Wprowadzenie
Od dawna wiadomo, że bezpieczeństwo w obiektach przemysłowych ma kluczowe znaczenie. Firmy dostarczające roboty, maszyny, linie produkcyjne i różnego rodzaju urządzenia przemysłowe kładą duży nacisk na zapewnienie bezpieczeństwa operatorom i użytkownikom. Ludzkie zdrowie i życie są bezcenne, dlatego też poczyniono znaczne inwestycje w rozwiązania mające na celu ochronę ludzi przed potencjalnymi szkodami. Wiele wysiłku włożono również w ustanowienie norm, przepisów i prawodawstwa, które nakazują wdrożenie odpowiednich środków bezpieczeństwa w środowiskach przemysłowych.
W ostatnim czasie znacznie wzrosła świadomość innego rodzaju zagrożeń – niewidocznych gołym okiem, związanych z cyberbezpieczeństwem. Trend ten wskazuje, że urządzenia przemysłowe stają się coraz bardziej zintegrowane ze światem IT. Urządzenia te są wyposażane w protokoły i rozwiązania typowe dla tradycyjnej infrastruktury IT. Obecnie oczekuje się, że urządzenia te będą mogły być konfigurowane za pomocą standardowej przeglądarki internetowej, oferować rozwiązania do przechowywania danych w bazach danych SQL i NoSQL oraz ułatwiać płynną integrację z technologiami chmurowymi, umożliwiając zdalne monitorowanie i sterowanie obiektami z dowolnego miejsca na świecie. Jednak te nowe możliwości zwiększają również ryzyko i rozszerzają potencjalną powierzchnię ataku dla zagrożeń, które stają się coraz częstsze i mogą mieć poważne konsekwencje.
Ten krótki artykuł wprowadza w szeroki temat bezpieczeństwa ICS i OT. Jego celem jest zapoznanie czytelników z niektórymi z najważniejszych pojęć i terminów oraz zapewnienie krytycznych zasobów, które pomogą im rozpocząć eksplorację tej fascynującej dziedziny.
Czym jest ICS?
Przemysłowe systemy sterowania (ICS ) to zintegrowane systemy sprzętowe i programowe wykorzystywane do monitorowania i kontrolowania procesów przemysłowych. Systemy te są krytycznymi komponentami w sektorach takich jak produkcja, energia, uzdatnianie wody i transport. ICS obejmuje różne technologie, takie jak systemy kontroli nadzorczej i akwizycji danych (SCADA) oraz programowalne sterowniki logiczne (PLC). Systemy te umożliwiają zautomatyzowane operacje, gromadzenie danych i kontrolę w czasie rzeczywistym, zapewniając wydajne i bezpieczne funkcjonowanie procesów przemysłowych.
Rysunek 1 Przykład przemysłowego systemu sterowania. Zawiera on system SCADA (zwykle serwer z zaawansowaną wizualizacją procesów przemysłowych), dwa sterowniki PLC i urządzenia przemysłowe ze zintegrowanymi jednostkami sterującymi bezpośrednio kontrolowanymi przez programy PLC. Jest to niewielki system – prawdziwy system może zawierać tysiące urządzeń.
Czym jest OT?
Technologia operacyjna (OT) – programowalne systemy lub urządzenia, które wchodzą w interakcję ze środowiskiem fizycznym lub zarządzają urządzeniami, które wchodzą w interakcję ze środowiskiem fizycznym. Te systemy/urządzenia wykrywają lub powodują bezpośrednie zmiany poprzez monitorowanie i kontrolę urządzeń, procesów i zdarzeń. Zauważ, że termin OT jest szerszy niż termin ICS, a OT obejmuje ICS. Oprócz przemysłowych systemów sterowania, infrastruktura OT może składać się z systemów zarządzania budynkami, systemów przeciwpożarowych i mechanizmów fizycznej kontroli dostępu. [1]
Rysunek 2 Termin “technologia operacyjna” jest szerszy niż termin “przemysłowe systemy sterowania”. OT obejmuje ICS.
Przewodnik NIST dotyczący bezpieczeństwa technologii operacyjnych (OT)
Publikacja specjalna NIST 800-82 Rev. 3, zatytułowana Przewodnik po bezpieczeństwie technologii operacyjnych (OT)zawiera kompleksowe wytyczne dotyczące zabezpieczania środowisk OT, w tym przemysłowych systemów sterowania. Dokument ten oferuje dogłębny przegląd wyzwań związanych z bezpieczeństwem systemów OT. [2]
Przewodnik przedstawia najlepsze praktyki w zakresie wdrażania solidnych środków bezpieczeństwa w środowiskach OT, odnosząc się do takich obszarów, jak zarządzanie ryzykiem, ochrona systemu, reagowanie na incydenty i odzyskiwanie systemu. Podkreślono w nim potrzebę stosowania podejścia “obrona w głąb”, integrującego wiele warstw kontroli bezpieczeństwa w celu ochrony przed różnymi zagrożeniami, od zagrożeń wewnętrznych po wyrafinowane cyberataki. Podkreśla również znaczenie współpracy między zespołami IT i OT w celu opracowania spójnych strategii bezpieczeństwa, które uwzględniają unikalne cechy systemów OT.
