PMI_092022 PMI_092022 PMI_092022

Najčastejšie mýty o kybernetickej bezpečnosti v kritickej infraštruktúre

0

Kritická infraštruktúra je definovaná* ako zložka, systém alebo ich časť, ktorá je nevyhnutná na zachovanie základných funkcií spoločnosti, zdravia, ochrany, bezpečnosti, kvality života obyvateľov z ekonomického a sociálneho hľadiska a ktorej narušenie alebo zničenie by malo závažné dôsledky v štáte z dôvodu nemožnosti zachovať tieto funkcie.

Významný podiel na kritickej infraštruktúre majú systémy riadenia výrobných procesov, v angličtine operational technology (skratka OT). Najväčší segment v rámci OT sú industrial control systems (ICS), ktoré sa používajú na monitorovanie, riadenie, kontrolu a reguláciu automatizovaných priemyselných procesov. Toto môže byť napríklad eskalátor v obchodnom centre, ovládacie ventily v rafinérii, regulácia spotreby energie v rámci elektrickej rozvodnej siete alebo poplach z informačného a riadiaceho systému budovy. Pod pojem ICS spadá niekoľko typov riadiacich systémov, ale všetky majú spoločnú charakteristiku. Ich cieľom je zabezpečiť vysokú dostupnosť a bezpečnosť a ochranu zdravia (safety). Keďže OT infraštruktúra sa líši od klasickej IT infraštruktúry, nemožno aplikovať úplne rovnaké opatrenia na zvýšenie bezpečnosti (cyber security). Veľakrát je to nielen pre rozdielnosti, ale aj v dôsledku nepochopenia hrozieb a zraniteľností, ktoré sú špecifické pre OT infraštruktúru. Tie väčšinou vychádzajú z mýtov o kybernetickej bezpečnosti OT infraštruktúry. V ďalšom texte sa pokúsime opísať najčastejšie mýty a poukázať na skutočnosti, ktoré ich môžu spochybniť.

Neexistuje spojenie medzi IT a OT infraštruktúrou (tzv. air gap)

OT sieť je úplne oddelená od firemnej IT siete a takisto od internetu, takže neexistuje žiadne riziko. V prípade správnej implementácie a neustáleho udržiavania vytvára oddelenie OT infraštruktúry od ostatných sietí efektívnu ochranu proti kybernetickým útokom. Tento model však už nie je veľmi praktický a s vysokou pravdepodobnosťou nie je dlhodobo udržateľný. Ešte stále existuje veľká skupina používateľov, ktorí sú presvedčení o opaku. No s príchodom Industry 4.0 a s ním spojenej rozsiahlej digitalizácie sa oddeľovanie OT od ­ostatných sietí vytratilo alebo postupne mizne. Výsledkom sú spojené OT a IT siete, ktoré vytvárajú nové možnosti pre potenciálnych útočníkov.

Keby sme aj tento trend ignorovali, treba si uvedomiť, že aj pri oddelenej OT sieti vznikajú technologické alebo obchodné potreby prenosu súborov a dát medzi touto infraštruktúrou a ostatnými sieťami. Môže ísť napríklad o konfiguračné súbory, softvérové záplaty alebo rôzne súbory od dodávateľov alebo integrátorov týchto systémov. Prípadný útočník vie využiť takéto dočasné kanály a pomocou rôznych techník sociálneho inžinierstva oklamať obsluhu alebo dodávateľov a nainštalovať podvrhnutú aktualizáciu alebo záplatu softvéru (veľakrát s platným digitálnym podpisom) alebo využiť na inštaláciu škodlivého softvéru napríklad USB pamäťové zariadenie (napr. Stuxnet). Vo veľa prípadoch útočníci získajú vstup do podnikovej IT siete alebo zneužijú systémy dodávateľa a až odtiaľ napadnú OT/ICS infraštruktúru. A to sme ešte nezačali rozoberať IIoT, ktoré sú veľakrát pripojené priamo do edge cloudu, resp. do verejného cloudu, kde je umiestnený riadiaci softvér pre takéto zariadenia a takisto sa tam ukladajú dáta z týchto zariadení.

