Nebezpečí přichází z chytrých továren

S rostoucím počtem chytrých výrobních závodů využívajících M2M, senzory a další informační a telekomunikační technologie roste i jejich lákavost pro útočníky.

Výroba, energetika a sektory technické infrastruktury údajně utratí v roce 2019 globálně dohromady 206,51 miliardy eur za informační a telekomunikační technologie, uvádí Shuba Ramkumarová, výzkumná analytička ve společnosti Frost & Sullivan.

Organizace připojují k internetu systémy, které kdysi ponechávaly z bezpečnostních důvodů záměrně oddělené.

„Chytré výrobní závody čelí novým výzvám v důsledku stále se rozšiřující konektivity jejich řídicích systémů, jak se připojují a spoléhají na firemní provoz, vzdálený monitoring a řízení,“ uvádí Graham Speake z institutu SANS, který působí v oblasti průmyslové kybernetické bezpečnosti už více než třicet let.

Možná byste si mysleli, že většina prodejců plánuje přísnější a efektivnější bezpečnostní opatření pro chytré výrobní závody – jak nyní, tak i pro budoucnost. Jeden z expertů však tvrdí, že tomu tak prostě není.

„Na základě své komunikace s dodavateli v průmyslovém konsorciu IIC – Industrial Internet Consortium – vidím, že se vynořuje velký problém. Mnoho dodavatelů má naivní představu o produktovém ekosystému tak robustním, že může každý hlupák pospojovat hromadu krabiček dohromady, jakkoli si usmyslí, a získá tím bezpečný systém, říká Andrew Gitman, spolupředseda pracovní skupiny ISA SP-99 Working Group 1, která reviduje zprávu SP-99 o počítačových technologiích zabezpečení.

O konceptech, jako jsou silné šifrování, detailní nastavení a řízení přístupu podle rolí, se podle něj pouze mluví. Nejsou to však řešení. Ignorují důležité režimy útoků.

Zranitelnosti chytrých výroben

Chyb u chytrých výrobních závodů je mnoho. Samotné hrozby pro tento typ továren zahrnují prostředí cloud computingu, připojená zařízení (IoT – internet věcí), bezdrátovou komunikaci a mobilní zařízení.

Obavy z cloud computingu zahrnují nejistotu skutečného umístění hostovaných dat a zda, jak a jak dobře zabezpečují tato data cloudové služby či poskytovatelé cloudu.

„Bez řádného zabezpečení je síťový přístup do cloudu, a to i prostřednictvím privátních připojení, zranitelný vůči kybernetickému útoku,“ prohlašuje Ramkumarová.

Připojená zařízení, resp. IoT, jsou stále poměrně mladou technologickou oblastí. Jakákoli nová technologie je méně bezpečná než ta, která má za sebou dlouhou historii objevování a oprav zranitelností. S již obrovským a rychle rostoucím počtem připojených zařízení na úrovni výrobního závodu nás rizika plynoucí z této novosti rychle dostihnou.

Nejsou to však jediné hrozby, že se zařízení internetu věcí mohou stát nástrojem útoku. „V každém z těchto řešení existuje trvalá hrozba pro bezpečnost dat a také riziko zneužití,“ uvádí Ramkumarová.

Bezdrátové útoky včetně útoků typu MITM (člověk uprostřed) postihují přenosy a data při přesunu. Bezdrátová mobilní zařízení, která používají zaměstnanci provozů výrobních závodů, často postrádají zabezpečení pro ochranu dat a výrobních procesů. „To může daným výrobcům způsobit ztráty dat i samotné produkce,“ upozorňuje Ramkumarová.

Útočníci už vědí, jak podkopat bezpečnostní opatření chytrých výrobních závodů. Šifrování není pro útočníka žádným soupeřem, když má v sobě kódovací software díru, kterou dokáže využít.

„Tyto útoky na úrovni platformy se zaměřují na samotný software. Koho zajímá, zda máme šifrování se sílou mnoha bitů, když má v sobě příslušná aplikace zranitelnost typu přetečení zásobníku?“ ptá se Gitman. Chyba označovaná jako Krvácející srdce (Heartbleed) je krásným katastrofickým příkladem díry v šifrovacím softwaru.

Jakmile útočník zkompromituje koncové body, může zahájit útoky prostřednictvím těchto zařízení, a to navzdory předpokládané ochraně šifrováním, dvoufaktorové autentizaci i detailně nastaveným pověřením účtů, upozorňuje Gitman.

Pro útočníky jsou technologie chytrého výrobního závodu přístupné také prostřednictvím kompromitace poskytovatelů cloudových služeb, i když má podnik přístup k poskytovateli zabezpečený pomocí připojení VPN se silnou dvoufaktorovou autentizací a oprávněním jen pro čtení.

