Кибератаки на промышленную инфраструктуру способны остановить производство, нарушить технологический режим, повредить оборудование, а в наиболее тяжелых случаях – создать угрозу для жизни людей. Разберем основные ошибки, которые делают промышленные OT-системы уязвимыми для кибератак, и способы снизить связанные с ними риски.
Изолированный контур без учета специфики предприятия
Один из распространенных подходов – отделение технологического сегмента от корпоративной сети и интернета. В зависимости от критичности производства OT-среда может быть доступна только из определенных внутренних сегментов либо полностью изолирована. Но и в этом случае она остается уязвимой, если настройки безопасности не учитывают особенности конкретного производства.
Распространенной ошибкой при таком подходе является использование простых систем защиты внутреннего контура предприятий с наиболее часто применяемыми настройками: как правило, они обладают довольно скудным функционалом для обнаружения угроз. Причины также лежат в плоскости профессионального и человеческого факторов: сотрудники отделов безопасности не всегда обладают достаточными компетенциями, которые позволяли бы превентивно реагировать на риски особенно в условиях крайне динамичного ландшафта угроз, а рядовые сотрудники часто нарушают внутренний распорядок. Все эти нарушения приводят к таким типам атак, как использование уязвимостей ПО защиты, использование методов проникновения, не описанных и не используемых в системах защиты, социальная инженерия и диверсии.
Распространенной ошибкой при таком подходе является использование простых систем защиты внутреннего контура предприятий с наиболее часто применяемыми настройками: как правило, они обладают довольно скудным функционалом для обнаружения угроз. Причины также лежат в плоскости профессионального и человеческого факторов: сотрудники отделов безопасности не всегда обладают достаточными компетенциями, которые позволяли бы превентивно реагировать на риски особенно в условиях крайне динамичного ландшафта угроз, а рядовые сотрудники часто нарушают внутренний распорядок. Все эти нарушения приводят к таким типам атак, как использование уязвимостей ПО защиты, использование методов проникновения, не описанных и не используемых в системах защиты, социальная инженерия и диверсии.
Игнорирование процессов внутри АСУ ТП
Одна из наиболее опасных ошибок – недостаточное внимание к происходящему внутри АСУ ТП. Взаимодействие между SCADA-системами, инженерными станциями и программируемыми логическими контроллерами может анализироваться слабее, чем внешний сетевой трафик. Получив необходимый уровень доступа, злоумышленник может попытаться изменить логику контроллера, загрузить новую конфигурацию или передать по промышленному протоколу параметры, нарушающие работу оборудования.
Любое подобное изменение может как минимум остановить процесс производства, а чаще всего приводит к разрушению производственных установок и несет прямой риск жизни и здоровью работников. Чтобы избежать этого, недостаточно фиксировать соединение двух узлов: необходимо понимать, кто инициирует изменение, имеет ли он на это право и соответствует ли операция технологическому процессу.
При этом глубина контроля зависит не только от архитектуры АСУ ТП, но и от того, насколько системно предприятие подходит к созданию и эксплуатации самих средств защиты.
Любое подобное изменение может как минимум остановить процесс производства, а чаще всего приводит к разрушению производственных установок и несет прямой риск жизни и здоровью работников. Чтобы избежать этого, недостаточно фиксировать соединение двух узлов: необходимо понимать, кто инициирует изменение, имеет ли он на это право и соответствует ли операция технологическому процессу.
При этом глубина контроля зависит не только от архитектуры АСУ ТП, но и от того, насколько системно предприятие подходит к созданию и эксплуатации самих средств защиты.
Собственная система защиты не значит надежная
Еще одно уязвимое место, хотя и реже встречающееся, – использование собственных систем защиты, разработанных непосредственно на предприятии. Сам по себе такой подход не означает, что решение будет менее защищенным, однако предъявляет высокие требования к компетенциям команды, процессам безопасной разработки, тестирования и дальнейшего сопровождения. При их недостаточной зрелости в системе могут годами сохраняться уязвимости и возникать слепые зоны мониторинга. Дополнительную сложность создают нестандартные проприетарные протоколы: их не всегда способны полноценно анализировать даже специализированные средства мониторинга OT.