Ogólnie rzecz biorąc, przewodnik służy jako kluczowe źródło informacji dla organizacji pragnących zwiększyć bezpieczeństwo swojej infrastruktury OT, dostarczając praktycznych zaleceń i ram do oceny, zarządzania i łagodzenia zagrożeń bezpieczeństwa w złożonych środowiskach przemysłowych.
Zwróć uwagę, że omawiany powyżej dokument jest dokumentem następczym: Przewodnik po bezpieczeństwie przemysłowych systemów sterowania (ICS), publikacja specjalna NIST 800-82. [3] Sama nazwa dokumentu wskazuje, że został on uogólniony z tematu obejmującego ICS do tematu obejmującego OT, zgodnie z obserwowanym trendem.
Wprowadzenie do dokumentu zawiera listę incydentów bezpieczeństwa, na które potencjalnie narażona jest infrastruktura OT. Zostały one podsumowane w poniższej tabeli.
Tabela 1 Potencjalne incydenty bezpieczeństwa, które mogą mieć wpływ na infrastrukturę OT [2]
| Typ incydentu | Opis |
|---|---|
| Zablokowany lub opóźniony przepływ informacji | Zakłócenie pracy OT, skutkujące utratą wglądu lub kontroli nad procesami. |
| Nieautoryzowane zmiany | Zmiany instrukcji, poleceń lub progów alarmowych, które mogłyby spowodować uszkodzenie sprzętu, szkody dla środowiska lub zagrożenie dla bezpieczeństwa ludzi. |
| Niedokładne informacje dla operatorów | Wprowadzające w błąd dane wysyłane do operatorów, potencjalnie powodujące niewłaściwe działania i negatywny wpływ na operacje. |
| Zmodyfikowane oprogramowanie OT lub infekcja złośliwym oprogramowaniem | Zmiany w oprogramowaniu lub konfiguracji OT lub infekcje złośliwym oprogramowaniem prowadzące do zakłóceń operacyjnych. |
| Zakłócenia systemu ochrony sprzętu | Majstrowanie przy systemach ochrony, ryzykując uszkodzenie drogiego i trudnego do wymiany sprzętu. |
| Zakłócenia systemu bezpieczeństwa | Zakłócenie systemów bezpieczeństwa, potencjalnie zagrażające życiu ludzkiemu. |
Na tej podstawie sformułowano cele, do których należy dążyć podczas wdrażania bezpiecznej infrastruktury OT z perspektywy cyberbezpieczeństwa. Zostały one również podsumowane w tabeli.
Tabela 2 Cele bezpieczeństwa we wdrażaniu bezpiecznego środowiska OT [2]
| Cel bezpieczeństwa | Opis |
|---|---|
| Ogranicz dostęp logiczny | Wdrażaj jednokierunkowe bramy, architektury DMZ z zaporami ogniowymi, oddzielne uwierzytelnianie i warstwową topologię sieci, aby kontrolować dostęp między sieciami korporacyjnymi i OT. |
| Ogranicz fizyczny dostęp | Używaj fizycznych środków kontroli, takich jak zamki, czytniki kart i osłony, aby zapobiec nieautoryzowanemu fizycznemu dostępowi do urządzeń i sieci OT. |
| Chroń komponenty OT przed exploitami | Szybko wdrażaj poprawki bezpieczeństwa, wyłączaj nieużywane porty/usługi, ograniczaj uprawnienia użytkowników, śledź ścieżki audytu i korzystaj z narzędzi bezpieczeństwa, takich jak programy antywirusowe i sprawdzanie integralności plików. |
| Ogranicz nieautoryzowaną modyfikację danych | Chroń dane we wszystkich stanach (w spoczynku, w tranzycie, w użyciu) i kontroluj przepływy danych przez granice sieci, aby zapobiec nieautoryzowanym zmianom. |
| Wykrywaj zdarzenia i incydenty związane z bezpieczeństwem | Monitoruj uszkodzone komponenty, niedostępne usługi i wyczerpanie zasobów, aby zidentyfikować potencjalne zagrożenia, zanim przerodzą się one w incydenty. |
| Zachowaj funkcjonalność w niekorzystnych warunkach | Projektuj systemy z redundancją i dbaj o to, by komponenty ulegały awariom w sposób łagodny, aby uniknąć problemów kaskadowych; obsługuj tryby operacyjne od pełnej automatyzacji do sterowania ręcznego. |
| Przywracanie i odzyskiwanie danych po incydencie | Opracuj i wdróż plan reagowania na incydenty, aby umożliwić szybkie odzyskanie systemu i utrzymanie odporności operacyjnej po incydencie. |
Oczywiście zachęcamy do zapoznania się z dokumentem NIST. Jego objętość może początkowo przytłaczać, ale jest on napisany bardzo przyjaznym językiem i nie wymaga specjalnego przeszkolenia w zakresie bezpieczeństwa OT. Osoba zaznajomiona z podstawami zagadnień związanych z kontrolą obiektów przemysłowych oraz podstawami branży IT powinna poradzić sobie z interpretacją dokumentu. Aby uzyskać ogólny obraz związany z dziedziną bezpieczeństwa OT, jest to idealne miejsce do rozpoczęcia, ponieważ wiele źródeł opiera się na tym dokumencie. Pierwsze dwa rozdziały dokumentu zawierają już wiele pomocnych informacji i pozwalają zrozumieć kluczowe idee związane z bezpieczeństwem OT i ICS.