Když tento poskytovatel zajistí připojení k technologii chytrého výrobního závodu, například k databázové platformě, může útočník používat útoky přes fuzzing a přetečení zásobníku přes tento bezpečný účet s oprávněním jen pro čtení namísto předpokládaných dotazů na data, vysvětluje Gitman.

„Pokud tyto útoky přes cloud fungují, použije útočník připojení „jen pro čtení“ ke kompromitaci databázového serveru. Nyní má útočník kontrolu nad serverem v průmyslovém řídicím systému a může se rozhlédnout a pracovat na hlubším vniknutí do systému, aby mohl vykonat svůj sabotážní plán,“ vysvětluje Gitman.

Kam se obrátit

Podniky musejí nejprve použít standardy pro ochranu hardwaru a aplikací chytrých výrobních závodů. Pomoc s řešením zabezpečení chytrého výrobního závodu lze očekávat od standardů pracovních skupin IETF (Internet Engineering Task Force) CoRE, ROLL a 6LoWPAN.

Standardy IETF ROLL (Routing Over Low power and Lossy networks) by zase měly pomoci s komunikací a zabezpečením pro M2M podle projektu IOT-A s názvem „Project Deliverable D3.1 – Initial M2M API Analysis“, zatímco práce IETF CoRE (Constrained RESTful Environments) by měla podle údajů IETF.org podpořit zabezpečení zdrojově orientovaných aplikací pracujících v omezených sítích IP.

Práce IETF zakončená v její pracovní skupině 6LoWPAN (IPv6 over Low power Wireless Personal Area Networks) by měla podle údajů z IETF.org pomoci zajistit, aby se zařízení s nízkou spotřebou a omezenými možnostmi zpracování mohla zapojit do internetu věcí.

„Internet věcí je rozvíjející se prostor, kde je stále potřebné hledat řešení pro standardy. Průmysl potřebuje udělat takové kroky, aby byla bezpečnostní opatření pro kybernetickou bezpečnost jasná jako použitelné průmyslové standardy,“ prohlašuje Ramkumarová. 

Největší výzvou pro budoucnost zabezpečení chytrých výrobních závodů je myšlenka, kterou mají někteří dodavatelé – aby bylo možné propojovat sítě bez obav namísto jejich udržování v odděleném stavu.

„Stoupenci chytrých výrobních závodů věří, že stačí kryptograficky autentizovat veškerou komunikaci a vše bude v pořádku. Uděláme-li to, co tito zastánci prohlašují, a připojíme-li naše nejnovější ultrabezpečná síťová zařízení přímo do internetu, nevydrží tyto systémy ani měsíc,“ varuje Gitman.

Útočníci by podle něj prostě našli neobjevená zranitelná místa, zranitelnosti nultého dne a hardware chytrých výrobních závodů zkompromitovali.

Pro zmírnění tohoto problému je důležité udělat reorganizaci pomocí zabezpečení perimetru. Firewally svojí povahou umožňují průchod některým datům a to, co povolí, se může stát nosičem pro pakety útoku dovnitř a ven z chytrého výrobního závodu.

„Použijte pro perimetry IT/OT (Information Technology/Operational Technology) jednosměrné brány založené na hardwaru namísto klasických firewallů,“ radí Gitman. Tato zařízení umožní tok informací ven a zabrání útokům zneužívat zpětné přenosy a parazitovat na nich.

„Nejnovější francouzské standardy ANSSI pro kybernetickou bezpečnost pro kritické infrastruktury vyžadují jednosměrné brány pro nejdůležitější třídy řídicích sítí. Tyto standardy jsou vynucované jen pro nejmodernější řídicí sítě, což zahrnuje i nejchytřejší a nejpokročilejší sítě,“ vysvětluje Gitman.

Na rozdíl od jednosměrných zařízení z minulosti umožňují moderní technologie instalaci aktualizací zabezpečení, dávkové zpracování instrukcí a volbu dat vracených do chytrého výrobního závodu disciplinovaným způsobem, bez zranitelností, které se vyskytují ve firewallech, tvrdí Gitman.

Brány jsou ale jen jednou komponentou bezpečného rozhraní chytrého výrobního závodu. Podniky musejí i nadále investovat do komplexního programu zabezpečení, který zahrnuje vzdělávání, školení pro zvýšení povědomí, plánování reakcí na incidenty, plánování nepřetržitého provozu a obnovy po havárii, zabezpečení dodavatelského řetězce, návrhu systémů, hodnocení bezpečnosti a programů správy oprav, připomíná Speake.

„Je důležité začít a pokračovat ve všech klíčových aspektech budování komplexního programu, který pomáhá chránit vaše lidi, majetek a informace,“ uzavírá Speake. 

Tento příspěvek vyšel v Security Worldu 4/2016. Časopis (starší čísla i předplatné těch nadcházejících) si můžete objednat na adrese našeho vydavatelství.