Dlaczego cyfryzacja sieci przemysłowych to jedno z kluczowych wyzwań dla cyberbezpieczeństwa?

Rewolucja przemysłowa 4.0 przenosi produkcję i powiązane branże w nową erę. Potrzeby produkcji są silnie uzależnione od danych i to dostarczanych oraz wywołujących reakcje w czasie rzeczywistym. Technologie, takie jak robotyka i automatyzacja, opierają się na danych i zaawansowanej analizie danych. Inteligentne maszyny Przemysłu 4.0 są połączone. To połączenie umożliwia przechwytywanie, udostępnianie, analizowanie i wykorzystywanie danych do optymalizacji systemów przemysłowych łącząc IT i OT.

Technologia operacyjna (OT – operational technology) – według definicji Gartnera, to sprzęt i oprogramowanie, które wykrywa lub powoduje zmianę poprzez bezpośrednie monitorowanie i/lub kontrolę fizycznych urządzeń, procesów i zdarzeń w przedsiębiorstwie. Dla porównania technologia informacyjna (IT) służy do kontrolowania udostępniania, współpracy i wykorzystywania danych za pomocą aplikacji, serwerów, punktów końcowych itp. OT jest powszechne w przemysłowych systemach sterowania (ICS), takich jak systemy SCADA. W świecie infrastruktury krytycznej OT można wykorzystać do sterowania elektrowniami czy transportem publicznym.

Wraz z rozwojem tej technologii i konwergencją z technologią sieciową zapotrzebowanie na bezpieczeństwo OT rośnie wykładniczo. Warto tutaj wspomnieć, że bezpieczeństwo systemów przemysłowych ma wiele cech wspólnych z bezpieczeństwem IT.

Dla przykładu poufność, integralność i dostępność (z ang. Confidentiality, Integrity, Availability – CIA) to atrybuty informacji, które tworzą logiczne podwaliny dla wszystkich kategorii produktów z zakresu cyberbezpieczeństwa – IT i OT.

W obszarze OT ich priorytetyzacja przedstawia się następująco:

• Dostępność: problem nr 1 dla wszystkich operatorów i potencjalnie krytyczny problem dotyczący zdrowia i bezpieczeństwa.

• Integralność: jak chronić system docelowy przed nieautoryzowanymi zmianami.

• Poufność: jak chronić szczegóły systemu przed nieautoryzowanym dostępem i niewłaściwym użyciem.

Jak widać powyżej w bezpieczeństwie OT chodzi o to by dane były przede wszystkim dostępne, później niezmienialne, a dopiero na końcu niedostępne do wglądu dla niepowołanych osób. Porównując bezpieczeństwo IT z bezpieczeństwem OT, widzimy fundamentalne różnice w podejściu do architektury. Dotychczas modelowa koncepcja cyberbezpieczeństwa dla OT to odizolowane inwestycje, odcięte galwanicznie od sieci internet i odpowiednio skategoryzowane w ramach infrastruktury krytycznej.

Przykłady infrastruktury OT :

• PLC’s – Programmable Logic Controllers – programowalne sterowniki logiczne to komputery kontrolujące parametry systemów np. produkcyjnych.
  
  
• SCADA – Supervisory Control And Data Acquisition – architektura systemu sterowania składająca się z komputerów, sieciowej transmisji danych i graficznych interfejsów użytkownika (GUI) do zarządzania procesami na wysokim poziomie, a także innych urządzeń peryferyjnych, takich jak programowalne sterowniki logiczne (PLC) i kontrolery PID (discrete proportional-integral-derivative) do połączenia z instalacją technologiczną lub maszynami.
  
  
• DCS – Distributed Control Systems – skomputeryzowany system sterowania dla procesu lub zakładu, zwykle z wieloma pętlami sterowania, w których autonomiczne sterowniki są rozproszone w całym systemie, ale nie ma centralnego sterowania nadzorczego operatora. Koncepcja DCS zwiększa niezawodność i obniża koszty instalacji dzięki zlokalizowaniu funkcji sterowania w pobliżu zakładu przetwórczego, że zdalnym monitorowaniem i nadzorem.
  
  
  

Ponieważ systemy OT obsługują instalacje kluczowe w naszym artykule posłużymy się przykładem systemu dostarczającego kluczową dla ludzkiego życia substancję – wodę.

Ataki za pośrednictwem sieci wodociągowej nie są nowością – od odcinania wody podczas oblężenia zamków w średniowieczu po apokaliptyczne sceny z filmów science fiction.

Systemy wodne są podatne na ataki z kilku ogólnych względów:

• Są definiowane na podstawie bardziej lokalnego położenia geograficznego – granice i chociaż zanieczyszczenie może rozprzestrzeniać się na sąsiednie obszary, dzieje się to wolniej.
  
