Киберугрозы в промышленной сфере невидимы, но нацелены на то самое оборудование, которое, как всегда считалось, слишком специфично для взлома. На вершине движения компьютерной индустриализации находятся операционные технологии (ОТ) — станки, оборудование и машины, являющиеся основой каждого промышленного предприятия (станки ЧПУ для токарной и фрезерной обработки, резки металла, листогибы и т.п.). По мере того как цифровизация устраняет разрыв между ИТ- и ОТ-сетями, ПЛК, SCADA-системами и устаревшими контроллерами, управляющими критической производственной инфраструктурой, вся эта электронная начинка внезапно оказывается «на передовой». А большинство этих устройств к этому вовсе не готовы.
Например, в феврале 2021 года оператор одной водоочистной станции заметил, что курсор мыши самостоятельно перемещается по экрану. Это был не просто очередной доступ к системе со стороны ИТ-специалистов, а сложная кибератака на всю операционную систему станции. Кто-то удалённо получил доступ к процессам водоочистки и намеревался повысить уровень гидроксида натрия, чтобы отравить водоснабжение целого города. Подобные инциденты наглядно демонстрируют растущий уровень угроз в условиях взаимосвязанной промышленной среды. Программируемые логические контроллеры, управляющие производственной линией, больше не изолированы: они объединены в сеть, доступны и уязвимы.
Более того, речь идёт не только о ПЛК, поскольку промышленные предприятия развиваются за счёт интеграции ОТ-сетей для повышения эффективности, но вместе с этим приобретают новые уязвимости. Операционные технологии — это взаимосвязанные сети и машины, обеспечивающие бесперебойную работу промышленных предприятий. Они включают аппаратные и программные системы, которые отслеживают, обнаруживают и контролируют физические устройства, процессы и инфраструктуру.
Системы диспетчерского управления и сбора данных обеспечивают централизованный мониторинг и управление географически распределёнными активами и процессами. Промышленные системы управления объединяют различные аппаратные и программные компоненты для автоматизации производственных линий, регулирования работы оборудования и запуска аварийных остановок. Программируемые логические контроллеры представляют собой защищённые промышленные компьютеры, предназначенные для выполнения управляющей логики в суровых условиях.
Однако в стремлении к лидерству управление безопасностью часто оказывается слабым звеном, которое становится главной целью злоумышленников. Основные причины этих проблем выявляются в ходе пентестов и аудита на уязвимость. Несмотря на прогресс технологий, распространённая проблема связана с преобладанием устаревших систем на многих производствах. Настоящая проблема не в возрасте, а в том, что эти системы разрабатывались в эпоху, когда физическая изоляция была основной моделью безопасности.
В операционных средах требуется практически стопроцентная бесперебойная работа, что делает традиционные методы обеспечения безопасности — регулярное обновление программного обеспечения и перезагрузку — крайне сложными. Производственное предприятие, работающее круглосуточно, не может позволить себе неожиданные простои. Поэтому обновления приходится тщательно планировать с учётом узких окон технического обслуживания.
В отличие от ИТ-сетей с централизованными системами управления активами, сети OT часто содержат незадокументированные устройства, теневые соединения и устаревшее оборудование с неизвестными конфигурациями. Отсутствие полного перечня активов делает невозможным точную оценку рисков, внедрение соответствующих мер безопасности или выявление аномального поведения.
Системы безопасности ИТ и ОТ различаются по операционным ограничениям. ИТ-системы допускают некоторую задержку и могут регулярно обновляться с минимальными сбоями, тогда как системы ОТ работают в режиме реального времени, где даже незначительные задержки способны привести к инцидентам или повреждению оборудования. Установка обновлений требует обширного тестирования и редких периодов технического обслуживания.
Структурированное управление обновлениями подразумевает, что новые архитектуры должны включать выделенную среду тестирования, которая имитирует производственную. Она позволяет проверять и применять исправления безопасности во время плановых периодов обслуживания без риска сбоев. Новые развёртывания должны включать специализированные решения для мониторинга операционных технологий, обеспечивающие пассивную, безагентную видимость трафика промышленных протоколов.
