На DEF CON запустили новую программу, которая должна дать киберзащиту водоканалов не на бумаге, а в операционке: к проекту Franklin подключили пять MDR-провайдеров для малых коммунальных систем США. Для русскоязычной IT-аудитории здесь важен не сам факт очередной инициативы на конференции, а модель: когда отрасль с хронической нехваткой специалистов закрывают через сервисную сеть, обмен телеметрией и автоматизацию, а не через бесконечные разговоры о «повышении осведомленности».
О запуске Water Watch Center, как пишет The Register, объявили 10 августа на DEF CON вместе с National Rural Water Association. На старте проект финансирует работу пяти компаний: Defendify, Legato Security, L1 Secure, Rapid7 и Sentinel Technologies. Их задача — помогать небольшим водоканалам и системам водоотведения, которые обслуживают менее 10 тысяч человек, обнаруживать атаки и снижать последствия взломов. Дальше схема выглядит довольно приземленно и потому жизнеспособно: провайдеры собирают сигналы из инфраструктуры, обмениваются индикаторами угроз между собой и передают данные в NRWA, а ассоциация уже связывает это с полевой поддержкой и работой на местах.
Ключевая проблема, которую в Franklin, похоже, наконец перестали романтизировать, — масштаб. По словам сооснователя проекта Джейка Брауна, в США около 150 тысяч водных коммунальных систем, и 98 процентов из них по сути живут как малый бизнес. Защищать такую массу волонтерским героизмом невозможно, даже если на старте идея собирает сильное комьюнити. Franklin запустили на DEF CON в 2024 году, и тогда 350 человек записались помогать водным объектам бесплатно. Но за два года стало ясно: энтузиазм полезен для первых выездов и точечной помощи, а не для национальной модели поставки кибербезопасности.
Отсюда и поворот к MSSP/MDR-подходу. Water Watch Center Браун описывает как пирамиду: наверху NRWA, ниже сенсоры провайдеров, которые отслеживают аномалии и уязвимости в сетях коммунальных объектов, а еще ниже — волонтеры Franklin, подключающиеся к разбору инцидентов и устранению конкретных проблем. Важно, что речь идет не просто о пересылке предупреждений от CISA или отраслевого ISAC. Проблема последних лет как раз в том, что у многих операторов критической инфраструктуры есть доступ к алертам, но нет рук, процессов и подрядчиков, способных превратить алерт в действие. Инициатива пытается закрыть именно этот разрыв между «мы вас предупредили» и «мы реально помогли».
Почему это вообще понадобилось ускорять именно сейчас, тоже понятно. По данным The Register, в последние недели под удары предполагаемых иранских хакеров попали сразу несколько водных систем, причем в основном небольшие локальные объекты. Картина до боли знакомая любому специалисту по OT-безопасности: программируемые логические контроллеры торчат напрямую в интернете, пароли либо дефолтные, либо слабые. Никакой особой магии, просто старая добрая халатность, умноженная на бедность и кадровый голод. Прямых признаков того, что злоумышленники уже применяли ИИ для подготовки или проведения таких атак, не приводится. Но логика DEF CON и собеседников из среды кибер- и нацбезопасности проста: если пока не применяют массово, это не повод ждать, когда начнут.
На этом месте проект Franklin добавляет второй слой — цифровые двойники и агентный ИИ. Water Watch Center договорился о сотрудничестве с Vanderbilt University, чтобы использовать наработки DARPA CASTLE — программы Cyber Agents for Security Testing and Learning Environment. Несколько сред водоснабжения и водоотведения собираются воспроизвести в виде цифровых двойников, а затем запускать на них red team- и blue team-агентов. Атакующие агенты будут пробовать ломать инфраструктуру, защитные — учиться обнаруживать и сдерживать такие действия. Идея не в красивом слове «цифровой двойник», которое любят вставлять в презентации подряд и без повода, а в очень конкретной задаче: дать защитным механизмам возможность проиграть тысячи сценариев до того, как их выпустят в живые коммунальные сети.
Для разработчиков и продуктовых команд здесь несколько понятных выводов. Во-первых, рынок OT/ICS-безопасности продолжает сдвигаться от коробок и аудитов к сервисной модели с постоянным мониторингом и распределенной поддержкой. Во-вторых, цифровые двойники становятся не только инженерным инструментом, но и полигоном для defensive AI, где автоматизация тренируется без риска уронить реальный процесс. В-третьих, отрасль все меньше рассчитывает закрыть проблему наймом. Браун прямо говорит о дефиците примерно в 500 тысяч специалистов по кибербезопасности и называет фантазией сценарий, в котором под 150 тысяч водных объектов внезапно найдутся новые люди. Для бизнеса это неприятная, но честная мысль: если защиту нельзя укомплектовать людьми, ее будут собирать из сервисов, телеметрии и полуавтономных средств реагирования.
Для российских и вообще русскоязычных команд, работающих с промышленными системами, коммунальной инфраструктурой и региональными операторами, история полезна еще и как зеркало. Самая слабая часть таких объектов редко находится в экзотических zero-day. Обычно она живет в базовой гигиене: открытые наружу контроллеры, слабая сегментация, устаревший удаленный доступ, отсутствие понятного подрядчика, который дежурит не по презентации, а по SLA. Киберзащита водоканалов в версии DEF CON выглядит убедительно именно потому, что не обещает чудес. Проект берет известные компоненты — MDR, обмен threat intelligence, полевую помощь, тестирование на цифровых двойниках — и собирает из них масштабируемую схему для объектов, которые не могут позволить себе собственный SOC.
Главный вопрос теперь не в том, сработает ли сама идея сервисной защиты, а в том, насколько быстро такую модель можно развернуть шире стартового пилота. Franklin рассчитывает расширить сеть с пяти до десяти провайдеров по числу регионов CISA. Если это получится, киберзащита водоканалов может стать редким примером, когда критическую инфраструктуру защищают не лозунгами про суверенность и важность отрасли, а нормально настроенной доставкой безопасности до самых маленьких и самых уязвимых объектов.