Do riadenia vašej výroby sa vie vzdialene pripojiť viac ľudí, než býva na jednom zozname. Časť z nich sú externé firmy, ktoré linky dodali alebo ich servisujú. Časť sú vaši vlastní ľudia, administrátori a technológovia. Tieto prístupy pritom vznikli pri uvedení technológie do prevádzky alebo pri prvej nočnej poruche a roky ich nikto nerevidoval. Tento článok je o tom, prečo sú najprehliadanejším rizikom v OT a čo s tým.

Rýchle zhrnutie

  • Kto všetko sa vie pripojiť k vašej výrobe
  • Prečo je práve táto cesta taká riziková
  • Prečo o nej kancelárske IT často ani nevie
  • Ako vyzerá vzdialený prístup pod kontrolou
  • Prvý krok, ktorý nič nestojí
  • Časté otázky

 

Kto všetko sa vie pripojiť k vašej výrobe

Keď sa povie vzdialený prístup, väčšina ľudí si predstaví integrátora, ktorý linku postavil. To je len časť pravdy, a to hneď dvakrát.

Prvá skupina sú externé firmy:

  • integrátor, ktorý linku dodal a oživil,
  • servisná organizácia, ktorá rieši poruchy,
  • dodávateľ riadiaceho systému SCADA,
  • servis programovateľných automatov,
  • výrobca konkrétneho stroja.

Časť z nich nikdy nič neintegrovala, len opravuje alebo dohliada. A predsa má cestu dnu.

Druhá skupina sú vaši vlastní ľudia. Administrátor, ktorý sa v noci pripojí z domu. Technológ, ktorý potrebuje pozrieť na parameter bez toho, aby šiel do haly. Nezriedka aj vedenie, ktoré chce vidieť čísla z výroby cez víkend. Tieto prístupy sa do zoznamov dodávateľov nedostanú, lebo ich nikto za dodávateľský prístup nepovažuje.

Každý takýto prístup vznikol preto, aby sa dalo zasiahnuť rýchlo, bez výjazdu. Z pohľadu prevádzky je to pohodlné a dáva to zmysel. Z pohľadu bezpečnosti je to zoznam dverí, o ktorých málokto vie, koľko ich je a kam presne vedú.

 

Prečo je práve táto cesta taká riziková

Tri veci robia zo vzdialených prístupov výnimočné riziko.

Vedú priamo k riadeniu. Bežný útok na firmu smeruje do kancelárskej siete, k dátam a e-mailom. Vzdialený prístup k riadeniu vedie inam, rovno k automatom a systémom SCADA, ktoré riadia výrobu. Kto ovládne toto pripojenie, stojí pri riadiacom pulte, nie pred bránou.

Sú trvalé a zabudnuté. Prístup sa zriadil pri odovzdaní linky alebo pri prvej poruche a odvtedy žije vlastným životom. Heslá sa nemenia, prístup sa neruší ani po tom, čo človek, ktorý ho používal, dávno odišiel. Útočník, ktorý sa zmocní takého prihlásenia, vojde tými istými dverami.

Firewall na túto cestu nemá spoľahlivý dosah. Ak je bezpečnostná architektúra navrhnutá a aplikovaná, pripojenie cez neho prejde povoleným pravidlom a pod kontrolou. Ak nie je, obíde ho a skončí priamo na zariadení za ním. To je rozdiel, ktorý sa dá zistiť len pohľadom do vlastnej siete. Kde presne je hranica firewallu a antivírusu, rozoberáme v článku Máme firewall a antivírus, stačí to.

Rozširujú váš obvod o cudzie firmy. Toto platí len o externej skupine a je to dôvod, prečo sa s ňou pracuje inak. Vaša bezpečnosť je len taká silná ako bezpečnosť najslabšej servisnej firmy s prístupom. Ak má dodávateľ slabé heslá alebo mu unikli prihlasovacie údaje, problém je váš, hoci chyba vznikla u neho. Váš obvod sa tým naťahuje na každú tretiu stranu, ktorá sa vie pripojiť.

 

Prečo o nej kancelárske IT často ani nevie

Toto je jadro problému. Vzdialené prístupy do výroby vznikali na strane výroby a údržby, pri stavbe liniek, mimo réžie IT oddelenia. Preto ich IT často nemá vo svojej evidencii. Vznikli mimo neho a žijú mimo neho.

Platí to aj o časti vlastných prístupov. Administrátorský vstup do OT segmentu vznikol pri riešení poruchy, nie pri návrhu siete, takže v evidencii nie je o nič viac než ten dodávateľský.

Výsledok je, že za bezpečnosť týchto prístupov formálne nezodpovedá nikto. IT ich nevidí, výroba ich berie ako súčasť servisu a dodávateľ ich považuje za svoj pracovný nástroj. Diera vzniká tým, že prístupy prepadli medzi dve oddelenia, nie zlým úmyslom.

