Doporučené postupy pro kybernetické zabezpečení průmyslového řídicího systému

Doporučené postupy pro kybernetické zabezpečení průmyslového řídicího systému

Katastrofické selhání může být výsledkem nezabezpečených postupů v oblasti průmyslového kybernetického zabezpečení. Podívejte se na šest obvyklých vstupních bodů pro útoky, na osm opatření kybernetického zabezpečení pro útoky podle typu a na čtyři kroky ke zlepšení.

Přestože kybernetické zabezpečení bylo vždy hlavním zájmem jakéhokoli odvětví, obvykle se mělo za to, že hrozba se týká ztráty chráněných dat, špionáže a zastavení výroby. Nicméně malware Triton (také nazývaný mTrisis nebo HatMan) v roce 2018 ukázal další stránku této velmi závažné hrozby: potenciálně katastrofická selhání. Níže popisujeme obvyklé vstupní body útoku, bezpečnostní opatření a cesty ke zlepšení.

Tradičně byly průmyslové kontrolní systémy (ICS) navrženy tak, aby fungovaly izolovaně od svých vlastních řídicích sítí, kde jen málokdo mohl očekávat kybernetickou hrozbu. S vývojem dalších technologií v průmyslových závodech, včetně inteligentních senzorů, bezdrátových bran, vzdáleně spravovaných systémů, virtualizace, cloud computingu, smartphonů a různých potřeb podnikové informovanosti (business intelligence), se však pravděpodobnost, že tyto průmyslové systémy zůstanou ušetřeny vnějších zásahů, každým dnem snižuje.

Prvním případem externí manipulace průmyslového řídicího systému (ICS) byl virus Stuxnet v roce 2010, což byl skript, který byl záměrně navržen tak, aby sabotoval průmyslové řídicí prvky ovládající odstředivky. Poté v roce 2013 následoval útok Havex, jenž se zaměřil na elektrické rozvodné sítě a energetické společnosti. Jeho prostřednictvím bylo shromážděno velké množství dat pro špionáž a sabotáže.

V roce 2015 došlo ke dvěma hrozbám: Útok vedený skupinou Black Energy, který zničil data a soubory na pracovních stanicích a způsobil na Ukrajině významné výpadky energie, a malware Iron Gate, jenž byl objeven ve veřejných zdrojích a plnil stejnou funkci jako virus Stuxnet. Také malware Industroyer způsobil v roce 2016 škody na Ukrajině, když vymazal data a provedl útoky typu odepření služby (DDoS) v síti, což způsobilo výpadky ukrajinských elektrických sítí.

V roce 2017 byl zaznamenán útok malwarem Triton. Jeho objevení zabránilo tomu, co mohlo být vážnou katastrofou. Tento malware mohl infikovat bezpečnostní řídicí prvky Triconex a poskytnout hackerům přístup ke změně bezpečnostních parametrů. Škodlivý útok mohl deaktivovat bezpečnostní žádané hodnoty průmyslových zařízení a potenciálně způsobit incident stejného řádu, jako byla exploze chemické továrny Jiangsu Tianjiayi, ke které došlo v Číně v březnu 2019.

Porozumějte zdrojům útoku

Prvním krokem k řešení této hrozby pro kybernetické zabezpečení je pochopení toho, odkud mohou útoky pocházet, protože útočníci po určitou dobu používají průzkum jako první krok k měření a pochopení slabých míst cíle. V delším horizontu může organizace použít analýzu vektorů hrozeb k identifikaci různých metod, které může útočník použít nebo k nimž může být systém náchylný. To vše musí vycházet z rizika vyplývajícího z analýzy obchodních dopadů na výrobní prostředky společnosti. Uživatelé mohou pro začátek použít například některé komerčně dostupné nástroje pro vlastní hodnocení a využít je k oddělení a racionalizaci kritických výrobních prostředků od nekritických a provést hodnocení nedostatků.

Šest obvyklých vstupních bodů pro útočníky:

1.      příchozí útoky z vnějších sítí, internetu a vzdáleného připojení prostřednictvím softwaru pro plánování podnikových zdrojů (ERP), bran či úložišť dat, dokumentů a datových skladů on-line;

2.      nesprávně nakonfigurované firewally a brány;

3.      přístup uživatelů prostřednictvím odcizených nebo phishingem získaných údajů do obchodních pracovních stanic a řídicích počítačů;

4.      fyzické útoky, které se zaměřují na výrobní systémy – ve většině případů se jedná o rozhraní HMI, technické a obchodní pracovní stanice a samotné bezpečnostní řídicí prvky procesu;

5.      nepřímé síťové útoky, které cílí na řídicí sítě a používají průmyslové komunikační protokoly k objevování dalších zařízení v síti a k šíření škodlivého kódu;

6.      útoky typu sociálního inženýrství, které se zaměřují na použití osobně identifikovatelných informací pro přelstění interních pracovníků, aby nevědomky udělili přístup, otevřeli brány a spustili skripty.

