Když kybernetický útok zhasne světlo

Banka po incidentu obnoví systém ze zálohy. V rozvodně elektrické energie se stejná chyba projeví v reálném světě. Penetrační testy průmyslových systémů odkrývají oblast, kde se bezpečnost dlouhá léta řešila jediným způsobem: plotem kolem areálu.

Pod zkratkou OT (operational technology) se skrývá téměř celá kritická infrastruktura státu, od železnic a semaforů přes rozvodny elektrické energie až po vodárny. Společným jmenovatelem je cyber-physical impact: tyto systémy ovládají něco ve fyzickém světě. Dostanou vstup a pošlou elektřinu, pustí vodu nebo otevřou přehradu.
Testy mají dvě podoby: infrastruktura v konkrétní lokalitě, nebo samotné zařízení řídící fyzický proces, typicky programovatelný logický automat (PLC). V Citadelo jsme takto testovali elektroměry a rozvodny, solární elektrárny, vodní přehrady, plynárenské a směšovací stanice a další technologie. Tedy celý řetězec od výroby elektřiny přes distribuci až po koncové zařízení.

Testuje se naostro

Největší rozdíl oproti klasickému IT není v technice, ale v závažnosti následků. Pokud pošlete nestandardní vstup do zařízení, které v rozvodně stojí deset let, můžete ho nenávratně poškodit. Firma pak může týdny hledat způsob, jak ho znovu zprovoznit, a provoz celé rozvodny je mezitím ohrožen.
Komplikací je, že se téměř vždy testuje živý provoz. Ten běží nepřetržitě a plánovaná odstávka bývá u některých zařízení jednou za několik let. Zákazníci proto testy řídí procesně: obsluha ví, že probíhá test, a na místě jsou lidé schopní zařízení okamžitě odpojit. Při jednom testu rozvodny provozovatel preventivně přesměroval tok elektřiny mimo testovaný uzel.

Windows XP a deset dodavatelů

Nejčastější slabinou není exotická zranitelnost, ale stáří. Průmyslové systémy se nasadí jednou a pak se do nich nezasahuje, pokud to není nezbytné. Není výjimkou narazit na Windows XP. Zranitelnost je v systému dvacet let a nikdo ji neodstraní, protože aktualizace znamená zásah do fungujícího provozu.
Druhým typickým problémem je roztříštěná odpovědnost. Do jedné lokality dodává technologie i deset dodavatelů a každý se chce zbavit odpovědnosti. Kamerový systém se předá s výchozím heslem s tím, že zabezpečení si vyřeší provozovatel. Ten očekává opak. Výsledkem je prostředí, kde za bezpečnost neodpovídá nikdo.
Ilustruje to anonymizovaný případ z našeho testování. Ochranný mechanismus systému, který přijímal řídicí příkazy, bylo možné jednoduše obejít. Stačilo umístit vlastní zařízení na správné místo a bylo možné ovládat celou lokalitu. Podstrčit ho tam by přitom dokázal kdokoli s fyzickým přístupem, například uklízečka.

Změna přichází, ale pomalu

OT se pohybuje v jiném čase než IT. Tam, kde se v IT mluví o dvou až třech letech, jde v průmyslu o horizont pěti až deseti let. Posun je však viditelný. Firmy přecházejí od přesvědčení, že se jim nemůže nic stát, k tomu, že bezpečnost je třeba řešit. Přispěly k tomu reálné incidenty i rostoucí povědomí o tom, že odstavení energetiky se stalo nástrojem hybridních konfliktů. Zkušenost z Ukrajiny ukázala, že vypnutí elektřiny může být cílem cizího státu.
Pokud bychom měli doporučit jedinou věc, nebyly by to technologie, ale kompetentní lidé. Organizace nasazují množství produktů a často jen naplňují literu směrnic. Pokud však systém nikdo správně nenastaví a nikdo nedokáže vyhodnotit, co detekční nástroje hlásí, nepomohou ani čtyři systémy detekce průniků najednou. Odborníků na bezpečnost průmyslových systémů je přitom málo. Oproti IT jde stále o neprobádané pole.

Je vaše průmyslová infrastruktura skutečně bezpečná?

Zranitelnosti v průmyslových systémech mohou ohrozit nejen data, ale i samotný provoz. Penetrační testování pomáhá odhalit bezpečnostní slabiny v OT prostředí dříve, než je zneužijí útočníci.