Cyberbezpieczeństwo instalacji przemysłowych. Jak zabezpieczyć systemy sterowania i automatyki przed atakami hakerskimi?
Cyfryzacja w przemyśle, podobnie jak w wielu innych branżach, staje się coraz bardziej powszechna. Daje szansę m.in. na poprawę efektywności i eliminowanie błędów, ale niesie też za sobą nowe zagrożenia i wyzwania. W artykule przybliżamy temat cyberbezpieczeństwa systemów przemysłowych, w tym m.in. poruszamy kwestie zabezpieczeń przed atakami hakerskimi.
Spis treści
- Przemysłowe systemy sterowania ICS a cyberbezpieczeństwo
- Czym jest cyberbezpieczeństwo i jakie ma znaczenie?
- Cyberataki na przemysłowe systemy sterowania ICS – zagrożenia i przyczyny
- Cyberbezpieczeństwo systemów przemysłowych – wyzwania i trudności
- Cyberbezpieczeństwo systemów sterowania – normy i standardy
- Podsumowanie
Przemysłowe systemy sterowania ICS a cyberbezpieczeństwo
Przemysł 4.0, inaczej czwarta rewolucja przemysłowa, to nie abstrakcyjna koncepcja, lecz realna, nowa faza rozwoju przemysłu, która dzieje się na naszych oczach. Zakłada integrację systemów i tworzenie sieci, automatyczną wymianę informacji pomiędzy maszynami, ludźmi oraz systemami IT. Usieciowienie i wymiana danych zapewnia firmom większą elastyczność, szybkie reagowanie na potrzeby klientów i możliwość ekonomicznej produkcji. Unifikacja świata fizycznego z wirtualnym oznacza wiele korzyści dla przedsiębiorstw, ale też zagrożenia związane z cyberbezpieczeństwem.
Automatyzacja procesów produkcyjnych i procesów sterowania nie byłaby możliwa bez zastosowania przemysłowych systemów sterowania, określanych też skrótem ICS (Industrial Control System). Pod tym pojęciem kryje się m.in.:
- grupa urządzeń automatyki przemysłowej;
- systemy Przemysłowego Internetu Rzeczy;
- systemy kontroli i akwizycji danych SCADA;
- programowalne sterowniki PLC;
- rozproszone systemy sterowania DCS.
Przemysłowe systemy sterowania ICS wykorzystywane są w przedsiębiorstwach do sterowania maszynami, liniami produkcyjnymi, stanowią elementy automatyki budynkowej. Służą też do obsługi krytycznych obiektów przemysłowych, jak np. elektrownie, systemy dystrybucji energii, zakłady uzdatniania wody, zakłady chemiczne, rafinerie i wiele innych. To właśnie systemy ICS obecnie coraz częściej stanowią bezpośredni cel ataków cyberprzestępców, także tych opłacanych przez rządy państw.
Czym jest cyberbezpieczeństwo i jakie ma znaczenie?
Systemy sterowania stosowane w przemyśle, energetyce, transporcie i wielu innych gałęziach gospodarki coraz częściej stanowią przedmiot inwigilacji ze strony hakerów. Zarządzanie tymi procesami wymagają więc szczególnej ochrony przed różnymi zagrożeniami komputerowymi. Cyberbezpieczeństwo jest dziedziną zajmującą się środkami ochrony przed cyberatakami dla wszystkich rodzajów systemów informatycznych.
Instalacje przemysłowe przez długi czas były postrzegane jako nieinteresujące dla potencjalnych hakerów i mało podatne na ich ataki. Procesy produkcyjne wykorzystują specjalistyczne systemy sterowania ICS, a wiele przemysłowych komputerów bazuje na zastrzeżonych i chronionych oprogramowaniach i protokołach komunikacyjnych nie mających opublikowanych specyfikacji. Kwestie bezpieczeństwa nigdy też nie były priorytetem funkcjonowania systemów sterowania, a brak wbudowanych mechanizmów bezpieczeństwa wynikał z ograniczenia ryzyka ich negatywnego wpływu na pracę ICS. Jednak na przestrzeni ostatnich kilkunastu lat coraz częstsze cyberataki na infrastrukturę krytyczną pokazały, że komputery przemysłowe są niemal tak samo narażone na tego typu zagrożenia, jak komputery biurowe.
