Danfoss AK-SM i AK-SC: alert CERT-FR i kontrola dostępu do OT

12 października CERT-FR ostrzegł o naruszeniach urządzeń Danfoss AK-SM i AK-SC i zalecił odłączenie lub filtrowanie dostępu. Źródło: alert CERTFR-2026-ALE-012.

Danfoss opisuje jednostki System Manager jako element systemów chłodnictwa i HVAC dla handlu spożywczego, koordynujący m.in. dane temperatur, alarmy i odszranianie. Kontekst zastosowania pochodzi z opisu produktów producenta.

Wniosek Breachroad: właściciel obiektu, serwis techniczny i IT powinni wspólnie ustalić, kto może zmieniać ustawienia urządzeń i jak ograniczyć ten dostęp bez utraty kontroli nad procesem. Poniższe kroki są naszym planem organizacyjnym, a nie opisem konkretnej poszkodowanej firmy.

Zacznij od urządzenia i jego właściciela

Proponujemy sporządzić listę urządzeń obejmującą model, wersję, lokalizację, właściciela konfiguracji oraz firmę serwisującą. Wpis „chłodnictwo obsługuje podwykonawca” jest zbyt ogólny, aby rozstrzygnąć, kto potwierdzi ustawienia i podejmie decyzję o zmianie dostępu.

Ustal również, kto widzi alarmy i jak operator zgłasza nieoczekiwane zachowanie. Jeżeli rejestr urządzeń znajduje się wyłącznie w narzędziu serwisu, organizacja potrzebuje uzgodnionego sposobu uzyskania tych informacji. Osoba odpowiedzialna za obiekt powinna znać kontakt do właściciela technicznego i jego zakres odpowiedzialności.

Sprawdź całą drogę zdalnego dostępu

W naszej ocenie trzeba ustalić rzeczywistą osiągalność interfejsu zarządzania: adresy publiczne, przekierowania portów, dostęp partnerów oraz połączenia z innych segmentów sieci. Nie ograniczaj przeglądu do sposobu, którego zwykle używa pracownik serwisu.

Zapisz osoby i systemy dopuszczone do administracji, cel połączenia oraz warunki jego zakończenia. Zweryfikuj wspólne konta i stare uprawnienia. Samo zastosowanie VPN nie odpowiada na pytanie, jakie urządzenia może osiągnąć użytkownik po zalogowaniu.

Nasza rekomendacja: każdą zmianę ograniczeń uzgodnij z właścicielem procesu i serwisem. Sprawdź, czy potrzebne alarmowanie i obsługa pozostają dostępne. Wynik powinien pokazywać zarówno zakres dozwolonego dostępu, jak i potwierdzenie wymaganych funkcji po zmianie.

Podejrzenie naruszenia wymaga planu odtworzenia

CERT-FR przy podejrzeniu kompromitacji wymienia ograniczenie połączeń do serwisantów, reset fabryczny, wszystkie dostępne poprawki, rotację sekretów, przegląd kont i ponowną konfigurację urządzenia.

Zalecamy przygotować te działania wspólnie z osobą odpowiedzialną za instalację i obsługą incydentu. Przed zmianami, w zakresie możliwym bez opóźnienia pilnego zabezpieczenia, zachowaj dostępne logi i informacje o stanie. Ustal zaufane źródło konfiguracji, potrzebne parametry i sposób ich potwierdzenia po odtworzeniu.

Plan powinien wskazywać kolejność czynności, osoby zatwierdzające i warunki wznowienia pracy. Reset urządzenia jest etapem odtworzenia; właściciel potrzebuje także potwierdzenia, że właściwa konfiguracja oraz dostęp operatorów zostały przywrócone. Nie traktuj przypadkowej kopii ustawień jako automatycznie zaufanego źródła.

Oddziel stan urządzenia od stanu procesu

W naszym planie IT ocenia konta, połączenia i dostępne zdarzenia, a właściciel instalacji potwierdza działanie wymaganych funkcji oraz sposób obsługi alarmów. Obie strony powinny zapisać wynik w tym samym zgłoszeniu.

Jeżeli jedna część oceny pozostaje niepełna, wskaż ograniczenie i osobę odpowiedzialną za dalsze ustalenia. Ogólne stwierdzenie „urządzenie działa” nie pokazuje, czy wyjaśniono historię zmian lub zweryfikowano zdalny dostęp. Podobnie zamknięcie reguły sieciowej nie opisuje całego stanu instalacji.

Scenariusz szkoleniowy dla serwisu i operatora

Wyobraźmy sobie obiekt, w którym kilku partnerów używa jednego konta administracyjnego, a operator obserwuje nieuzgodnioną zmianę ustawień. To hipotetyczny przykład do rozmowy, nie rekonstrukcja incydentu we Francji.

Poproś uczestników o wskazanie sposobu zgłoszenia, właściciela decyzji o dostępie i dowodów potrzebnych do odtworzenia historii. Ćwiczenie powinno łączyć procedurę operatora z obowiązkami serwisu oraz IT. Można przeprowadzić je na opisie sytuacji, bez zmieniania ustawień działających urządzeń.

Więcej o wyznaczaniu granic dostępu znajdziesz w przewodniku po Zero Trust. Organizacje, które chcą przećwiczyć współpracę operatorów, serwisu i IT przy zdarzeniu bezpieczeństwa, mogą skorzystać z szkoleń z cyberbezpieczeństwa dla zespołów.