Критические критерии выбора устройств удаленного доступа для промышленной безопасности

Операционные команды, управляющие промышленными системами, полагаются на устройства удаленного доступа для выполнения своей работы и редко думают о нетехнических и некоммерческих соображениях при покупке. Но недавняя история говорит нам о том, что откуда пришло устройство — и даже компоненты внутри устройства — имеет гораздо большее значение, чем мы признаем.

Атаки на цепочку поставок серьезны

Атака на цепочку поставок — это категория кибератаки, где доступ получается путем нацеливания на вышестоящие элементы в цепочке поставок. Обыватель, покупающий устройство — возможно, для ввода в эксплуатацию оборудования на выходных — может думать, что риск не достаточно значителен, чтобы влиять на решение о покупке, но это не так.

Атаки на цепочку поставок чрезвычайно популярны у атакующих, потому что, проникая у одного поставщика, они могут получить доступ ко многим конечным пользователям. Например, Stuxnet была эффективной атакой на цепочку поставок, нацеленной на ПЛК, используемые в программе обогащения урана. NotPetya, причинившая ущерб в 추정ных 10 миллиардов долларов организациям, включая Merck и Saint-Gobain, распространялась через налоговое программное обеспечение. Недавно SUNBURST дал бэкдор-доступ до 18 000 организаций и распространялся через ПО SolarWinds. Это случалось много раз и будет продолжаться из-за выгоды для атакующего.

Атаки на цепочку поставок к ICS через устройства удаленного доступа

Идея атаки на цепочку поставок, нацеленной на ПАС (ICS) через устройство удаленного доступа, не просто теоретична — это уже случалось. В 2014 году вредоносное ПО Dragonfly заразило многие организации и распространялось через установочные пакеты приложения Talk2M от Ewon, которое является ПО для предоставления VPN-доступа к оборудованию ICS. Институт SANS предоставил документ об атаке и ее последствиях, который можно прочитать здесь.

Соображения перед покупкой

Итак, возвращаясь к обывателю, покупающему устройство для ввода в эксплуатацию некоего оборудования — что им делать?

В ситуациях, где вы не являетесь — и не можете быть — экспертом, мудро смотреть на то, что делают эксперты. В случае безопасности одним из таких экспертов будет Министерство обороны США. Они прямо запрещают покупку и использование устройств или заключение контрактов с провайдерами, использующими устройства от определенных иностранных производителей, из-за рисков в цепочке поставок. Меморандум DoD от июля 2020 года описывает эту практику и может быть публично просмотрен здесь. Названная компания значения — Huawei Technologies Company (и ее дочерние компании и аффилированные лица), из-за широкого использования их чипов — включая в устройствах удаленного доступа, таких как Tosibox.

Итак, один вывод для обывателя здесь может быть — покупать отечественное всегда, когда это возможно. Следует отметить, что покупка отечественно произведенных продуктов и продуктов, спроектированных с глубокими слоями безопасности, не делается легко и обычно требует ценовой премии, но несомненно стоит затрат для пользователя — особенно для удаленного доступа к промышленным системам.

Помимо рисков цепочки поставок, существует множество технических и организационных соображений при реализации удаленного доступа. Я исследовал их в рабочей группе с Организацией по автоматизации и управлению машинами (OMAC), которая затем опубликовала Практическое руководство по удаленному доступу к заводскому оборудованию, которое я рекомендую прочитать.