Osm bezpečnostních opatření pro kybernetické zabezpečení

Pro každý typ útoku platí určitý soubor bezpečnostních opatření. Jsou to:

1. Segregace a segmentace

I když se to může zdát zřejmé, důsledné vyhodnocení nedostatků v řídicí síti pomocí nástrojů a kvalifikovaného personálu může často odhalit mnoho nesledovaných přístupových bodů, které jsou ignorovány, a to i při dodržování standardních postupů pro ochranu řídicí sítě. Tyto hrozby mohou vyplývat z následujících faktorů:

A. neomezený přístup k technickým/operátorským pracovním stanicím;

B. zastaralá detekce malwaru;

C. aplikace a konektory třetích stran, které nebyly zabezpečeny nebo auditovány;

D. nedostatek demilitarizovaných zón (DMZ) nebo „datových diod“ při exportu dat z řídicích sítí;

E. kritické výrobní prostředky připojené ke společné doméně.

2. Správa řízení přístupu uživatelů

Tento úkol zahrnuje provádění opatření k omezení neoprávněného přístupu a sledování a zastavení jakékoli činnosti související s neoprávněným přístupem. To zahrnuje:

A. ztížení přístupu neoprávněným osobám;

B. správu zásad a jejich aktualizaci podle přísného harmonogramu;

C. povolení vícefaktorové autentizace v celé organizaci;

D. přidávání na seznam povolených (whitelisting), přidání předem schválených alarmů na základě adresy, místa a portu pro identifikaci osob přistupujících do systému;

E. změnu výchozích hodnot všech hesel a přístupových kódů a pravidelnou obnovu uživatelských hesel.

3. Časté záplatování

Záplatování všech řídicích a bezpečnostních zařízení na nejnovější verze firmwaru musí být pravidelnou činností. I když by se mělo u všech kritických řídicích prvků provádět neintruzivní záplatování rutinně, přinejmenším by se mělo provádět v rámci každého ročního cyklu údržby.

4. Spouštění ověřovacích kontrol

Ověřovací kontroly programů, logiky a spustitelných souborů zajišťují, že změny v logice, kódu a skriptech jsou změny provedené záměrně oprávněnou osobou. Emulovaná validační prostředí pomáhají monitorovat jakékoli nežádoucí změny logiky a parametrů a pomáhají operátorům trénovat na zařízení bez ohrožení skutečných fyzických systémů. K dispozici jsou nástroje k automatické detekci jakékoli změny na logické úrovni a k provádění veškerých takových změn v kontrolovaném prostředí se zachováním záložní kopie připravené k obnovení v případě, že dojde k narušení řídicího prvku nebo systému.

5. Doplnění fyzického zabezpečení

Vzhledem k nedávným hrozbám v oblasti kybernetické bezpečnosti nyní někteří dodavatelé řídicích systémů doplňují své řídicí prvky o fyzické zámky, které zabraňují spuštění jakéhokoli dalšího kódu na řídicím prvku, aniž by nejprve prošly fyzickou bezpečnostní vrstvou.

6. Školení v oblasti kybernetického zabezpečení

Kritickým aspektem kybernetické hrozby je to, že se útočníci spoléhají na chyby, jichž se dopustí pracovníci závodu. Žádné opatření kybernetického zabezpečení nelze plně implementovat bez zapojení všech zúčastněných osob, které jsou si vědomy svých povinností. To zahrnuje školení personálu o tom, jak identifikovat útoky, jak chránit své osobní identifikační údaje a jak se zajistit proti útokům. Toto školení by mělo být prováděno na všech úrovních managementu, vedoucích pracovníků, správců systémů provozních technologií (PT) a uživatelů.

7. Vytvoření plánu reakce na incidenty

Pro případ, že by nepravděpodobná chyba nebo přehlédnutí zanechaly vstupní bránu pro potenciální útočníky, je třeba, aby opatření pro implementaci kybernetického zabezpečení zahrnovala akční plán pro pracovníky, kterým se budou řídit v případě narušení bezpečnosti nebo identifikace hrozby. Jakmile jsou tyto plány vytvořeny, je třeba je trénovat prostřednictvím pravidelných cvičení a poskytnout je všem odpovědným pracovníkům, aby bylo zajištěno rychlé jednání v případě narušení bezpečnosti.

