Удар с рансъмуер поставя химически завод в безопасно състояние. Никой не е пострадал, площадката е стабилна и операторите започват рестартирането. Системите обаче остават неактивни.

Всеки опит за пускането им онлайн се сблъсква с криптирани процеси и променени конфигурации. Прекъсването продължава седмици, а загубите се разпространяват по веригата на доставки и в двете посоки. Рафинерии, химически заводи и оператори на тръбопроводи носят този риск в системите си за управление, които работят от 20 до 40 години.

Марко Аяла е прекарал повече от две десетилетия в сигурността на индустриалните системи за управление. Той е технически директор за глобалната енергетика в ABS Consulting и поставя риска в дисциплината, която според него го управлява.

„Надеждността, времето за работа и безопасността са от първостепенно значение. Киберсигурността влияе на всички тези резултати, което я прави инженерен проблем.“

Сметката за грешните решения нарасна. Кибератаките срещу компании за комунални услуги в САЩ се увеличиха с почти 70 процента в рамките на една година.

Dragos и Marsh McLennan оценяват най-лошите глобални киберзагуби в областта на операционните технологии (OT) на 329,5 милиарда долара във всички сектори. Waterfall Security отчете 146 процента ръст на годишна база на OT обекти, засегнати от атаки с физически последици.

Операторите харчат парите за киберсигурност на други места. OT сигурността привлича приблизително 20 процента от тях, а лаптопите и корпоративните инструменти вземат останалото.

Възстановяването е мястото, където плановете се провалят

Шанкар Сомасундарам ръководи Asimily, която инвентаризира свързаните устройства в индустриалните обекти. Той наблюдава как рестартирането разкрива предположенията в плана за възстановяване.

„Виждал съм заводи с резервно копие на контролер, но инженерът, който е знаел защо е конфигуриран по този начин, отдавна го няма. Така че резервното копие възстановява състояние, което никой не може да потвърди, че все още е правилно. Заводите в крайна сметка извършват обратно инженерство на собствения си процес под огромен натиск (по средата на прекъсването!), което е най-лошото възможно време да разберете как функционира вашият завод“, споделя той пред Help Net Security.

Писмената оценка за възстановяване рядко оцелява при сблъсък с реално възстановяване.

„Виждали сме възстановявания, които отнемат няколко дни повече от планираното, докато други изостават с месеци от графика.“

Той се връща към едно разграничение, което плановете за възстановяване размиват.

„Резервните копия, които никога не са били възстановявани на реален контролер, могат и често се държат по различен начин от очакваното в момента, в който това е най-важно. Така че, докато не стартирате това възстановяване наяве, имате по-скоро предположение, отколкото стабилна способност за възстановяване.“

Доставчикът се превръща в следващото ограничение.

„ В повечето случаи критичните системи изискват оригиналният интегратор или производител да присъства физически в завода, за да възстанови операциите безопасно, а кой може да каже, че този човек е на разположение във вашия времеви график? Вашият план за резервно копие може да е предположил, че едно телефонно обаждане ще реши проблема, докато реалността е, че ви чака двуседмично чакане някой да се качи на самолета.“

Устройството с нисък приоритет отваря вратата

Пътят за влизане обикновено се намира там, където вниманието към сигурността е най-слабо. Сомасундарам вижда същия модел в различните обекти.

„Заводите може много добре да заключат своите основни OT устройства, но след това да третират IoT устройствата (камерите на съоръжението, сензорите, сградните системи и др.) като второстепенна задача, тъй като рискът изглежда по-малък. Но IoT устройствата са също толкова добра стартова площадка към останалата част от мрежата на завода, колкото и всичко друго (и често по-добра, защото никой не я наблюдава толкова отблизо).“

Тези прониквания остават извън публичния регистър.

„Да кажем, че имате атакуващ, който е влязъл през едно от тези пренебрегвани IoT устройства, огледал се е и е бил хванат по средата на процеса. Производството никога не е спирало и нищо не е доказано изгубено, така че това се архивира като несъбитие, вместо като предупреждението, което всъщност е било.“

Скрити активи, достъпни от интернет

Аяла извършва безпристрастни проверки и продължава да се сблъсква с едно и също сляпо петно.

„Когато обхождам обект за оценка, най-честото нещо, което персоналът на завода е спрял да забелязва, е постоянното натрупване на временни заобиколни решения на контролите за сигурност, отворени и отключени панели и „временни“ мрежови връзки, които са в сила от година или повече.“

Той повдига въпроса. В една от залите му отговорили по следния начин:

„Работим така от няколко години без проблем. Ще се заемем с това и ще се уверим този път.“

„Склонен съм да отбележа, че липсата на киберистория до момента не е доказателство за безопасност, а само доказателство, че обектът все още не е бил сериозно тестван.“

В едно съоръжение клетъчни рутери и пакетирано OEM оборудване са се натрупали на по-ниските нива на OT средата, отсъствайки от мрежовите чертежи.

„По време на инцидент зловреден код за криптиране е попаднал на един от HMI и е започнал да се разпространява странично. За щастие е бил хванат рано, преди да успее да повлияе на първичните системи за контрол. Това, което най-накрая раздвижи ръководството, беше да види, че техните доверени инструменти за мониторинг на корпоративната мрежа напълно са пропуснали активите на по-ниско ниво, защото са били извън нормалната видимост.“

Аяла разбира какво мотивира хората в подобни ситуации.

„Техническите аргументи рядко работят; показването на ръководството, че критичните активи на процеса са били невидими за съществуващите им инструменти и директно достъпни от интернет, променя разговора.“