Należy także zdawać sobie sprawę z konsekwencji cyberataków na systemy przemysłowe. Następstwami naruszenia niezawodności takich systemów są m.in.:
- przerwy w produkcji oraz związane z nimi straty finansowe, opóźnienia w realizacji zamówień czy utrata klientów;
- uszkodzenia maszyn i urządzeń przemysłowych;
- utrata danych (np. wrażliwych danych dotyczących przedsiębiorstwa, wyników badań, danych o klientach, danych technicznych itp.);
- katastrofy przemysłowe (zmiany i wprowadzenie błędnych danych w systemie może doprowadzić do katastrofy;
- zagrożenie dla bezpieczeństwa publicznego (ataki na infrastrukturę krytyczną mogą spowodować zakłócenia w dostawie prądu, gazu, wody itd.).
Polecany artykuł:
Cyberataki na przemysłowe systemy sterowania ICS – zagrożenia i przyczyny
Sieci przemysłowe oraz przemysłowe systemy sterowania mogą być łatwym celem dla hakerów, ponieważ:
- wiele instalacji przemysłowych opiera się na przestarzałych systemach Windows;
- zdalny dostęp dostawców stał się standardowym sposobem obsługi i konserwacji;
- możliwy jest dostęp do przeprogramowania funkcji bezpieczeństwa maszyn;
- wzrasta zgodność standardowych systemów informatycznych z przemysłowymi;
- oprogramowanie tworzy się poprzez ponowne wykorzystanie komponentów oprogramowania innych firm;
- wiele systemów nie ma oprogramowania antywirusowego z automatyczną funkcją aktualizacji baz sygnatur;
- zdecydowana większość instalacji przemysłowych ma co najmniej jedno urządzenie ze zdalnym dostępem.
Wśród słabych punktów systemu sterowania wymienia się również:
- nieadekwatne procedury;
- niewłaściwą kontrolę zdalnego dostępu;
- nieprawidłową konserwację systemu;
- nieadekwatną komunikację bezprzewodową w sterowaniu;
- brak uwierzytelniania danych w sieci sterowania.
Wrażliwość systemów ICS na ataki zewnętrzne wynika w dużej mierze z powszechnego zastosowania technologii COTS (gotowego oprogramowania dostępnego „od ręki”).
Zagrożenia dla systemów ICS można podzielić na zewnętrzne (np. ataki hakerskie) i wewnętrzne, a także skategoryzować na umyślne, zamierzone, przypadkowe i niezamierzone. Motywacje hakerów mogą być różnorakie. Często są podyktowane kwestiami finansowymi, chęcią zdobycia sławy w środowisku, mogą też stanowić formę zemsty czy być efektem działań ideowych.
Cyberbezpieczeństwo systemów przemysłowych – wyzwania i trudności
Sprzęty przemysłowe znacznie różnią się od powszechnych systemów IT. Urządzenia ICS produkuje się na mniejszą skalę i m.in. z tego względu są przewidziane na długoletnie użytkowanie. Ponadto, sprzęt przemysłowy wymaga ciągłości operacji i reagowania w czasie rzeczywistym (lub zbliżonym). Jest tak, ponieważ nawet niewielkie opóźnienia mogą spowodować awarie lub wywołać inne negatywne skutki. Przerwy techniczne są z reguły dopuszczalne pod warunkiem wcześniejszego zaplanowania bądź dysponowania równolegle działającym systemem (generuje to dodatkowy koszt dla firmy). Przestoje produkcyjne zwykle jednak pociągają za sobą straty finansowe. W wielu obiektach przemysłowych są praktycznie niemożliwe, gdyż naruszenie niezawodności systemu mogłoby doprowadzić do tragicznych awarii (np. zakłady chemiczne i elektrownie atomowe).
