Keď kybernetický útok zhasne svetlo

Banka po incidente obnoví systém zo zálohy. V rozvodni elektrickej energie sa tá istá chyba prejaví v reálnom svete. Penetračné testy priemyselných systémov odkrývajú oblasť, kde sa bezpečnosť dlhé roky riešila jediným spôsobom: plotom okolo areálu.

Pod skratkou OT (operational technology) sa skrýva takmer celá kritická infraštruktúra štátu, od železníc a semaforov cez rozvodne elektrickej energie až po vodárne. Spoločným menovateľom je cyber-physical impact: tieto systémy ovládajú niečo vo fyzickom svete. Dostanú vstup a pošlú elektrinu, pustia vodu alebo otvoria priehradu.

Testy majú dve podoby: infraštruktúra v konkrétnej lokalite, alebo samotné zariadenie riadiace fyzický proces, typicky programovateľný logický automat (PLC). V Citadelo sme takto testovali elektromery a rozvodne, solárne elektrárne,  vodné priehrady, plynárenské a zmiešavacie stanice a iné technológie. Teda celý reťazec od výroby elektriny cez distribúciu až po koncové zariadenie.

Testuje sa naostro

Najväčší rozdiel oproti klasickému IT nie je v technike, ale v závažnosti následkov. Ak pošlete neštandardný vstup do zariadenia, ktoré v rozvodni stojí desať rokov, môžete ho nenávratne poškodiť. Firma potom môže týždne hľadať spôsob, ako ho znovu sfunkčniť, a prevádzka celej rozvodne je medzitým ohrozená.

Komplikáciou je, že sa takmer vždy testuje živá prevádzka. Tá beží nepretržite a plánovaná odstávka býva na niektorých zariadeniach raz za niekoľko rokov. Zákazníci preto testy riadia procesne: obsluha vie, že prebieha test, a na mieste sú ľudia schopní zariadenie okamžite odpojiť. Pri jednom teste rozvodne prevádzkovateľ preventívne presmeroval tok elektriny mimo testovaného uzla.

Windows XP a desať dodávateľov

Najčastejšia slabina nie je exotická zraniteľnosť, ale vek. Priemyselné systémy sa nasadia raz a potom sa do nich nezasahuje, pokiaľ to nie je nevyhnutné. Nie je výnimkou naraziť na Windows XP. Zraniteľnosť je v systéme dvadsať rokov a nikto ju neodstráni, lebo aktualizácia znamená zásah do fungujúcej prevádzky.

Druhým typickým problémom je rozdrobená zodpovednosť. Do jednej lokality dodáva technológie aj desať dodávateľov a každý sa chce zbaviť zodpovednosti. Kamerový systém sa odovzdá s predvoleným heslom s tým, že zabezpečenie si vyrieši prevádzkovateľ. Ten očakáva opak. Výsledkom je prostredie, kde za bezpečnosť nezodpovedá nikto.

Ilustruje to anonymizovaný prípad z nášho testovania. Ochranný mechanizmus systému, ktorý prijímal riadiace príkazy, sa dal jednoducho obísť. Stačilo umiestniť vlastné zariadenie na správne miesto a bolo možné ovládať celú lokalitu. Podstrčiť ho tam by pritom dokázal ktokoľvek s fyzickým prístupom, napríklad upratovačka.

Zmena prichádza, ale pomaly

OT sa pohybuje v inom čase ako IT. Kde sa v IT hovorí o dvoch až troch rokoch, v priemysle ide o horizont päť až desať rokov. Posun je však viditeľný. Firmy prechádzajú od presvedčenia, že sa im nemôže nič stať, k tomu, že bezpečnosť treba riešiť. Prispeli k tomu reálne incidenty aj rastúce povedomie, že odstavenie energetiky sa stalo nástrojom hybridných konfliktov. Skúsenosť z Ukrajiny ukázala, že vypnutie elektriny môže byť cieľom cudzieho štátu.

Ak by sme mali odporučiť jedinú vec, neboli by to technológie, ale kompetentní ľudia. Organizácie nasadzujú množstvo produktov a často len napĺňajú literu smerníc. Ak však systém nikto správne nenastaví a nikto nevie vyhodnotiť, čo detekčné nástroje hlásia, nepomôžu ani štyri systémy detekcie prienikov naraz. Odborníkov na bezpečnosť priemyselných systémov je pritom málo. Oproti IT ide stále o neprebádané pole.

Je vaša priemyselná infraštruktúra skutočne bezpečná?

Zraniteľnosti v priemyselných systémoch môžu ohroziť nielen dáta, ale aj samotnú prevádzku. Penetračné testovanie pomáha odhaliť bezpečnostné slabiny v OT prostredí skôr, než ich zneužijú útočníci.