Цифровая трансформация экспонирует электростанции кибератакам: что нужно знать

Цифровая трансформация операционных технологий (OT) для мониторинга и контроля физических процессов ввела новые слепые зоны и усилила другие, сделав промышленные системы управления (ICS) уязвимыми для атак национальными государствами.

Мы уже видели террористические атаки, приоритизирующие проникновение на электростанцию над целью в густонаселенном районе военным оружием. Рассмотрите атаку на энергосеть в декабре 2015 года, оставившую более 230 000 человек в темноте на западе Украины на шесть часов. Страна обвинила Россию в атаке. Двенадцать месяцев спустя энергосистема была атакована снова, на этот раз задев большую часть столицы Киев. Энергодистрибьютор на Пуэрто-Рико пострадал от DDoS-атаки в июне этого года, вызвавшей отключения для сотен тысяч жителей, перед тем как пожар уничтожил подстанцию.

Не фантастика подумать, что атака национального государства может нацелиться на неделю-долгое отключение в большом городе вроде Нью-Йорка. Фактически, эксперты считают, что что-то в этом роде вероятно произойдет.

Отчет Ponemon Institute, спонсируемый Siemens, показал, что 56% опрошенных профессионалов по безопасности OT сообщили хотя бы об одной атаке, связанной с утечкой частной информации или простоем в их OT-среде за последние 12 месяцев.

Как эти типы атак стали такими популярными? И что нужно сделать для содействия более безопасной OT-среде?

Четвертая промышленная революция

Утилити-компании модернизируются, ищя приросты эффективности и продуктивности. Достижение этих целей означает оцифровку и автоматизацию многих процессов, ранее выполнявшихся инхаус и вручную. Этот переход происходит так быстро, что безопасность становится послевкусием.

Быстрая цифровая перестройка промышленных процессов, широко известная как Четвертая промышленная революция, выводит больше систем и процессов онлайн. Это по сути создает больше потенциальных точек входа для злоумышленников, и с таким количеством отраслей, делающих это одновременно, есть больше возможностей для более следственных атак.

В предыдущие десятилетия центры обработки данных и мейнфреймы, запускающие компоненты ICS, были «воздушными зазорами» — то есть IT-системы были в локальной сети, но не подключены к интернету. Многие объекты ошибочно думали, что это делает их безопасными от атак, но они все равно были уязвимы для он-премиз атак вроде атаки «bash bunny», которая могла скомпрометировать систему вирусом через USB-устройство.

Так было в Иране, когда атомная станция Бушер была атакована червем Stuxnet. Внедренный в сеть через флеш-накопитель, Stuxnet затем распространился, заражая другие активы в сети, такие как центрифуги для обогащения уранового газа.

По мере того как больше утилити и OT-объектов спешат вывести свои системы онлайн, они не выделили надлежащие ресурсы на безопасность как один из шагов процесса. Чем больше единиц устаревшего оборудования подключается и добавляется IoT-устройств, тем больше поверхность атаки для потенциальных злоумышленников.

Злоумышленники эволюционируют

Усиливая проблему слабой безопасности — все более креативные и сложные способы, которыми злоумышленники эксплуатируют организации. Фактически, они не всегда те, кто инфильтрирует сеть.

По исследованию Ponemon Institute, инсайдерские угрозы представляют большинство атак на OT. Одной из самых известных была еще в 1999 году в тогдашнем Шайре Маручи Австралии. Недовольный рабочий, управляющий канализационными трубами, уволился, а вскоре после этого эксплуатировал систему через пиратскую копию ПО системы управления.

Инсайдерские угрозы не всегда — злонамеренные сотрудники; небрежные пользователи часто становятся жертвами фишинга, используют слабые пароли и кликают ссылки, дающие хакерам доступ. Еще один частый вектор — третья сторона или подрядчик, открывающий дверь в сеть и ведущий к эксплуатации. В атаке на цепочку поставок Kaseya, группа вымогателей REvil получила доступ к сотням компаний через обновление ПО. Третьи стороны обычно небезопасны, и компании не должны предполагать, что они безопасны.

Gartner был бычьим на OT-безопасность и звучал тревогу, что промышленные организации борются с определением подходящих контрольных фреймворков. Gartner также говорит, что к 2025 году атакующие «обузудают OT-среды для успешного причинения вреда или убийства людей».

Слишком много компаний настолько глубоко укоренились в своих процессах за последние десятилетия, что не видят эти взломы, нарушения и атаки из заголовков как угрозы себе. Они не хотят чинить то, что, по их мнению, не сломано. Фактически, они даже не видят потенциала для того, чтобы оно сломалось, пока оно не сломается.

Новый подход к защите OT

Компаниям нужна правильная видимость в свои сети и комплексное понимание до уровня отдельного актива, включая то, как эти ресурсы и пользователи соединяются друг с другом и с сетями в целом. Часто те, кто наконец копает в детали своих сетей, находят призрачные активы, о которых не знали. Это проблемы безопасности, которые нужно поймать до того, как их эксплуатируют.

Первый шаг, который компании могут предпринять для лучшей защиты — просто обучать сотрудников правильной гигиене безопасности с комплексным обучением. Слишком часто компании, которые светят на безопасность, делают это хаотично, с быстрой презентацией и без фоллоу-апа с сотрудниками о важности только что выученного.

Главный приоритет всегда будет эффективностью и функциональностью OT-машин, но если они под атакой, какая от них польза? Обучение сотрудников тому, на что смотреть и насколько распространены атаки, могло бы пойти далеко.

Наблюдательный инженер предотвратил катастрофу в марте 2021 года, когда водная система в Олдсмаре, Флорида, была взломана, и уровень гидроксида натрия был увеличен злоумышленником до опасного уровня. К счастью, инженер был начеку, заметил изменение и быстро распознал, что это атака, а не просто неисправность.

В октябре станции по всему Ирану были вынуждены закрыться. Страна сказала, что виновата кибератака, нацеленная на государственные электронные карты, субсидирующие цены на топливо для иранцев.

Для защиты от таких атак компаниям нужна полная видимость в свои сети, позволяющая видеть все подключенные и уязвимые активы. Но это только первый шаг. Существуют комплексные инструменты безопасности OT, предоставляющие алерты на ICS-машинах не только за действиями безопасности, но и красными флагами продуктивности. Правильные контролы безопасности предложат видимость и возможности ответа для OT-сети без влияния на ежедневные операции или внесения существенных изменений в сеть.

Пассивные технологии могут мониторить активность без воздействия на чувствительные OT-сети никак, в отличие от деструктивных «инлайн» платформ. Правильная пассивная платформа сможет обслуживать высокие пропускные способности и обеспечивать минимальные частоты ложных срабатываний.

Использование новых инструментов может быть пугающим для карьерных OT-исполнителей, неохотных менять проверенные процессы, но лучше быть подготовленным, чем жить в страхе потенциальной атаки, вызывающей массовый вред как компании, так и ее потребителям.

Элад Бен-Меир — CEO SCADAfence.