Киберугрозы в промышленной сфере невидимы, но нацелены на то самое оборудование, которое, как всегда считалось, слишком специфично для взлома. На вершине движения компьютерной индустриализации находятся операционные технологии (ОТ) — станки, оборудование и машины, являющиеся основой каждого промышленного предприятия (станки ЧПУ для токарной и фрезерной обработки, резки металла, листогибы и т.п.). По мере того, как цифровизация устраняет разрыв между ИТ- и ОТ-сетями, ПЛК, SCADA-системами и устаревшими контроллерами, управляющих этой производственной критической инфраструктурой, вся эта электронная начинка внезапно оказываются «на передовой». А большинство из этих устройств к этому вовсе не готовы.
Например, в феврале 2021 года оператор одной водоочистной станции заметил, что курсор мыши самостоятельно перемещается по экрану. Это был не просто очередной доступ к системе со стороны ИТ-специалистов – а была сложная кибератака на всю операционную систему станции. Кто-то удалённо получил доступ к процессам водоочистки и намеревался повысить уровень гидроксида натрия, чтобы отравить водоснабжение целого города. Подобные инциденты наглядно демонстрируют растущий уровень угроз в условиях взаимосвязанной промышленной среды. Тем не менее, это новая реальность: программируемые логические контроллеры (ПЛК), управляющие производственной линией, больше не изолированы, так как они объединены в сеть, доступны и уязвимы. Та же самая взаимосвязь, которая обеспечивает удалённый мониторинг и прогнозируемое техническое обслуживание с незащищённых ноутбуков, также создаёт пути для киберугроз.
Более того, речь идёт не только о ПЛК, поскольку промышленные предприятия развиваются за счёт интеграции ОТ-сетей для повышения эффективности, но и приобретают новые уязвимости. Проще говоря, операционные технологии (ОТ) — это взаимосвязанные сети и машины, обеспечивающие бесперебойную работу промышленных предприятий (например, электростанций, интеллектуальных производственных заводов и т. д.). Они включают в себя все аппаратные и программные системы, которые отслеживают, обнаруживают и контролируют физические устройства, процессы и инфраструктуру в промышленных условиях, а именно:
1. Системы диспетчерского управления и сбора данных (SCADA) – обеспечивают централизованный мониторинг и управление географически распределёнными активами и процессами, охватывающими обширные территории. Они собирают данные из удалённых мест, передают информацию в центральный диспетчерский пункт и позволяют операторам визуализировать производительность всей системы и отдавать команды управления из единого операционного центра;
2. Промышленные системы управления (ICS) – представляют собой всеобъемлющую структуру, которая управляет производственными процессами. Эти системы объединяют различные аппаратные и программные компоненты для автоматизации производственных линий, регулирования работы оборудования, обеспечения эффективности работы и запуска аварийных остановок при превышении параметров безопасных пороговых значений;
3. Программируемые логические контроллеры (ПЛК) – фактически представляют собой защищённые промышленные компьютеры, предназначенные для выполнения управляющей логики в суровых условиях, напрямую взаимодействующие с датчиками, исполнительными механизмами, двигателями и клапанами для управления конкретным оборудованием или процессами. Эти устройства непрерывно сканируют входные сигналы, выполняют запрограммированную логику в режиме реального времени и активируют выходные сигналы, которые надёжно управляют физическим оборудованием.
Однако в стремлении к лидерству, управление безопасностью часто оказывается слабым звеном, которое становится главной целью злоумышленников. Основные причины этих проблем часто довольно часто выявляются в ходе различных пентестов и аудита на уязвимость. Несмотря на значительный прогресс в технологиях за прошедшие годы, наиболее распространённая проблема связана с преобладанием устаревших систем на многих производствах. Этот фактор часто неправильно понимают – настоящая проблема не в возрасте, а в том, что эти системы разрабатывались в те времена, когда физическая изоляция была основной моделью безопасности. Предполагалось, что для перепрограммирования ПЛК 1995 года требуется физический доступ. Сейчас же он подключён к сети, доступ к которой может получить взломанный ноутбук, находящийся на расстоянии. То есть речь можно вести о том, что производственники имеют дело с системами, работающими в среде угроз, для которой они никогда не предназначались.
В операционных средах требуется практически 100% бесперебойная работа, что делает традиционные методы обеспечения безопасности, такие как регулярное обновление программного обеспечения, перезагрузка и обновление системы, крайне сложными. Производственное предприятие, работающее круглосуточно, не может позволить себе неожиданные простои для установки обновлений безопасности. Это требование к доступности означает, что меры должны тщательно планироваться с учётом узких временных окон технического обслуживания, часто измеряемых часами в год. В результате известные уязвимости могут оставаться неустранёнными в течение длительных периодов времени, создавая постоянные пробелы в интерактивной защите, которые могут быть использованы злоумышленниками.
В отличие от ИТ-сетей с централизованными системами управления активами, сети OT часто содержат незадокументированные устройства, теневые соединения и устаревшее оборудование с неизвестными конфигурациями. Отсутствие полного перечня активов делает невозможным точную оценку рисков, внедрение соответствующих мер безопасности или выявление аномального поведения. Организации не могут защитить то, чего не видят, однако достижение полной видимости сети OT без нарушения работы остаётся критичной проблемой.
Системы безопасности ИТ и ОТ также различаются по операционным ограничениям. В то время как ИТ-системы допускают некоторую задержку и могут регулярно обновляться с минимальными сбоями, системы ОТ работают в режиме реального времени с требованиями к точности до миллисекунд, где даже незначительные задержки могут привести к инцидентам, связанным с безопасностью, или повреждению оборудования. Установка обновлений требует обширного тестирования и редких периодов технического обслуживания, из-за чего системы часто остаются без обновлений в течение длительного времени.
Структурированное управление обновлениями подразумевает, что новые архитектуры должны включать в себя выделенную среду тестирования обновлений, которая имитирует производственную среду. Она должна позволять проверять и применять обновления безопасности во время плановых периодов технического обслуживания без риска сбоев в работе. Новые развёртывания должны включать специализированные решения для мониторинга операционных технологий, обеспечивающие пассивную, безагентную видимость трафика промышленных протоколов, что позволяет заблаговременно обнаруживать аномальное поведение.