Ak ešte ani tieto argumenty nepresvedčili každého o tom, že oddelenie OT už nie je reálne, odporúčam vyskúšať nástroj Shodan (shodan.io), ktorý skenuje a mapuje zariadenia pripojené do internetu. Budete prekvapení, koľko nechránených a zle nakonfigurovaných zariadení ICS nájdete.

Namiesto spoliehania sa na oddelenie, ktoré vytvára iba falošný pocit bezpečia, treba zmapovať všetky aktíva v OT infraštruktúre, vyhodnotiť bezpečnostné riziká a prijať zmysluplné opatrenia.

Používame proprietárne systémy a nikto nerozumie našim protokolom

Vo všeobecnosti sa verí, že komunikačné protokoly používané v OT svete sú veľmi špecifické a prípadní útočníci nemajú s nimi skúsenosť a nerozumejú im. Toto môže viesť k falošnému pocitu bezpečnosti, pretože úspešný útok na OT infraštruktúru sa môže zdať neuskutočniteľnou výzvou.

No situácia sa výrazne mení a útočníci, ktorí sa cielene zameriavajú na OT infraštruktúru, majú znalosti, vytrvalosť, ale aj dostatočné zdroje, aby takéto útoky doviedli (z ich pohľadu) do úspešného konca. Dôležitá je aj skutočnosť, že i napriek tomu, že väčšina OT protokolov má špeciálny charakter, veľa ­dodávateľov ešte stále používa vo svojich produktoch softvér z otvorených zdrojov, čo tiež prináša možné zraniteľnosti.

Pri novších generáciách OT systémov vidieť trend smerom k používaniu bežných IT protokolov aj v OT svete, čo zväčšuje potenciál vystavenia týchto systémov kybernetickým útokom. Napríklad SMB je široko používaný nielen v rámci IT, ale aj OT infraštruktúry.

Na darknete sa takisto dá kúpiť už predpripravený škodlivý softvér na útoky na OT systémy. Možno sledovať aj trend rastúceho počtu bezpečnostných incidentov v OT systémoch, pretože veľké množstvo inštalácií používa RDP alebo SSH na vzdialený prístup. Tie sú dobre známe každému priemerne zdatnému útočníkovi a takisto prinášajú vlastné zraniteľnosti, ktoré sa dajú zneužiť na útok.

Firewall nás ochráni – nám nehrozí kybernetický útok

Nás nemôže postihnúť nijaký kybernetický útok, pretože medzi našou OT sieťou a ostatnými sieťami máme firewall. Nie je pochýb o tom, že firewall a zodpovedajúca sieťová ­architektúra s demilitarizovanou zónou sú základom ochrany OT sieťovej infraštruktúry pred ne­autorizovaným prístupom. No táto ochrana je iba taká dobrá, ako dobre sú nastavené pravidlá na firewalloch a ako je zabezpečený sám firewall. Kvalitné pravidlá vychádzajú z detailného plánovania, presných postupov a nepretržitého monitorovania s cieľom identifikovať zmeny v pravidlách, sieťovom dizajne alebo nastaveniach firewallu. Akákoľvek nesprávna alebo nedostatočná konfigurácia vytvára falošný pocit bezpečnosti a s veľkou pravdepodobnosťou môže dovoliť neoprávnený vstup do chránenej siete, v tomto prípade OT siete. Hoci firewall predstavuje dôležitú súčasť ochrany OT infraštruktúry, treba si uvedomiť, že vie chrániť iba proti útokom z externého prostredia a nedokáže zabrániť zneužitiu povolenej komunikácie. Tu je nevyhnutné implementovať ďalšiu líniu ochrany vo forme systému detekcie napadnutia (IDS – intrusion detection system). Aby sme vedeli bojovať s ďalšími hrozbami, ako sú napríklad prenosné pamäťové zariadenia, neautorizované vzdialené prístupy alebo iné prenosné systémy, treba využiť aj ďalšie opatrenia na úrovni systému, ako napríklad povolené aplikácie (application whitelisting), odstránenie alebo deaktivácia nepoužívaných programových súčastí a služieb alebo softvérových komponentov atď.