Preto je prvý krok organizačný. Zistiť, kto všetko sa vlastne vie pripojiť.

 

Ako vyzerá vzdialený prístup pod kontrolou

Vzdialené prístupy sa nedajú zrušiť, výroba ich potrebuje. Dajú sa ale dostať pod kontrolu. Opatrenie má presný rozsah a štyri body z piatich platia rovnako pre externých aj pre vlastných:

Požiadavky evidované. Vie sa, kto, kedy a prečo sa pripája. Prístup sa otvára na požiadanie a zostáva zatvorený, kým ho nikto nepotrebuje.

Technicky riadené a zaznamenávané. Pripojenie ide cez kontrolovaný bod, nie priamo na automat. O každej relácii existuje záznam.

Prístupové práva regulované. Každý vidí len to, čo potrebuje pre svoju linku, nie celú sieť.

Časovo obmedzené. Prístup platí na čas zásahu. Po skončení sa zatvára.

Zmluvne ošetrené. Tento bod pribúda pri tretích stranách. Každá externá firma s prístupom má v zmluve bezpečnostné povinnosti a hlásenie incidentov. Bez zmluvy je požiadavka na dodávateľa len prosba. S vlastným človekom zmluvu o hlásení incidentov nepodpisujete, tam to rieši interná smernica.

Dohromady je to disciplína, nie jednorazový úkon. Celá pritom stojí na tom, že najprv viete, koho sa týka.

 

Prvý krok, ktorý nič nestojí

Skôr než začnete čokoľvek riešiť technicky, spravte zoznam. Zoznam všetkých, kto sa vie vzdialene pripojiť k vašim riadiacim systémom, k automatom, k systémom SCADA alebo k strojom. Externé firmy aj vlastní ľudia. Zoznam dodávateľov IT na to nestačí, lebo tí sú v ňom len časťou.

Ten zoznam nič nestojí a dá sa začať tento týždeň. Zvyčajne prekvapí, o koľko je dlhší, než vedenie čaká. Keď ho máte, viete, koho sa opatrenia týkajú, a máte podklad pre zmluvnú aj technickú časť.

Druhá vec, ktorú väčšina firiem nevie, je, čo sa cez tie prístupy reálne deje. Na to slúži pasívny monitoring siete. Ukáže tie pripojenia, ktoré počas merania prebehli, a či zodpovedali dohodnutému režimu. Zoznam, ktorý si zostavíte sami, tým nenahradí, doplní ho o to, čo sa cez prístupy naozaj dialo. Ako to funguje, rozoberáme v sprievodcovi OT bezpečnosťou vo výrobnom podniku.

 

Časté otázky

Kto má vzdialený prístup do výrobnej siete?

Dve skupiny. Externé firmy, teda integrátor linky, servisné organizácie, dodávateľ systému SCADA, servis automatov a výrobcovia strojov. A vaši vlastní ľudia, čiže administrátori, technológovia a nezriedka aj vedenie. Nie je to len firma, ktorá linku postavila.

 

Prečo sú vzdialené prístupy väčšie riziko než bežný útok?

Vedú priamo k riadeniu výroby, nie do kancelárskej siete. Bývajú trvalé a roky nerevidované, a rozširujú váš bezpečnostný obvod o každú externú firmu s prístupom.

 

Prečo o týchto prístupoch IT oddelenie často nevie?

Vznikli na strane výroby a údržby pri stavbe liniek alebo pri riešení poruchy, mimo réžie IT. Preto ich IT nemá v evidencii a za ich bezpečnosť formálne nezodpovedá nikto. Týka sa to externých aj vlastných prístupov.

 

Dá sa vzdialený prístup dodávateľa zrušiť?

Zrušiť spravidla nie, výroba servis potrebuje. Dá sa ale dostať pod kontrolu, teda zmluvne ošetriť, časovo obmedziť, viesť cez kontrolovaný bod a zaznamenávať.

 

Ako zistím, kto všetko má vzdialený prístup?

Zostavením zoznamu všetkých, kto sa vie pripojiť k automatom, systémom SCADA alebo strojom, teda externých firiem aj vlastných ľudí. Čo sa cez prístupy dialo, doplní pasívny monitoring siete pre tie pripojenia, ktoré počas merania prebehli.


Ďalší krok

Neviete s istotou vymenovať, kto sa vie vzdialene pripojiť k vašej výrobe, ani to, kedy sa naposledy pripájal?

Technický bezpečnostný audit siete to ukáže. Trvá štyri týždne, z toho dvadsaťjeden dní meranie, stojí 2 785 eur bez DPH plus náklady spojené s inštaláciou a deinštaláciou sondy podľa spôsobu a miesta doručenia, a nezasiahne do prevádzky, lebo ju iba počúva. Na konci máte prehľad o tom, kto s čím počas merania komunikoval, vrátane vzdialených prístupov.

Napíšte nám a dohodneme termín inštalácie sondy.