Veszélyes vizekre tévedt az IT/OT összefonódása

Hogyan állíthatja le a termelést, vagy veszélyeztetheti akár egy egész üzem működését egyetlen kattintás?
 

A támadók ma már általában nem közvetlenül a gyártósorokat veszik célba. Tudják, hogy a legegyszerűbb támadási felületet az emberi tényező és az informatikai rendszerek (IT) jelentik, különösen azért, mert az IT rendszerek és az üzemeltetési technológiai (OT) infrastruktúrák egyre szorosabban kapcsolódnak egymáshoz.
 
Egy felhőszolgáltatásban kompromittált felhasználói fiók vagy a vállalati VPN-hez szerzett hozzáférés kiváló belépési pontot jelenthet a támadó számára. Miután bejutott az informatikai rendszerbe, gyakran már nincs szüksége további bonyolult hacker trükkökre, hiszen hitelesített, "jogosult" felhasználóként jelentkezik be. Csendben figyeli a kommunikációt, feltérképezi a környezetet, és kivár. Néha napokig, máskor hetekig. Hozzáférhet a megosztott meghajtókon tárolt érzékeny adatokhoz, valamint a vállalat működése szempontjából kulcsfontosságú rendszerekhez. A támadás következményei általában ezen a ponton válnak érzékelhetővé.
 
Amikor elmosódik a határ az IT és az OT között
 
A tapasztaltabb támadók az "IT-szakaszt" elsősorban hídfőállásként használják. Ha a hálózat szegmentálása hiányos, ha megosztott hozzáférések működnek, vagy a távoli kapcsolatok nem kellően védettek, megnyílhat az út az üzemeltetési technológiák, vagyis az OT-rendszerek felé.
 
Az ABB szakemberei szerint a támadás jellege azon a szinten változik meg gyökeresen, ahol a SCADA irányítórendszerek és az üzemi adatbázisok működnek. Itt a támadó igyekszik észrevétlen maradni. Általánosan használt rendszergazdai eszközöket alkalmaz, például PowerShellt, távoli felügyeleti megoldásokat vagy egyedi szkripteket. Ezek közül első pillantásra egyik sem ad okot riadalomra. A gyakran "living off the land" néven emlegetett módszer éppen azért alattomos, mert a meglévő rendszerezközöket használja ki, így nem tűnik rosszindulatú támadásnak.
 
Mindez a modern ipari hálózatok egyik legnagyobb kihívására is rávilágít: az IT és az OT közötti határvonal már nem különül el egyértelműen. Az eredetileg fizikailag és logikailag szeparált rendszereket ma a hatékonyabb működés, a valós idejű adatmegosztás vagy a távoli felügyelet érdekében összekapcsolják. A támadók pontosan ezt a konvergenciát használják ki.
 
Amikor a támadás eléri az operátori munkaállomásokat, a helyzet drámaian megváltozik. A technológiai folyamatok felügyeletére szolgáló HMI-képernyők a manipuláció eszközeivé válhatnak. A támadó módosíthatja a konfigurációkat, a képernyőkön megjelenő információkat, vagy hozzáférési adatokat szerezhet meg. Bizonyos esetekben az operátor a képernyőn továbbra is azt látja, hogy "minden rendben", miközben a fizikai valóságban teljesen más folyamatok zajlanak.
 
Ez már nem egy hagyományos informatikai incidens, hanem a technológiai folyamatok közvetlen irányításába való beavatkozás kezdete. A valódi célpont ugyanis még egy szinttel lejjebb található.
 
Fizikai következmények: amikor a támadás katasztrófához vezethet
 
Az ipari PLC-vezérlők és az adatgyűjtésre használt RTU-eszközök még ma is gyakran olyan gyártóspecifikus protokollokon keresztül kommunikálnak egymással, amelyeket a tervezésükkor még nem a mai kiberbiztonsági elvárásokra méreteztek. Hiányzik a megfelelő hitelesítés és a titkosítás. Ha a támadó hozzáfér ezekhez az eszközökhöz, közvetlenül küldhet utasításokat. Vagy ami ennél is veszélyesebb: felülírhatja azokat a saját vezérlési logikájával.
 
A támadás ezzel olyan szakaszba lép, amely már nem kezelhető kizárólag informatikai eszközökkel. A PLC-ben módosított program észrevétlenül megváltoztathatja a technológia működését: lelassíthatja a folyamatot, túlterhelheti a berendezéseket, vagy olyan kritikus állapotot idézhet elő, amely fizikai károsodáshoz vezet.
 
A lánc legvégén a fizikai világ áll: szelepek, turbinák, szállítószalagok, komplex vegyipari folyamatok stb. Ha a támadó képes manipulálni az érzékelőket vagy a beállításokat, hamis mérési adatokat jeleníthet meg az operátorok számára. A rendszer normál működési állapotot jelez, miközben a tényleges folyamat veszélyesen eltér a biztonságos paraméterektől.
 
Ezen a ponton következhetnek be a legsúlyosabb károk, amelyek nemcsak jelentős pénzügyi és termelési veszteségekkel járhatnak, hanem az üzembiztonságot és a környezetet is közvetlenül veszélyeztetik.
 
Egyetlen lánc. Egyetlen rés. Súlyos következmények.
 
Az OT-biztonság nem korlátozódhat a PLC-k vagy a hálózat védelmére: a felhőtől a fizikai folyamatokig a teljes környezetet át kell látni. A hazai gyártó- és feldolgozóiparban tapasztalható gyors digitalizáció és az európai uniós kiberbiztonsági elvárások (pl. NIS2) fényében ez a megközelítés a magyar vállalatok számára is elengedhetetlen.
 
"A magyarországi iparvállalatok esetében ma már nem az a kérdés, hogy éri-e őket kiberbiztonsági incidens, hanem az, hogy mikor, és mennyire felkészülten éri őket. A védekezés alapja a kockázatok felismerése, az információ- és üzembiztonsági kultúra kialakítása, valamint a munkatársak biztonságtudatosságának erősítése. A támadások ugyanis ma már nem feltétlenül a gyártócsarnokban indulnak, hanem akár egyetlen kattintással kezdődnek, ezért a védekezés sem lehet kizárólag a kiberbiztonsági szakemberek feladata" - mutat rá Ujfaludi Tamás, az ABB Magyarország Automatizálási üzletágának szakembere.