8. Udržujte aktualizovaný registr výrobních prostředků

Chcete-li snížit riziko, udržujte aktuální evidenci všech zmíněných položek provozních technologií (PT), včetně přepínačů, směrovačů, firewallů, různých webových služeb, systému SCADA, serverů datových skladů, řídicích prvků nebo jakýchkoli zařízení dostupných přes IP adresu, tj. všech těch, které mohou zanechávat útočníkům otevřená vrátka pro zneužití neřízeného systému. Tyto výrobní prostředky lze po síti sledovat z hlediska aktualizace na nejnovější verze, zatímco záplaty a případná zranitelná místa lze monitorovat pomocí různých nástrojů.

Iniciativa pro kybernetické zabezpečení: Čtyři fáze

Zahájení iniciativy v oblasti kybernetického zabezpečení průmyslových systémů není tak náročným úkolem ani tak velkou investicí, jak by se mohlo zdát. Vzhledem k tomu, jak mnoho mohou firmy získat prevencí rozsáhlých škod, je nemyslitelné, aby neuvažovaly o investování do kybernetického zabezpečení.

Stejně jako každá úspěšná celofiremní iniciativa vyžaduje i kybernetické zabezpečení interní propagátory, kteří ve společnosti pomohou přijímat nezbytné zásady a postupy. Ve většině případů je nejlepší cestou vpřed definovat osoby odpovědné za kybernetické zabezpečení obchodní sítě a za kybernetické zabezpečení řídicí sítě.

Kybernetické zabezpečení musí být celofiremní iniciativou. Provádí se ve čtyřech fázích (viz obrázek):

bezp navod

1. fáze: Návrh a rámec

Navrhování systému správy kybernetického zabezpečení je nejkomplexnější fází a vyžaduje nejvíce času a úsilí. Existuje mnoho konzultačních firem v oblasti kybernetického zabezpečení zaměřených na pomoc společnostem při navrhování infrastruktury, zásad a postupů v oblasti kybernetického zabezpečení. Tento úkol zahrnuje identifikaci všech systémů a pracovníků spojených s kybernetickým zabezpečením, dále definování jejich rolí, přesné vymezení jejich přístupových a kontrolních práv a vytváření zásad pro tyto parametry k zajištění bezpečného provozu. Fáze návrhu kybernetického zabezpečení vyžaduje značnou míru vnitropodnikového prosazování a přijetí zúčastněnými osobami, aby bylo zajištěno jeho úspěšné dokončení.

2. fáze: Hodnocení nedostatků

Fáze hodnocení spočívá především v přezkumu návrhu kybernetického zabezpečení a v identifikaci potenciálních zranitelností a rizik v závislosti na obchodním dopadu. Identifikované nedostatky jsou pak v návrhu řešeny a aktualizovány. Hodnocení lze provádět pomocí zkušených pracovníků a různých nástrojů, které sledují pakety na úrovni sítě a identifikují neobvyklé chování a nedostatky v odolnosti systému.

3. fáze: Implementace

Tato část je již skutečnou implementací zásad, postupů a praktik kybernetického zabezpečení. Externí pomoc v této fázi může často pomoci urychlit proces implementace a zajistit, že se nic důležitého nevynechá. Klíčovou metodou implementace je zvýšení odolnosti systému.

4. fáze: Audit

Auditování kybernetického zabezpečení zahrnuje úkoly, jako je komplexní testování průniků, aby bylo zajištěno, že implementace kybernetického zabezpečení přináší požadované výsledky. Tento úkol obvykle provádějí specializované auditorské společnosti, které přispívají k zajištění spolehlivého kybernetického zabezpečení. Tato část vyžaduje největší množství externích odborných znalostí pro nový prováděcí plán. Pokud je však interní auditorský tým pro kybernetické zabezpečení vyškolen ve všech fázích, může tento tým využít svých poznatků a odborných znalostí k provádění auditů jiných závodů a zařízení ve společnosti.

Osman Ahmed je vedoucí pro rozvoj podnikání, Asad Rehman je konstrukční a aplikační technik a Ahmed Habib je marketingový manažer společnosti Intech Process Automation, systémového integrátora a obsahového partnera vydavatelství CFE Media. Upravil Mark T. Hoske, obsahový ředitel, Control Engineering, CFE Media, Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript..

Control Engineering Česko

Control Engineering Česko je přední časopis o průmyslové automatizaci. Je vydáván v licenci amerického Control Engineering, které poskytuje novinky z této oblasti více než 60 let.

www.controlengcesko.com