Системы промышленного управления под повышенным кибер-риском на фоне напряженности США–Иран

Недавний скачок напряженности между США и Иран повысил ландшафт угроз для систем промышленного управления (ICS). Организации, эксплуатирующие подключенную промышленную инфраструктуру, теперь должны принять более бдительную позу безопасности.

Эяль Эльяшив, CEO и ко-фаундер Cynamics, предупредил, что кибер-воздействие от убийства иранского генерала Касема Сулеймани может быть значительным.

Отраслевые аналитики отмечают, что обострение конфликта США–Иран повышает общий кибер-риск. Билл Малик, вице-президент стратегий инфраструктуры Trend Micro, заявил: «У нас нет инсайдерской информации о конкретных планах атак, но логично, что растущие политические напряжения могут стимулировать больше кибератак».

После убийства множество экспертов по кибербезопасности и чиновников США выдали предупреждения о повышенном риске атак от иранских аффилированных противников.

Андреа Литтл Лимбаго, Ph.D., главный социальный ученый Virtru, предостерегла, что вероятность мелких, отвлекающих кибератак выше, чем всеобъемлющей кибервойны. Она добавила: «Кибер-активность Ирана — от деструктивных атак до дезинформации — была широко распространена уже довольно давно. Это не ново и не связано с событиями этой недели».

За последнее десятилетие кибер-возможности Ирана драматически расширились. Аналитики атрибутировали ряд атак — включая DoS-атаки на американские банки и кастомный вредоносный код, нацеленный на Saudi Aramco — иранским актерам. В 2015 году сообщалось, что иранские хакеры проникли в американскую энергосеть.

Чиновники США должны оставаться крайне обеспокоенными кибер-достигаемостью Ирана, подчеркнул Эльяшив.

Алерт Department of Homeland Security, выпущен 4 января, предупредил, что Иран может, как минимум, запустить атаки с временными деструктивными эффектами против критической инфраструктуры США.

Аналогично, U.S. Cybersecurity and Infrastructure Security Agency подсветила повышенный риск кибер-шпионажа и атак против финансов, энергетики, телекоммуникаций и систем промышленного управления.

Обвинительное заключение Министерства юстиции США 2016 года обвинило семерых иранских подрядчиков, связанных с Корпусом стражей исламской революции, в кибератаках на несколько банков и дамбу в Нью-Йорке. DHS также предупредил об иранских актерах «разведке и планировании против инфраструктурных целей и кибер-активных атаках на ряд объектов в США».

В промышленном секторе хакерская группировка Advanced Persistent Threat 33, связанная с Ираном, нацеливалась на оборону, транспорт и энергетику, по данным Cyberscoop.

Лимбаго считает, что, учитывая текущий уровень напряженности, Иран вряд ли приоритизирует эксплойт явных уязвимостей ICS в краткосрочной перспективе. Она заметила: «Иран понимает, что деструктивные атаки на критическую инфраструктуру, вероятно, спровоцируют эскалацию и возмездие».

Бывший исполнительный директор Контртеррористического центра CIA Кэрол Ролли Флинн предсказывает, что иранские актеры сфокусируются на мелких кибератаках, чтобы избежать возмездия.

Лимбаго также предполагает, что иранские противники могут атаковать частные организации без явной связи с ICS. Исторический прецедент, вроде атаки на Sands Casino 2015 года, предположительно связанной с Ираном, поддерживает этот подход.

Дезинформация остается ключевым компонентом кибер-стратегии Ирана. Лимбаго описала эти операции как «экстремально пролифичные и глобальные», направленные на усиление внутренней поддержки и посев анти-американских настроений по всему миру.

Управление кибер-риском

Независимо от эволюционирующего геополитического ландшафта, промышленные операторы должны аудировать свои подключенные устройства. Малик рекомендует пересматривать технологические инвентари, оценивать уязвимости и применять контролы для сокращения поверхности атаки.

Поскольку uptime первостепенен, многие промышленные среды продолжают использовать устаревшее, непропатченное железо и софт. Эльяшив предостерег: «Организации должны смотреть за пределами этих архаичных систем, защищающих критическую инфраструктуру, так как недавняя история ясно показывает, что их можно легко скомпрометировать».

Дэвид Гольдштейн, президент и CEO AssetLink Global LLC, подчеркнул, что защита IIoT требует больше, чем железо и софт. «Ответ на безопасность IIoT не полностью в железе и софте», — сказал он.

Атака Stuxnet на иранский объект обогащения Натанз показала важность контроля физического доступа. В той операции двойные агенты установили вредонос на изолированную центральную сеть, в конечном итоге уничтожив около 1000 центрифуг.

Гольдштейн подсветил, что доверие и контроль доступа критичны. Он спросил: «С кем вы работаете, кому доверяете, у кого есть учетные данные для входа в вашу систему, у кого есть физический доступ? Доверие между актерами и партнерами станет все важнее по мере проникновения IoT-систем везде».

По мере распространения IoT-технологий в промышленных контекстах сохраняется дефицит кибер-экспертов, знакомых с промышленными системами управления. Гольдштейн отметил, что большинство аналитиков применяют общие IT-техники к промышленному IoT, упуская проприетарные протоколы и проблемы обновлений, что создает значительные уязвимости.

Организации вроде U.S. Department of Defense и MITRE Corp. замыкают этот разрыв фреймворками вроде MITRE ATT&CK для ICS. Малик объяснил, что этот фреймворк позволяет производителям, владельцам и операторам обсуждать сценарии атак и сообщать об уязвимостях последовательно по секторам.

Малик подчеркнул, что кибербезопасность — это путь, а не пункт назначения. Учитывая краткосрочную природу текущих напряженностей, он сказал: «Мало что могут сделать производители ICS, чтобы быстро укрепить свою производственную позу безопасности».

Он также выделил конкретную уязвимость: полевые ссылки обслуживания, используемые для диагностики, могут стать векторами атаки. Малик призвал вендоров защищать данные клиентов, шифровать трафик где возможно и обеспечивать, чтобы обновления ПО были свободны от вредоносов.