Промышленные системы управления под риском на фоне напряженности США–Иран

На фоне эскалации напряженностей США–Иран организации, эксплуатирующие подключенную промышленную инфраструктуру, должны усилить свою кибер-защиту.

«Кибер-воздействие убийства генерала Касема Сулеймани глубоко», — предупредил Эяль Эльяшив, CEO и ко-фаундер компании по сетевой безопасности Cynamics.

Отраслевые аналитики отмечают, что недавний всплеск конфликта США–Иран расширяет общий кибер-риск. «У нас нет инсайдерской интеллектуальной информации о конкретных атаках, но усиленные политические напряжения, вероятно, стимулируют больше кибер-наступлений», — сказал Билл Малик, вице-президент стратегий инфраструктуры Trend Micro.

После смерти Сулеймани специалисты по кибербезопасности и американские чиновники одинаково предостерегли об угрозе, которую иранские аффилированные противники несут для систем промышленного управления.

Некоторые эксперты утверждают, что злоумышленники могут запустить мелкие, отвлекающие кибер-инциденты вместо полноценной кибервойны. «Предположение о всеобъемлющем кибер-конфликте преждевременно», — отметила Андреа Литтл Лимбаго, Ph.D., главный социальный ученый Virtru. «Кибер-активность Ирана, варьирующаяся от деструктивных атак до дезинформации, была первазидна годами и не уникально связана с недавними событиями».

За последнее десятилетие кибер-возможности Ирана выросли драматически. Исследователи безопасности атрибутировали ряд атак — включая DDoS-наступления на американские банки и кастомный вредонос, нацеленный на Saudi Aramco — иранским актерам. В 2015 году отчеты также утверждали, что иранские хакеры проникли в американскую энергосеть.

«Американским чиновникам следует быть глубоко обеспокоенными кибер-достигаемостью и возможностями Ирана», — подчеркнул Эльяшив.

Несмотря на сообщения об остывании двусторонних напряженностей, алерт DHS от 4 января предупредил, что Иран может запустить «атаки с временными деструктивными эффектами против критической инфраструктуры США».

U.S. Cybersecurity and Infrastructure Security Agency (CISA) также пометила повышенный риск атак и кибер-шпионажа против стратегических секторов — финансов, энергетики, телекоммуникаций — и отметила растущий фокус на системах промышленного управления и операционной технологии.

Иранские актеры имеют трек-рекорд атак на американскую инфраструктуру. В 2016 году Министерство юстиции вынес обвинительное заключение против семи подрядчиков, связанных с Корпусом стражей исламской революции, за кибератаки на множество банков и дамбу в Нью-Йорке. DHS также предупредил, что иранские аффилированные актеры «разведку и планируют против инфраструктурных целей, выполняя кибер-активные атаки на ряд объектов в США».

Промышленные цели не обойдены. Cyberscoop сообщает, что иранская хакерская группировка Advanced Persistent Threat 33 неоднократно нацеливалась на оборону, транспорт и энергетику.

Лимбаго предостерегает, что преждевременно ждать, что Иран сфокусируется на эксплуатации уязвимостей промышленного управления неминуемо. «Если напряженность возрастет дальше, стратегия может смениться, но в настоящее время кибер-активность Ирана остается в серой зоне — ниже открытой войны», — объяснила она. «Иран знает, что деструктивные атаки на критическую инфраструктуру спровоцируют возмездие».

Бывший исполнительный директор Контртеррористического центра CIA Кэрол Ролли Флинн предсказывает, что Иран запустит мелкие кибератаки, чтобы избежать американского возмездия. «Они хотят остаться под радаром», — сказала она.

Лимбаго также предупредила, что Иран может ударить по частным секторам без очевидных промышленных связей. Она цитировала инцидент 2015 года, когда бывший директор национальной разведки Джеймс Клаппер приписал атаку на Sands Casino Ирану, в возмездие за комментарии CEO Шелдона Адельсона. «Иран типично нацеливается на частные фирмы, связанные с исполнительной властью, чтобы нанести финансовый ущерб без разжигания более широкого американского ответа», — заметила Лимбаго.

Дезинформационные кампании формируют ядро кибер-стратегии Ирана. Лимбаго описала их как «экстремально пролифичные и глобальные». «Эти операции будут持続 как внутри страны, чтобы укрепить про-правительственные настроения, так и международно, чтобы разжигать анти-американские нарративы», — добавила она.

Управление кибер-риском

Независимо от того, как развиваются текущие напряженности, момент дает операторам промышленной инфраструктуры шанс проаудировать свои подключенные устройства. «Мы призываем владельцев и операторов ICS инвентаризировать свою технологию, оценить уязвимости и внедрять контролы, снижающие их поверхность атаки», — советовал Малик.

Промышленные сущности приоритизируют uptime, что часто приводит к зависимости от легаси, непропатченного железа и софта. «Вы должны смотреть за пределами этих архаичных систем, так как история показывает, что их легко скомпрометировать», — предостерег Эльяшив.

Кибер-гигиена остается существенной, но Дэвид Гольдштейн, президент и CEO AssetLink Global LLC, подчеркивает необходимость надежной физической безопасности. «Безопасность IIoT не только в железе и софте», — сказал он.

Физический доступ оказался ключевым в операции Stuxnet 2010 года против иранского объекта обогащения Натанз. Двойные агенты, связанные с американской и израильской разведкой, якобы внедрили вредонос в изолированную сеть, в конечном итоге отключив около 1000 центрифуг.

Гольдштейн отмечает, что Stuxnet подчеркивает необходимость строгого контроля доступа и доверия. «С кем вы сотрудничаете, какое доверие ставите в партнеров и у кого есть физический доступ — критические факторы», — подчеркнул он.

С пролиферацией IoT в индустрии возникает талантовый разрыв: мало кибер-экспертов, специализирующихся на промышленных системах управления. «Многие аналитики применяют обычные IT-тактики к промышленному IoT без учета проприетарных протоколов и проблем обновлений, создавая значительные уязвимости», — предупредил Гольдштейн.

Федеральные агентства — включая Министерство обороны — и MITRE Corporation адресуют этот разрыв фреймворками вроде MITRE ATT&CK для IC. «Этот фреймворк позволяет производителям, владельцам и операторам артикулировать сценарии атак и сообщать об уязвимостях последовательно по секторам», — объяснил Малик. «Все организации должны принять его для оценки своей позы безопасности IC».

Малик подсветил, что кибербезопасность — непрерывный путь, а не пункт назначения. «Если усиленные напряженности кратковременны, производители имеют ограниченную способность быстро укрепить свою производственную позу безопасности», — сказал он.

Он указал на ключевую уязвимость: полевые ссылки обслуживания. «Когда вендоры получают доступ к своему оборудованию для обслуживания или диагностики неисправностей, эти соединения становятся потенциальными векторами атаки», — предупредил Малик.

Малик призвал вендоров защищать данные клиентов, шифруя трафик где возможно и обеспечивая безопасность обновлений ПО. «Было бы катастрофой, если мелкая проблема у одного клиента привела производителя к развертыванию патча, который непреднамеренно внедрил вредонос по всему его портфелю», — предостерег он.