Бенямин Бахман, директор „Информационна сигурност“ в Bilfinger, разговаря с Help Net Security относно защитата на промишлени предприятия. Той обяснява защо атакуващите искат да поемат контрол върху операциите, вместо да крадат данни, и защо изолираната среда (air gap) в повечето случаи е миф.

Бахман разглежда как плановете за ограничаване на инциденти се договарят предварително, как се изгражда видимост върху старо оборудване чрез мрежов мониторинг и как престъпните групи за откуп (ransomware) определят своите финансови претенции спрямо престоя на производствените мощности. Той също така подлага на съмнение идеята, че хората са най-слабото звено в сигурността на оперативните технологии (OT).

Разпространена заблуда е, че атакуващият иска нашите данни. Повечето ръководители идват от свят, където пробивът означава откраднати файлове, и този мисловен модел се променя трудно. Но никой не пробива в промишлена среда, за да прочете рецептата за топлофикация. Те искат бутона, който спира всичко.

След като преформулирате модела на заплахите от „някой краде нашите тайни“ на „някой друг управлява вашето предприятие“, разговорът се променя напълно. Изведнъж на преден план излизат наличността и физическата безопасност. В Bilfinger оперираме в изключително чувствителни среди като рафинерии, химически заводи и енергийна инфраструктура, където тази промяна в перспективата помага да се инвестира там, където ефектът върху устойчивостта е най-голям.

Втората заблуда обикновено отпада бързо: „Но нали всичко е в изолирана среда?“. Изолираната среда е еднорогът на промишлената сигурност. Всеки е чувал за нея, но никой не я е виждал на практика. Тя обикновено съществува до първия шкаф със забравен LTE донгъл в него.

Аз се противопоставям на тази предпоставка. Ограничаването не е моята цел, то е моят метод. Целта е същата като на инженерите: завод, който работи безопасно. В момента, в който сигурността се превърне в отдела, който спира производството, аз самият се превръщам във втори инцидент.

И така, честният отговор е: никой няма надмощие в такъв сценарий в 3 часа сутринта, защото ние отказваме да решаваме нещата тогава. Този, който „печели“ при реален инцидент, го е спечелил години по-рано. Състоянието на съоръженията принадлежи на хората, които разбират процеса. Мрежовото състояние принадлежи на моя екип. А критичните точки, в които двете среди се докосват (коя зона се изолира, при какви условия, на каква цена на час), се договарят предварително, описват се и се тренират. Инцидентът е ужасен момент за дебати относно организационната структура.

Има и тактическа причина за това. Ако моят план за ограничаване изисква спиране на производството, на киберпрестъпника вече не му е необходимо да чупи завода. Той просто трябва да задейства моя план. Екип по сигурност, който може да реагира само чрез изключване от щепсела, не е защита. Това е безплатен бутон за отказ на обслужване (DoS). Това осъзнаване оформя архитектурата: ограничаването трябва да бъде достатъчно евтино, за да не се налага никой да избира между безопасност, непрекъснатост на работата и защита.

Спрях да очаквам устройствата да свидетелстват и започнах да третирам мрежата като свидетел. Един контролер от 1998 г. никога не е бил проектиран да ви каже какво се е случило. Но той никога не лъже сам. Ако започне да лъже, някой го е научил на това. Той прави точно едно нещо, в един и същ ритъм, в продължение на десетилетия. Някои определят това като остарял технологичен дълг. Аз го определям като най-подценяваната функция за сигурност в промишлените среди.

Трафикът в традиционните ИТ среди е хаос. Хората сърфират, обновяват, гледат видео, участват в конферентни разговори. Трафикът в OT средите е хореография. Едни и същи устройства, едни и същи разговори, един и същ ритъм всеки ден извън прозорците за поддръжка. Спрямо хаоса аномалията е игла в купа сено. Спрямо хореографията тя е непознат на танцовата площадка.

Така че видимостта се изгражда около оборудването, а не върху него: пасивно слушане в няколко ключови точки, достатъчно строга сегментация, така че тези точки да виждат всеки разговор, пресичащ границата на дадена зона, и базово състояние, което наистина се поддържа. Последната част е важна, защото видимостта тихомълком се превърна в продуктова категория, а сензор, чието базово състояние никой не поддържа, е просто скрийнсейвър с такса за лиценз.

И обърнете внимание на думата: защитима. „Защитима“ не означава, че сте видели всичко. Означава, че когато нещо се случи, можете да кажете с увереност как е изглеждало нормалното състояние, кога е спряло и какво е било под заплаха. Това е изречение, което можете да защитите пред борда на директорите, регулатора или застрахователя. „Имахме контролно табло“ не е такова изречение.

Това ни принуди да разгледаме внимателно икономическата калкулация зад тези атаки. Киберпрестъпниците изчисляват точната цена на оперативния престой, за да определят финансовите си претенции. Това означава, че нашата стратегия за защита не може да се състои само в изграждането на по-високи стени, а трябва да се фокусира върху разбиването на техния бизнес модел чрез съкращаване на времето за престой и правенето му възможно най-управляем.

След като погледнете на нещата по този начин, сегментацията и възстановяването престават да бъдат две отделни дисциплини и се превръщат в един въпрос: колко бързо тази операция се връща в безопасно състояние, без да се плаща на когото и да било? Сегментацията определя каква част от предприятието може да се рестартира независимо от компрометираната част. Възстановяването определя колко бързо наистина се случва този рестарт, поради което ние симулираме и тренираме рестартиране, а не просто възстановяване на архиви.