  
• Wbudowane w instalacje zabezpieczenia awaryjne pod względem wykrywania obcych czynników, filtrowania i nadmiarowości, co może pomóc w przypadku cyberataku – ale może również dostarczyć atakującemu informacje jak się ukryć.
  
  
• Fizyczny dostęp nie jest już warunkiem odstraszającym ze względu na brak separacji, sieć systemu zarządzającego kanalizacją jest dostępna z wielu punktów, włączając zdalne przejęcie.
  
  
  

Niewątpliwie jednak mają również aspekty, które mogą być punktem wyjścia do zrozumienia w jaki sposób chronić infrastrukturę OT.

Spójrzmy na podstawowe kroki, stosowane w zapewnianiu bezpieczeństwa i czystości wody w systemach kanalizacyjnych:

• Monitorowanie wejść samego źródła wody, dochodzących mediów uzdatniających, ścieków lub ścieków oczyszczonych, które są doprowadzane do systemu.
  
  
• Monitorowanie wyjść „produktu wodnego” podawanego do różnych obwodów dostawczych, zbiorników i pomp.
  
  
• System sygnalizacji i zestaw procedur zapewniających ostrzeganie pozwala unikać ofiar wynikających z braku świadomości niebezpiecznych warunków.
  
  

Powyższe techniki monitorowania w naturalny sposób nadają się do trzech kategorii ryzyka (kolejność nieprzypadkowa):

• dostępność w sensie dostępności do sprawdzenia, aby upewnić się, że bezpieczny produkt wychodzi z kranu,
  
  
• integralność polega na zapewnieniu, że kontrola procesu nie jest manipulowana bez upoważnienia,
  
  
• poufność oznacza zapewnienie, że dane wejściowe są przestrzegane zgodnie z wymaganiami i oczekiwaniami.
  
  

Marty Edwards, Director of Strategic Initiatives w Institute of Advanced Studies – uznany specjalista w dziedzinie bezpieczeństwa OT zaznacza, że szybkość zapewniania informacji jest kluczowa „Rozwiązanie bezpieczeństwa, które nie nadąża za tempem działań, jest nie tylko mało przydatne; jest to strata netto dla przedsiębiorstwa. Operatorzy zmagają się z szumem alertów i pętlami wyjątków i marnują mnóstwo czasu przed podjęciem działania.”

Ponieważ sposób myślenia operatorów instalacji polega na priorytetyzowaniu utrzymania dostępności i ciągłości działania. W wielu przypadkach rozwiązania cyberbezpieczeństwa ICS stwarzają właśnie problem dostępności: wykonują czynności pasywne, generują wiele tajemnych alertów i pozwalają analizować nieskończone backlogi.

Nawet jeśli alerty były prawidłowe, priorytetem będzie przywrócenie sprawności instalacji, a nie przeprowadzenie analizy przyczyn źródłowych incydentu bezpieczeństwa.

Framework MITRE ATT&CK wyróżnia kilka kluczowych obszarów ryzyka OT, w ramach priorytetowych ram dostępności, integralność i poufności ICS.

Jedenaście skutków ataków ICS określonych w ramach MITRE ICS ATT&CK wpływa na kluczowe atrybuty informacji w poniższy sposób:

• Wpływ na dostępność: obejmują działania, które skutkują utratą kontroli, utratą widoku, zniszczeniem mienia, odmową kontroli, odmową widoku panelu, utratą dostępności, utratą produktywności i przychodów i oczywiście utratą bezpieczeństwa.
  
  
• Wpływy na integralność: obejmują działania, które skutkują manipulacją kontroli i manipulacją widoku.
  
  
• Wpływ na poufność: obejmują działania, które prowadzą do kradzieży informacji operacyjnych.
  
  
  
  

Tabela 1. Analiza obszarów ryzyka OT w rozbiciu na poziomy szkodliwości (Purdue 1-5):

Bezpieczeństwo OT już dawno przestało być gwarantowane galwaniczną separacją od sieci IT jak widać w danych powyższej tabeli, najbardziej szkodliwe zagrożenia to te mające swoje źródło w sieci IT. Niemniej to właśnie sieć OT najczęściej stanowi „punkt wejścia”.

Dlatego poniżej prezentujemy kluczowe technologie, które obecnie stanowią odpowiednią linię obrony dla infrastruktury OT

Industrial Firewall/IPS to fizyczne urządzenie, wdrażane w trybie transparent-bridge (celem bezproblemowej integracji i niezakłóconego działania systemów OT), które znajduje się przed krytycznymi punktami końcowymi nadzoru mediów, chroniąc sterowniki PLC, VFD i inne podłączone do sieci urządzenia. Uczy się i wymusza normalne działania w środowisku zakładu oraz aktywnie eliminuje zagrożenia dla OT w czasie rzeczywistym. Firewall powinien chronić sieć ICS przed:

• nieautoryzowanymi zmianami konfiguracji,

• resetami urządzeń, odczytami urządzeń

• aktualizacjami logiki i wiadomościami wartości.
  
