100多个灌溉系统在没有密码的情况下在线暴露

上个月，100多个智能灌溉系统在没有密码的情况下暴露在网上，任何人都可以访问和篡改作物、树木种植园、城市和建筑群的灌溉计划。

暴露的灌溉系统是由以色列的一家小型精品安全公司Security Joes发现的。

所有人都在运行ICC PRO，这是摩托罗拉设计的顶层智能灌溉系统，用于农业、草坪和景观管理。

Security Joes的联合创始人Ido Naor上个月告诉ZDNet，公司和市政府官员已经安装了ICC PRO系统，而没有改变默认的出厂设置，因为出厂设置中没有默认账户的密码。

Naor说，在Shodan等物联网搜索引擎的帮助下，这些系统可以很容易地在线识别。

一旦攻击者找到了可以上网的ICC PRO系统，Naor说他们所要做的就是键入默认的管理员用户名，然后按Enter键访问智能灌溉控制面板。

在这里，Naor说攻击者可以暂停或停止浇水事件，改变设置，控制输送到水泵的水量和压力，或者通过删除用户来锁定灌溉系统。

上个月，当NAOR第一次发现这个问题时，100多个ICC PRO灌溉系统在没有密码的情况下暴露在网上。

这位安全研究人员表示，超过一半的暴露系统位于以色列各地，其余的分布在整个全球。

NAOR上个月通知了CERT以色列，后者随后联系了受影响的公司、供应商摩托罗拉(Motorola)，并与其他国家的CERT团队分享了调查结果。

上周曝光率开始好转。在摩托罗拉向客户发出一封关于将灌溉系统暴露在网上的危险的信后，Naor将这一进展归功于摩托罗拉。

由于这些通知，上周可以上网的icc pro实例的数量开始下降到94个，今天下降到78个，因为公司开始将他们的灌溉系统安装在防火墙后面或私人网络上。

然而，虽然情况有所改善，但今天仍然在网上暴露的很大一部分系统仍然没有为默认帐户设置密码。

Naor的调查结果是在今年早些时候以色列政府表示伊朗黑客入侵以色列各地的水管理系统并试图改变水位之后得出的。幸运的是，被破坏的系统只管理农业水泵，很可能与灌溉系统有关。

在这些入侵之后，以色列网络安全机构INCD在全国范围内发出警报，要求供水和水处理设施更改其基于网络的管理系统的密码。

纳尔说，他上个月发现的灌溉系统与今年4月的事件无关。

Naor告诉ZDNet，这些系统是根据我们搜索以色列公开管理小组的监测规则发现的。

安全部门的工作人员一直在留意新出现的威胁，试图抢先攻击者一步。我们的任务之一是在野外搜索管理界面，以确保它们对驾车经过的攻击者的恢复能力。我们敦促组织和安全公司也这么做，他补充道。

2018年的一篇研究论文由以色列研究团队撰写的一篇2018年的研究论文认为，灌溉系统可以成为类似僵尸网络的有组织攻击的目标，通过清空储水量，在特定地区造成水资源短缺。