Cyberbezpieczeństwo systemów ICS musi być najwyższym priorytetem

Wprowadzenie

Cyberbezpieczeństwo przemysłowych systemów sterowania (ICS) powinno być traktowane z najwyższym priorytetem w każdej organizacji zajmującej się infrastrukturą krytyczną. Z pojęciami ICS, technologii operacyjnej (OT) oraz systemów sterowania i nadzoru (SCADA), spotykamy się w szerokiej gamie branż – w wodociągach i kanalizacji, wytwarzaniu i rozdziale energii elektrycznej, sektorze nafty i gazu, bezpieczeństwie publicznym, zarządzaniu budynkami, sterowaniu sieciami łączności itd.

Odnosząc się do ryzyk cybernetycznych w kontekście działania infrastruktur krytycznych, musimy zdawać sobie sprawę z tego, że mogą one być atakowane z wielu kierunków zwanych „płaszczyzną ataku”, zaś drogi do urządzeń krytycznych mogące umożliwić spowodowanie ich awarii lub uszkodzenia, są nazywane „wektorami ataku”.

Dogłębne zrozumienie płaszczyzny ataku i wektorów ataku może pomóc Państwu w rozpoznaniu słabych punktów ochrony cybernetycznej Waszych systemów ICS i umożliwić podjęcie natychmiastowych i skutecznych działań minimalizujących te zagrożenia.

W niniejszym opracowaniu skupiamy się na czterech scenariuszach ataku przedstawionych na ilustracji powyżej:

1. Niedbałość ludzka w odniesieniu do zagrożeń cybernetycznych systemów ICS

Ludzie pracujący przy architekturach systemów komputerowych ICS-OT często działają niedbale. Niedbałością sprowadzają albo bezpośrednie zagrożenia cybernetyczne albo umożliwiają innym osobom stwarzanie zagrożeń dla ich systemom ICS. Wśród wektorów ataków wynikających z niedbalstwa warto uwzględnić:

• Postępowanie z zabezpieczeniami dostępu, takimi jak hasła i inne prawa dostępu.
• Niewystarczające kontrolowanie łańcuchów zaopatrzenia, w których występują dane poufne
• Dokonywanie nieuprawnionych czynności w systemach ICS, takich jak modyfikacje czy aktualizacje oprogramowania
• Zezwalanie pracownikom serwisów zewnętrznych na używanie ich własnych laptopów wnoszonych do Państwa organizacji

2. Słabo chroniona architektura ICS

Wszyscy zdajemy sobie sprawę z tego, że większość wdrożeń systemów OT na całym świecie dokonywano na już posiadanym sprzęcie i oprogramowaniu, którego w większości wypadków nie można rozbudowywać, modernizować, poprawiać itd. Stara reguła „nie naprawiaj tego, co jeszcze działa” jest stosowana powszechnie, nawet przez ekspertów. Wśród typowych przyczyn słabego zabezpieczenia systemów sterowania znajdziemy:

• Niewłaściwe konfigurowanie podziału na strefy i segmenty, niechroniące przed poziomą penetracją.
• Wykorzystywanie przestarzałego sprzętu i oprogramowania bez wdrożenia uzupełniających zabezpieczeń cybernetycznych
• Słabo zabezpieczone czujniki „warstwy 0” w terenie, bez ochrony przed dostępem do nich osób nieuprawnionym
• Niekontrolowany dostęp zdalny umożliwiany zewnętrznym specjalistom niezbędnym do zapewnienia ciągłości działania systemów

3. Słabe punkty procesów

Strukturę procesów ICS należy projektować tak, by zapewniała bezpieczeństwo, niezawodność i wydajność (Safety, Reliability, Productivity – SRP), ale bezpieczeństwo operacyjne musi być zapewniane niezależnie od awarii elementów lub nieuprawnionego dostępu. Procesy ICS projektowane bez uwzględnienia tych celów mogą być nieodporne na ataki cybernetyczne.

Pozostawienie możliwości manipulowania przy procesach ICS może doprowadzać do przerw w działaniu, uszkodzeń systemów, a nawet zagrożeń życia ludzi. Do niestabilności pracy systemów mogą doprowadzać różne rodzaje słabych punktów:

• Wdrażanie nieprzebadanych aktualizacji/modernizacji w kontrolerach PLC i systemach dyspozytorskich OT
• Brak „obrony uwarstwionej” w architekturze ICS, chroniącej przed ingerencją zewnętrzną
• Niechroniony dostęp do systemu przez „drzwi kuchenne” i inne nieuprawnione działania
• Niewykonywanie testów penetracyjnych z użyciem narzędzi i praktyk IT w celu wykrywania słabych punktów

4. Słabe punkty komunikacji

Podczas gdy słabe punkty procesów systemowych mogą doprowadzić całą architekturę ICS do niestabilnej pracy, narażenia komunikacyjne mogą umożliwiać „łatwe do wykonania” ataki cybernetyczne na system ICS. Napastnicy mogą połączyć się z mózgiem systemu ICS przez niezablokowane porty bezpośrednio dostępne przez Internet lub dostępne ze stref o niższym poziomie zabezpieczeń, które są dostępne z Internetu. Poniżej przedstawiamy wybrane rodzaje ataków cybernetycznych:

• Rozproszone ataki blokowania usług (Distributed Denial of Service – DDoS) dokonywane poprzez niezabezpieczone połączenia
• Ataki „na pośrednika” (Man-in-the-Middle – MitM) realizowane przez otwarty port lub medium komunikacyjne
• Dostęp do sieci przez nieszyfrowaną część sieci sterującej infrastruktury OT
• Dostęp do sieci ICS przez port danych z nieskonfigurowanym wymogiem uwierzytelnienia

Podsumowanie

Działalność przemysłowa jest uznawana za dziedzinę infrastruktury krytycznej, dlatego stosowane w niej systemy sterowania muszą być chronione w sposób zapewniający im bezpieczeństwo, niezawodność i wydajność pracy (SRP). Pomimo że pojęcie „poufności, nienaruszalności i dostępności” (Confidentiality, Integrity and Availability – CIA) jest kojarzone z sieciami komputerowymi, w pewnych zastosowaniach systemów ICS, np. przy produkcji żywności czy leków, pojęcie CIA może również dotyczyć systemów ICS.

Obronę cybernetyczną można realizować przestrzegając „Triady PPT” (People, Policies and Technology – ludzie, polityki i technika), jak również „Triady RDC” (Redundancy, Diversity and Complexity – redundancja, różnorodność i kompleksowość). Takie rozwiązania technologiczne muszą być rozważnie dostrajane do konkretnych architektur ICS i poziomów zagrożeń (ich skutków), prawdopodobieństwa ich wystąpienia i dostępności metod zamiennych, których wdrożenia może zapewnić osiągnięcie podobnych celów.

Konferencja InfraSEC 2020, która odbędzie się 5 lutego w Warszawie, będzie poświęcona zagadnieniom zagrożeń cyberbezpieczeństwa systemów ICS i ich technologiom, będą Państwo mieli możliwość spotkania ekspertów i dostawców rozwiązań z tej branży. Przed konferencją, w dniach 3 i 4 lutego, będzie można wziąć udział w warsztatach, które pomogą uczestnikom w pozyskaniu wiedzy niezbędnej osobom kierującym w swoich organizacjach obszarem bezpieczeństwa cybernetycznego systemów ICS.