Почему вредонос Triton все еще угрожает промышленной безопасности: экспертное мнение Schneider Electric

В конце 2017 года сложная кибератака, известная как Triton (также называемая Trisis), нацелилась на систему безопасности shutdown средневосточного объекта. Обнаруженная кибербезопасностью фирмой Dragos в ноябре 2017 года, вредонос мог вызвать катастрофический сбой — потенциально убивая персонал и выпуская опасные химикаты. К счастью, попытка Triton отключить систему безопасности Triconex обернулась против себя, активируя аварийный shutdown, который он пытался подавить, и раскрывая атаку.

Dragos помечает группу за атакой "Xenotime" и предупреждает, что они могут запустить будущие disruptive или деструктивные атаки. Инцидент также предоставляет опасный blueprint для других атакующих, желающих таргетить safety instrumented systems (SIS).

Schneider Electric выбрала прозрачность вместо тишины. Эндрю Kling, директор по кибербезопасности и системной архитектуре, объяснил: "Мы знали, что определенный уровень открытости был необходим. Как только истинная природа атаки была понята, мы осознали серьезность и отраслевой призыв к действию, который она требовала". Kling также написал One Year After Triton: Building Ongoing, Industry-Wide Cyber Resilience для разделения уроков.

[IoT Security Summit – Learn to secure the full IoT stack, from cloud to edge to hardware. Get your ticket now.]

Что отличает Triton — это первый известный вредонос, спроектированный для атаки safety instrumented system. Kling отмечает: "Это не был разовый legacy exploit; это был намеренный подрыв контролов безопасности для стратегического выигрыша. Игнорирование этого было бы неприемлемым".

Насколько индустрия осведомлена о Triton и более широкой угрозе промышленным системам безопасности?

Эндрю Kling: "Осведомленность индустрии должна быть 100%. Все должны действовать немедленно. Мы запускаем выделенный сервис детекта вредоноса для контроллеров Triconex, предлагаем его всем клиентам и не обнаружили дополнительных компрометаций. Это первый сервис, детектирующий вредонос напрямую в устройстве безопасности".

Какую роль играет Schneider Electric в образовании индустрии?

Kling: "Мы призываем к коллективному респонсу — клиенты, сервис-провайдеры, OEMы и сетевые вендоры должны приоритизировать системы безопасности так же яростно, как процессные контролы. Через комитеты стандартов мы коллаборируем с пирами для разделения уроков и продвижения лучших практик. Прозрачность ключева; мы объясняем детали атаки и использованные техники, чтобы другие могли защититься".

Что мы знаем об атакующих?

Kling: "Атрибуция остается неясной; спекуляции о nation-state involvement существуют, но конкретных доказательств нет. Что мы знаем — атакующие владели специализированными знаниями архитектуры систем безопасности, встроенных процессоров и проприетарных протоколов. Их вредонос содержал множественные баги, случайно вызвавшие safety shutdown, предполагая ограниченные ресурсы или тестирование. Тем не менее, необходимый скилл-сет нетривиален и указывает на высоко мотивированного противника".

Совет для промышленных организаций, обеспокоенных киберриском?

Как член рабочей группы ISA99 IEC 62443, Kling рекомендует выравнивать закупки со стандартом кибербезопасности IEC 62443. "Когда тендерите на новые системы безопасности или процессного контроля, специфицируйте IEC 62443 compliance. Сотни человеко-летов экспертной работы определяют, что значит безопасность в промышленной автоматизации. Выбирая сертифицированные продукты и партнеров по доставке, вы используете эту коллективную экспертизу без становления кибербезопасностью специалистом самим".

Schneider также коллаборирует с US гов. агентствами вроде NCCIC/ICS-CERT, гарантируя, что operational technology (OT) security лучшие практики делятся по сообществу. OT кибербезопасность сообщество остается тесно связанным, с регулярной коллаборацией для адресации эмерджентных угроз.