Instalacja i aktualizacja oprogramowania są zatem ryzykowne same w sobie i mogą być źródłem większego zagrożenia niż cyberatak. Aby zminimalizować to ryzyko, w praktyce stosuje się testy dla systemu i komponentów ICS oraz prowadzi się ewidencje wprowadzanych zmian. Duże znaczenie ma również prawidłowa instalacja oprogramowania typu firewall. Jeszcze ważniejsze jest właściwe zaprogramowanie rozwiązań do ochrony danych w warunkach przemysłowych, co zwykle sprawia dużo trudności.
Cyberbezpieczeństwo systemów sterowania – normy i standardy
W celu zapewnienia bezpieczeństwa sieci i systemów przemysłowych opracowano zalecenia normatywne, niezbędne inżynierom na etapach projektowania, konstrukcji, wdrażania różnych rozwiązań. Podstawową normą w zakresie cyberbezpieczeństwa systemów przemysłowych jest międzynarodowa seria norm IEC 62443. Opisuje ona wymagania w zakresie zapobiegania cyberzagrożeniom, a stosowanie się do jej zaleceń ma zapewnić bezpieczną eksploatację systemów automatyki przemysłowej (systemów ICS). Polski Komitet Normalizacyjny wydał również normy polskie serii IEC 62443.
Polecany artykuł:
Innym ważnym dokumentem są także standard The CIS Critical Security Controls for Effective Cyber Defense, który stanowi zbiór zaleceń dotyczących ogólnego cyberbezpieczeństwa oraz MITRE ATT&CK w wersji dla sieci i systemów przemysłowych – taktyki i techniki atakujących w cyberprzestrzeni. Standardy zabezpieczenia systemów i sieci komputerowych przed cyberatakami znajdują się też w dokumencie CAG (Consensus Audit Guidelines), a zbiór tzw. „dobrych praktyk” można znaleźć w kompendium wydanym przez niemiecki urząd ds. bezpieczeństwa informacyjnego BSI – Bundesamt für Sicherheit in der Informationstechnik. Wśród przykładowych zaleceń zawartych w kompendium BSI, dotyczących bezpieczeństwa instalacji i systemów przemysłowych, można wymienić m.in.:
- zachowanie zgodności poziomów bezpieczeństwa ICS i systemu zdalnej obsługi tego ICS (bardzo ważne zalecenie);
- właściwe wytwarzanie i zarządzanie dokumentacją ICS;
- bezpieczne wycofanie sprzętu z użycia;
- ochronę raportów audytowych;
- nadzór nad bezpieczeństwem i ciągłe monitorowanie stanu bezpieczeństwa;
- zarządzanie zmianami;
- regularne szkolenie personelu;
- właściwe zarządzanie personelem, aby uniknąć związanych z nim naruszeń zasad bezpieczeństwa;
- procedury zatrudniania, zmiany stanowiska i zwalniania pracowników;
- regularnie audyty bezpieczeństwa sieci i elementów ICS;
- testowanie komponentów (ICS) przed instalacją;
- uwzględnienie specyfikacji bezpieczeństwa dostarczonej przez integratora systemów ICS w analizie ryzyka;
- wymaganie od produktów ICS odporności na błędy w oprogramowaniu i sprzęcie;
- wyposażenie komponentów ICS w oprogramowanie antywirusowe;
- zapewnienie odpowiedniej ochrony fizycznej komponentom ICS;
- zapewnienie segmentacji sieci ICS;
- zabezpieczenie wszystkich zewnętrznych interfejsów do ICS;
- zalecenie statycznej konfiguracji sieci;
- blokowanie nieograniczonego dostępu do Internetu z poziomu sieci ICS;
- zapobieganie nieautoryzowanemu dostępowi do systemu.
Podsumowanie
Plan cyberbezpieczeństwa instalacji przemysłowych powinien opierać się na następujących filarach: strategia i procedury (planowanie i podział obowiązków), ludzie (nadzór, modyfikacje systemu), technologie. Oprócz tego, cyberbezpieczeństwo przemysłowe wymaga zbudowania w organizacji odpowiedniej kultury bezpieczeństwa, opracowania i wdrożenia planu szacowania ryzyka, a także skutecznej współpracy specjalistów od systemów komputerowych i specjalistów odpowiedzialnych za ochronę całego obiektu.
- Zobacz również: Top 10 największych fabryk na świecie