ICS MITRE ATT&CK Framework
ICS MITRE ATT&CK Framework [4] jest rozszerzeniem MITRE ATT&CK Framework zaprojektowanym specjalnie w celu sprostania wyjątkowym wyzwaniom związanym z zabezpieczaniem przemysłowych systemów sterowania. Zapewnia kompleksowe, ustrukturyzowane repozytorium taktyk, technik i procedur (TTP) wykorzystywanych przez przeciwników do naruszania środowisk ICS. Framework jest dostosowany do specyficznych cech i wymagań systemów OT, biorąc pod uwagę bezpieczeństwo, niezawodność i ograniczenia operacyjne, które odróżniają je od tradycyjnych środowisk IT.
ICS MITRE ATT&CK Framework obejmuje różne etapy ataku, w tym początkowy dostęp, wykonanie, trwałość, eskalację uprawnień, unikanie obrony i wpływ. Kategoryzuje techniki, takie jak wykorzystywanie inżynieryjnych stacji roboczych, manipulowanie logiką sterowania i zakłócanie krytycznych procesów. Wykorzystując te ramy, organizacje mogą uzyskać głębsze zrozumienie potencjalnych wektorów ataków i ulepszyć swoje strategie obronne poprzez proaktywne modelowanie zagrożeń, wykrywanie i łagodzenie skutków specyficznych dla środowisk ICS. Jest to cenne źródło informacji dla specjalistów ds. cyberbezpieczeństwa, którzy mogą ocenić i wzmocnić stan bezpieczeństwa swoich operacji przemysłowych.
Przyjrzyjmy się przykładom taktyk opisanych w tych ramach: T0813 Odmowa kontroli. Każda taktyka ma unikalny identyfikator (w tym przypadku T0813) i nazwę. Taktyka jest zdefiniowana w następujący sposób:
Przeciwnicy mogą spowodować odmowę kontroli, aby tymczasowo uniemożliwić operatorom i inżynierom interakcję z elementami sterującymi procesem. Przeciwnik może próbować odmówić dostępu do kontroli procesu, aby spowodować tymczasową utratę komunikacji z urządzeniem sterującym lub uniemożliwić operatorowi dostosowanie kontroli procesu. Zaatakowany proces może nadal działać w okresie utraty kontroli, ale niekoniecznie w pożądanym stanie. [4]
Pod opisem znajdziesz sekcję Przykłady procedur, która zawiera listę rzeczywistych przykładów incydentów, w których atakujący wykorzystali te taktyki. Na przykład taktyka omówiona w tym przypadku została wykorzystana podczas ataku na ukraińską sieć energetyczną w 2015 roku. Kolejna sekcja zawiera opis procedur, które mogą zmniejszyć ryzyko ataku. Środki łagodzące są również sklasyfikowane i opatrzone identyfikatorami.
Zachęcamy do zapoznania się z różnymi taktykami. Opisy te odzwierciedlają rodzaje ataków stosowanych przez atakujących w rzeczywistych scenariuszach. Zapoznanie się z tymi taktykami, a także przeczytanie informacji na temat ich łagodzenia, może dać ci wiele pomysłów na zwiększenie bezpieczeństwa twojej infrastruktury.
Podsumowanie
Dziedzina bezpieczeństwa ICS i OT jest wciąż stosunkowo młoda, ale w ciągu ostatniej dekady odnotowała wyraźny boom. Z pewnością więcej zasobów zostanie zainwestowanych w tę branżę. Świadomość zagrożeń w tej dziedzinie rośnie, co jest dobrą rzeczą. Wysoko rozwinięte zabezpieczenia ICS i OT są jedną z gwarancji bezpiecznej przyszłości.
Bibliografia
[1] NIST, “operational technology”, [Online]. Dostępne: https://csrc.nist.gov/glossary/term/operational_technology.
[2] NIST, “Guide to Operational Technology (OT) Security”, [Online]. Dostępne: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r3.pdf.
[3] NIST, “Guide to Industrial Control Systems (ICS) Security”, [Online]. Dostępny: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r2.pdf.
[4] M. ATTACK, “ICS Techniques”, [Online]. Dostępne: https://attack.mitre.org/techniques/ics/