Vo výrobe bežne beží riadiaci systém, ktorý má pätnásť aj dvadsať rokov. Výrobca preň dávno nevydáva opravy, niekedy už neexistuje ani výrobca. Vypnúť sa nedá, lebo na ňom stojí a padá výroba. Ochrana takého zariadenia stojí na dvoch cestách, ktoré nechajú zraniteľnosť na mieste a odrežú cestu k jej zneužitiu. Tento článok vysvetľuje, ako obe fungujú a kedy sa použije ktorá.
Rýchle zhrnutie
- Prečo sú tieto systémy zraniteľné
- Prečo sa nevymenia, hoci to znie ako riešenie
- Prvá cesta: kompenzačné opatrenia
- Druhá cesta: virtuálne záplatovanie
- Čo ani jedna cesta nespraví
- Čím začať
- Časté otázky
Prečo sú tieto systémy zraniteľné
Zvykne sa to zhrnúť tak, že sú staré. To je pravda a zároveň to nevysvetľuje podstatu.
Tieto zariadenia majú svoj vek. V období ich návrhu nebol dostupný dnes bežne výkonný hardvér, a tak boli navrhnuté úsporne. Výpočtový výkon sa šetril tam, kde sa dalo, a bezpečnostné prvky, ktoré dnes považujeme za samozrejmé, sa vtedy do takého rozpočtu jednoducho nezmestili. Komunikačné protokoly priemyselných zariadení z tej doby často neoverujú, kto s nimi hovorí. Predpokladali totiž, že v sieti je len ten, kto tam patrí.
Druhá vrstva problému je podpora. Výrobca prestal vydávať opravy, takže známa zraniteľnosť ostáva otvorená natrvalo. A keďže sú tieto zraniteľnosti roky verejne popísané, útočník nepotrebuje objaviť nič nové.
Prečo sa nevymenia, hoci to znie ako riešenie
V kancelárskom IT je odpoveď priamočiara. Systém po ukončení podpory sa nahradí modernejším s garantovanou podporou od výrobcu. Životný cyklus zariadenia je tri až päť rokov a výmena je rutina.
Vo výrobe je životný cyklus riadiaceho systému pätnásť až dvadsať rokov, niekedy ešte viac. Výmena znamená odstávku výroby, nové oživenie linky a jej certifikáciu nanovo. K tomu treba nájsť náhradu, ktorá zvládne ten istý technologický proces, a preprogramovať riadenie. Náklad a riziko sú neporovnateľné s výmenou notebooku.
Preto zariadenie zostáva v prevádzke, hoci je zraniteľné. Rozhodnutie ho nechať bežať býva správne z pohľadu výroby. Bezpečnosť sa potom stavia okolo neho.
Prvá cesta: kompenzačné opatrenia
Podstata je jednoduchá. Zariadenie sa nedá opraviť, tak sa obmedzí to, k čomu má prístup a kto má prístup k nemu.
Separácia do vlastného segmentu. Zariadenie sa oddelí do siete s presne definovanou komunikáciou. Vie hovoriť len s tým, s čím reálne potrebuje, a nič ďalšie sa k nemu nedostane. Separácia má vo výrobe ešte druhý, dôležitejší význam. Minimalizuje laterálny pohyb v sieti. Ak sa útočník dostane do jedného segmentu, nevie sa pozrieť ďalej a zostane v ňom.
Obmedzenie a zaznamenávanie prístupu. Vie sa, kto a kedy k zariadeniu pristupuje. Prístup dostáva ten, kto ho potrebuje na prácu, a o každom pripojení existuje záznam. Toto je zásadné najmä pri vzdialených prístupoch tretích strán, ktoré rozoberáme v samostatnom článku.
Monitorovanie správania. Sleduje sa, čo zariadenie v sieti robí. Keď sa jeho komunikácia odchýli od bežného stavu, je to viditeľné. Toto je jediné opatrenie z tejto trojice, ktoré funguje aj vtedy, keď útočník už dnu je.
Druhá cesta: virtuálne záplatovanie
Táto cesta sa v praxi prehliada, hoci rieši presne to, čo segmentácia nevie.
Virtuálne záplatovanie funguje na úrovni komunikácie. Protokol, ktorým zariadenie hovorí, sa uzamkne, takže sa dnu nedostane nežiaduca zmena. Tesne pred odovzdaním k cieľu sa protokol zase odomkne, aby ho druhá strana dokázala rozkódovať a spracovať. Prebieha to v reálnom čase a zariadenie o tom nevie.