Používame sériovú komunikáciu – tá je imúnna proti útokom

Komunikácia po sériovej linke, ktorá nie je smerovaná, je takmer imúnna proti kybernetickým útokom. Sériová komunikácia, ako napríklad RS-232 alebo RS-485, je logicky izolovaná komunikačná metóda, preto sa predpokladá, že je zo svojej podstaty bezpečná a chránená pred kybernetickými útokmi.

Ak je vzdialený podriadený systém pripojený sériovým pripojením, takéto spojenie sa typicky skladá z dvoch sietí, aby fungovalo. V prvom rade ide o sériové pripojenie s riadiacim centrom a následne sieť typu IP/eternet na zabezpečenie komunikácie jednotlivých OT systémov na úrovni závodu. Zvyčajne existuje ešte tretia sieť, čo je vlastne klasická podniková sieť, ktorá podporuje tradičné firemné procesy, ako je e-mail, surfovanie po webe, spolupráca, podpora zákazníkov atď.

Pre útok na OT v tomto prípade platí, že potenciálny útočník potrebuje prístup k zariadeniam, ktoré umožňujú externé smerovanie alebo používajú smerovacie protokoly. Doposiaľ publikované informácie o incidentoch ukazujú, že možno kompromitovať sériovo pripojenú vzdialenú lokalitu prostredníctvom iných prostriedkov. Útočníci môžu nájsť a zneužiť zraniteľné miesta prostredníctvom podnikovej siete (ak je napríklad nesprávne nakonfigurovaný firewall), USB, prenosných systémov, sociálneho inžinierstva, dodávateľov alebo fyzického narušenia objektovej bezpečnosti. Samozrejme, toto nie je triviálna úloha, ale si to vyžaduje aj ďalšie úsilie, napr. útočníci musia nájsť premosťovací bod – sieťové zariadenie, ktoré spracúva IP aj sériovú komunikáciu (napr. sériovo-IP prevodníky), alebo firewall, ktorý oddeľuje OT a podnikové siete.

Mnoho organizácií ešte stále používa telefonické pripojenie na núdzový prístup k vzdialeným lokalitám. Keby tieto zariadenia boli napadnuté útočníkmi, mohli by takisto umožniť neoprávnený prístup. Väčšina telefonických pripojení používa staršie zariadenia, ktoré sa ťažšie chránia.

Ďalšia skutočnosť, ktorá vyvracia tento mýtus, je riziko spojené s útočníkom zvnútra (insider). Takýto útočník môže mať rôzne motivácie a veľmi ťažko sa identifikuje a odhaľuje, pretože pozná nastavené procesy, veľakrát má legitímny prístup k rôznym zariadeniam OT infraštruktúry, prípadne môže narušiť opatrenia objektovej bezpečnosti alebo využiť techniky sociálneho inžinierstva. Môže napríklad do OT infraštruktúry pripojiť škodlivé zariadenia umožňujúce vzdialený prístup, čo by mohlo spôsobiť značné škody a výpadky. Pre nedostatok vzdialeného monitorovania nemusíme o prítomnosti takýchto škodlivých zariadení ani vedieť.

Pozn.: * Podľa smernice Rady EU 2008/114/ES

Úvodné foto: fanjianhua - www.freepik.com

 

Zobrazit Galériu

Pridať komentár

Mohlo by vás zaujímať

Mohlo by vás zaujímať