diagnostyki i oddzielenia interfejsów zewnętrznych od układów sterujących.
Poważniejszy atak wymaga drogi wejścia. Może nią być dostęp do złącza diagnostycznego, źle chroniony moduł telematyczny, podatna aplikacja, przejęte konto albo dodatkowe urządzenie połączone z wewnętrzną siecią maszyny. Nie każda z tych dróg prowadzi do funkcji odpowiedzialnych za ruch, ale każda zwiększa liczbę elementów wymagających nadzoru.
Laptop serwisowy może być słabym ogniwem
Podczas przeglądu technik podłącza do maszyny adapter diagnostyczny i komputer. Zestaw służy do odczytu błędów, sprawdzania parametrów, zmiany ustawień oraz instalowania oprogramowania. Źle zabezpieczony laptop może stać się jednym z elementów prowadzących do sieci diagnostycznej, zwłaszcza gdy korzysta z nieaktualnego systemu albo jest używany także do innych zadań.
Podobny problem dotyczy wyposażenia montowanego po zakupie maszyny. Lokalizator GPS, rejestrator pracy, modem czy dodatkowy interfejs diagnostyczny mogą odczytywać dane z urządzenia. Przed montażem trzeba ustalić, do jakich informacji mają dostęp, czy mogą wysyłać komunikaty i w jaki sposób otrzymują aktualizacje.
Firma powinna wiedzieć, które maszyny łączą się z siecią i kto może korzystać z ich portali. Konta administratorów wymagają osobnych, silnych haseł oraz uwierzytelniania wieloskładnikowego, jeśli system je obsługuje. Uprawnienia byłego pracownika należy odbierać równie sprawnie jak klucze, kartę wstępu czy telefon służbowy, a oprogramowanie pobierać wyłącznie kanałami wskazanymi przez producenta lub serwis.
Nietypowa lokalizacja, błędne motogodziny lub przerwa w przesyłaniu danych nie muszą oznaczać cyberataku. Przyczyną może być awaria anteny, modułu albo zwykły problem z łącznością. Takich sygnałów nie należy jednak ignorować. Przegląd floty coraz częściej obejmuje już nie tylko hydraulikę, filtry i przewody, lecz również konta użytkowników, oprogramowanie oraz urządzenia mające dostęp do elektroniki maszyny.