Prínos je v tom, že chráni aj vtedy, keď je útočník už v tom istom segmente. Segmentácia stavia stenu okolo zariadenia. Virtuálne záplatovanie stráži dvere, ktorými k nemu vedie komunikácia, a kontroluje, čo cez ne prejde.
V praxi sa obe cesty kombinujú. Separácia zníži počet miest, odkiaľ sa dá zaútočiť. Virtuálne záplatovanie ošetrí komunikáciu, ktorá aj tak musí prejsť.
Čo ani jedna cesta nespraví
Povieme to nahlas, lebo je to podstatné pri plánovaní.
Zraniteľnosť v samotnom systéme zostáva prítomná. Ani kompenzačné opatrenia, ani virtuálne záplatovanie neopravia softvér zariadenia. Odrežú cestu k zneužitiu, samotná chyba tam ostáva.
Prakticky to znamená dve veci. Prvá, tieto opatrenia treba udržiavať. Keď sa zmení topológia siete alebo pribudne nové pripojenie, ochrana sa musí prispôsobiť. Druhá, výmena zariadenia zostáva na stole ako dlhodobý plán. Kompenzačné opatrenia kupujú čas na to, aby sa výmena udiala riadeným spôsobom v priebehu naplánovanej odstávky.
Čím začať
Poradie, ktoré dáva zmysel.
Zistite, ktoré zariadenia to sú. Väčšina výrobných podnikov nemá úplný zoznam. Priemyselná sieť rástla roky cez rôznych dodávateľov a časť zariadení nikto neeviduje. Bez tohto zoznamu sa nedá povedať, ktoré zariadenie potrebuje ochranu.
Zistite, s čím komunikujú. Pri legacy zariadení je kľúčové vedieť, aká komunikácia je pre ne bežná. Z toho sa odvodí, čo sa smie prepustiť a čo je odchýlka.
Až potom navrhujte opatrenia. Segmentácia navrhnutá bez znalosti reálnej komunikácie preruší niečo, na čom stojí výroba. Preto sa najprv meria a potom sa zasahuje.
Prvé dva kroky pokrýva jedno pasívne meranie siete, ktoré nezasahuje do riadenia. Ako celá téma OT bezpečnosti do seba zapadá, ukazuje náš sprievodca OT bezpečnosťou vo výrobnom podniku.
Časté otázky
Prečo sa priemyselný riadiaci systém nedá záplatovať?
Výrobca preň po skončení podpory nevydáva opravy, niekedy už neexistuje. Časť zariadení sa navyše nedá reštartovať bez zastavenia výroby, takže ani dostupná oprava sa nedá nasadiť kedykoľvek.
Čo sú kompenzačné opatrenia?
Separácia zariadenia do vlastného segmentu s definovanou komunikáciou, obmedzenie a zaznamenávanie prístupu a monitorovanie jeho správania. Zraniteľnosť zostáva, mizne cesta k jej zneužitiu.
Čo je virtuálne záplatovanie?
Uzamknutie protokolu, ktorým zariadenie komunikuje, aby sa dnu nedostala nežiaduca zmena. Tesne pred odovzdaním k cieľu sa protokol odomkne, aby ho druhá strana dokázala spracovať. Prebieha v reálnom čase.
Musíme staré zariadenia vymeniť?
Z pohľadu bezpečnosti je výmena dlhodobý cieľ. Kompenzačné opatrenia a virtuálne záplatovanie umožnia zariadenie prevádzkovať bezpečne dovtedy, kým sa výmena dá naplánovať v odstávke, alebo počas odstávky.
Zastaví nasadenie ochrany legacy systému výrobu?
Pri pasívnom meraní a správne navrhnutej segmentácii nie. Riziko prináša zásah navrhnutý bez znalosti reálnej komunikácie v sieti, ktorý môže prerušiť legitímnu prevádzku.
Ďalší krok
Neviete presne, ktoré zariadenia vo vašej sieti sú bez podpory a s čím komunikujú?
Technický bezpečnostný audit siete to ukáže. Trvá 28 dní, stojí 2 785 eur bez DPH plus náklady spojené s doručením a nezasiahne do prevádzky, lebo ju iba počúva. Na konci máte zoznam zariadení, mapu ich komunikácie a návrh opatrení.
Ozvite sa a dohodneme termín.