На практике проблема может усугубляться недостаточным контролем самого технологического контура: нерегулярной ревизией учетных записей, отсутствием систематических проверок хостов на вредоносное ПО и контроля доступных интерфейсов и подключений.
На практике проблема может усугубляться недостаточным контролем самого технологического контура: нерегулярной ревизией учетных записей, отсутствием систематических проверок хостов на вредоносное ПО и контроля доступных интерфейсов и подключений.
В OT-среде могут сохраняться активные учетные записи уволенных или переведенных сотрудников. В результате учетные записи могут быть активными и доступными месяцами даже после увольнения сотрудника, независимо от его прав доступа.
Например, учетная запись инженера одного подразделения используется для подключения к технологическому объекту в другом филиале, хотя сам специалист покинул компанию несколько месяцев назад. Формально логин и пароль корректны, но с точки зрения поведения это очевидная аномалия.
Такие кейсы оставляют злоумышленникам возможность получить доступ ко всем производственным участкам, просто горизонтально перемещаясь по сети. Системы защиты ОТ чаще всего не имеют, либо не используют поведенческие алгоритмы типа EBA, UEBA, контроль подключения учетных записей.
Такие кейсы оставляют злоумышленникам возможность получить доступ ко всем производственным участкам, просто горизонтально перемещаясь по сети. Системы защиты ОТ чаще всего не имеют, либо не используют поведенческие алгоритмы типа EBA, UEBA, контроль подключения учетных записей.
Человеческий фактор как источник уязвимостей
Даже грамотно спроектированный контур можно сделать уязвимым, если персонал не понимает смысла ограничений. Например, если IT- или ИБ-служба блокируют внешние накопители, ограничивает доступ в интернет и запрещает стороннее ПО, то оператор или инженер АСУ ТП, может воспринимать это как помеху работе и искать обходные пути.
В результате в технологических сегментах инфраструктуры появляются личные USB-накопители, мобильные точки доступа, Wi-Fi-адаптеры и сторонние программы. Известны случаи, когда на компьютеры для управления оборудованием устанавливались даже компьютерные игры и самостоятельно организовывался доступ в интернет.
Количество способов обхода стандартных систем защиты только расширяется, в том числе благодаря использованию ИИ, что в итоге приводит к полной незащищенности производственной сети от внешнего воздействия. Продолжает применяться и социальная инженерия, когда злоумышленники, пользуясь низким уровнем осведомленности сотрудников об ИБ-процессах, подключаются к внутренней сети промышленного участка либо же заносят в сеть полностью обособленное вредоносное ПО. Наиболее частным сценарием атак на АСУ ТП выступает в этом случае выведение производственного участка из строя.
В результате в технологических сегментах инфраструктуры появляются личные USB-накопители, мобильные точки доступа, Wi-Fi-адаптеры и сторонние программы. Известны случаи, когда на компьютеры для управления оборудованием устанавливались даже компьютерные игры и самостоятельно организовывался доступ в интернет.
Количество способов обхода стандартных систем защиты только расширяется, в том числе благодаря использованию ИИ, что в итоге приводит к полной незащищенности производственной сети от внешнего воздействия. Продолжает применяться и социальная инженерия, когда злоумышленники, пользуясь низким уровнем осведомленности сотрудников об ИБ-процессах, подключаются к внутренней сети промышленного участка либо же заносят в сеть полностью обособленное вредоносное ПО. Наиболее частным сценарием атак на АСУ ТП выступает в этом случае выведение производственного участка из строя.
Есть и более сложная проблема: инсайдерская угроза. Сотрудник, который знает архитектуру АСУ ТП и способы обхода ограничений, может сознательно использовать свои полномочия во вред предприятию или стать объектом внешней вербовки.
Последнее может быть особенно частым риском в ситуациях, например, когда сотрудники недовольны действиями руководства, заработной платой или условиями работы. Минимизировать риски можно с помощью решений, позволяющих контролировать поведение пользователей, хостов, нетипичных подключений и действий, не характерных для данных сотрудников или объектов инфраструктуры.
Уязвимость может быть заложена в прошивке
Уязвимость не всегда возникает уже на этапе эксплуатации. В некоторых случаях предпосылки для нее закладываются значительно раньше – еще при разработке программного обеспечения промышленного оборудования.