  

Ze względu na niezwykłą wrażliwość przepływów danych, reguły konstruowane są w oparciu o wyuczone wzorce ruchu napotykane w chronionym środowisku i biorą pod uwagę liczbę unikalnych możliwości dla różnych protokołów, systemów i środowisk. Aby produkty działające w środowisku OT były naprawdę użyteczne, muszą rozumieć operacyjne zakresy wartości, np. ten próg lub naruszenia poza zakresem są wykrywane i odpowiednio obsługiwane w oparciu o potrzeby każdej osoby ze środowiska klienta.

Zwykle jest to ostatnia linia obrony w celu ochrony aktywów zakładu przed nieuprawnionym lub niezamierzonym (niewłaściwym) użyciem.

Data Diode (jednokierunkowa dioda danych) tworzy szczelny tunel (airgap), który kontroluje, ogranicza i włącza komunikację z wrażliwych, zastrzeżonych części sieci OT. Zapewnia izolowany, jednokierunkowy transfer danych w taki sposób, że żadne informacje sieciowe nie są ujawniane. Dioda tworzy pełną izolację między protokołami, między dwoma jednostkami sieciowymi, a tym samym przesyła dane bez ich ujawniania do niezaufanej sieci i zapewnia ochronę przed nieautoryzowaną komunikacją.

Kluczowe korzyści z wdrożenia to:

• Dopuszczenie i zabezpieczenie transfer danych tylko w jedną stronę dzięki izolacji optycznej.
  
  
  
• Kontrola różnych protokołów i typów danych – zarówno OT jak i IT.
  
  
  
• Możliwość wielopoziomowej walidacji Twoich przepływów OT: struktury oryginalnego pliku, sygnatur AV, danych wrażliwych DLP i analizy heurystycznej.
  
  
  
• Konsolidacja zdarzeń bezpieczeństwa standardowego syslogu operacyjnego, audytu binarnego i rejestrowania transferu danych.
  
  
  

Industrial Access – OT nie oparło się ewolucji cyfrowej, obecnie zdalny dostęp jest konieczny i często wpisywany w umowy SLA producentów rozwiązań z zakresu komunikacji sieciowej OT. Rozwiązania zdalnego dostępu do OT, są bardziej precyzyjne niż jakakolwiek sieć VPN dzięki możliwości kontrolowania dostępu na bazie polityk skonfigurowanych według:

• Protokołu
  
  
• Aktywności
  
  
• Rodzaju użytkownika
  
  

Zasady powinny być stale egzekwowane podczas sesji dostępu by zapewnić opcję dla pracowników zdalnych lub dostawców zewnętrznych w celu uzyskania dostępu do punktów końcowych w sieci OT – bez narażania sieci na atak.

Podsumowując technologia operacyjna (OT) służy do kontroli systemów fizycznych, takich jak te występujące w produkcji. Obejmuje również systemy sterowania przemysłowego (ICS) i zarządzania ICS, a także systemy kontroli nadzorczej i akwizycji danych (SCADA). Alert z lipca 2020 r. Z NSA i CISA (agencji ds. Bezpieczeństwa cybernetycznego i infrastruktury) podsumowuje poważny problem bezpieczeństwa OT, wskazując właśnie na konwergencję OT-IT. W raporcie ujęto, że „wszystkie obiekty infrastruktury krytycznej DoD, NSS, DIB i USA powinny podjąć natychmiastowe działania w celu zabezpieczenia swoich aktywów OT. ”

Dzięki połączeniu technologii OT z IT, dotychczas izolowane i chronione systemy używane przez produkcję są teraz otwarte na te same rodzaje zagrożeń bezpieczeństwa, które zwykle atakują systemy IT. Obejmuje to ataki ransomware i rozproszoną odmowę usługi (DDoS). Rzeczywistość połączenia IT z OT została opisana w IBM X-Force „Threat Intelligence Report Index 2020”. Wyniki raportu pokazują ogromny, 2000% wzrost liczby incydentów cybernetycznych wpływających na infrastrukturę OT. Raport podkreśla również coraz bardziej destrukcyjny charakter tych ataków – ataki ransomware na środowiska OT wzrosły o 67% w 2019 r.

Aby dowiedzieć się więcej o praktyce zabezpieczania systemów OT zapraszamy do lektury:

Bayshore Networks – INFORMATION SECURITY AND A PRACTICAL APPROACH TO THE DEFENSE OF WATER SYSTEMS

oraz do kontaktu z naszymi specjalistami.