При разработке программ и прошивок контроллеров основной акцент традиционно делается на надежность, быстродействие и выполнение технологической функции, а требования безопасной разработки могут оставаться второстепенными. В результате возникают недостаточные проверки входных данных, слабые механизмы аутентификации и защиты от несанкционированных изменений.
Защитить такую систему только внешним периметром сложно. Поэтому промышленная кибербезопасность должна охватывать весь жизненный цикл: от разработки контроллера до эксплуатации оборудования и управления доступом. При этом необходимо помнить, что даже совокупность технических мер не будет достаточно эффективной, если само предприятие недооценивает вероятность атаки.
При разработке программ и прошивок контроллеров основной акцент традиционно делается на надежность, быстродействие и выполнение технологической функции, а требования безопасной разработки могут оставаться второстепенными. В результате возникают недостаточные проверки входных данных, слабые механизмы аутентификации и защиты от несанкционированных изменений.
Защитить такую систему только внешним периметром сложно. Поэтому промышленная кибербезопасность должна охватывать весь жизненный цикл: от разработки контроллера до эксплуатации оборудования и управления доступом. При этом необходимо помнить, что даже совокупность технических мер не будет достаточно эффективной, если само предприятие недооценивает вероятность атаки.
«Зачем нас атаковать?»
За многими техническими ошибками стоит одна организационная: убеждение, что предприятие вряд ли станет объектом атаки. Логика «а зачем кому-то нас атаковать?» значительно снижает внимательность к процессу построения системы кибербезопасности как таковой, приводит к непониманию рисков и отсутствию мер информационной гигиены. Права доступа пересматриваются реже, нарушения персонала воспринимаются как мелочи, а отсутствие известных инцидентов – как доказательство защищенности.
Но отсутствие обнаруженных атак не означает отсутствия угроз. Зрелая модель OT-безопасности исходит из того, что нарушение периметра возможно, поэтому предприятие должно быть готово выявлять подозрительную активность внутри технологической среды.
Но отсутствие обнаруженных атак не означает отсутствия угроз. Зрелая модель OT-безопасности исходит из того, что нарушение периметра возможно, поэтому предприятие должно быть готово выявлять подозрительную активность внутри технологической среды.
Как снизить риски нарушения информационной безопасности АСУ ТП
Любая угроза начинается с нетипичных действий, времени обращения, выполняемых операций и заканчивается запросами к нестандартным адресам памяти на ПЛК, портам, изменение параметров работы оборудования вне окна обслуживания. Технологическое оборудование начинает отклоняться от заданных параметров, нарушаются технологические процессы – сборки, окраски, зарядки, поддержания давления, температуры и т.д., которые, в конечном итоге, приводят к выпуску бракованной продукции или останову конвейера полностью.
Чтобы вовремя заметить такие аномалии, необходимо отслеживать нестандартное поведение операторов по работе со SCADA-системами и системами управления технологическим оборудованием, а также аномальные параметры работы самого оборудования и ПЛК, которые им управляют.
В этом помогут средства пассивного съема и анализа параметров работы с системами управления технологическим оборудованием и процессами, работы ПЛК и оконечного оборудования. Оператор или аналитик безопасности, исходя из специфики своего оборудования, может настроить отслеживаемые параметры, указать критические адреса и регистры памяти, порты ПЛК, за которыми надо наблюдать, указать допустимые значения отклонений. В случае, если такие параметры неизвестны, средства защиты должны отображать те значения, которые были зафиксированы на значительном историческом интервале времени, давая аналитику возможность выбора пограничных показателей. Для более эффективного мониторинга аномалий применяются специализированные средства поведенческого анализа.
Устойчивость АСУ ТП к кибератакам определяется не одним средством защиты и не только степенью изоляции технологического контура. Она складывается из понимания специфики производства, контроля действий пользователей и оборудования, грамотного управления доступом и способности вовремя выявлять отклонения от штатного режима. Чем раньше предприятие обнаруживает такую аномалию, тем выше вероятность остановить атаку до того, как информационный инцидент повлияет на производственный процесс.
Авторы: Илья Пономарев, старший аналитик отдела анализа данных NGR Softlab, Николай Перетягин, менеджер продукта, компания NGR Softlab
