Sprawą kluczową jest posiadanie z zakładzie przemysłowym odpowiedniej platformy systemowej i narzędzi cyberbezpieczeństwa, które pomagają w zapobieganiu cyberatakom skierowanym w systemy SCADA, działające w oparciu o chmurę obliczeniową.
Komputerowe systemy sterowania procesami technologicznymi i produkcji (SCADA), działające w oparciu o chmurę obliczeniową, oferują potencjał większej elastyczności, skalowalności i pewności działania. Ponadto technologia chmury to rozwiązanie obiecujące pod względem możliwości znacznych redukcji wydatków kapitałowych, przewidywalności kosztów, szybkiego wdrażania i szybkiego przystosowywania się do zmian podczas dodawania lub wymiany zasobów w zakładzie przemysłowym. Ten bardziej efektywny model wdrożenia systemów SCADA, działających w oparciu o chmurę, pozwala na ich projektowanie tak, aby maksymalnie zredukować bariery umożliwiające ich wykorzystanie w wielu gałęziach przemysłu.
Zakład wykorzystujący system SCADA w chmurze nie musi dysponować centrum sterowania czy kopiami zapasowymi. Użytkownicy mogą wykorzystywać infrastrukturę chmury od swojego preferowanego dostawcy usług i przejść od modelu CAPEX (wydatki inwestycyjne na rozwój produktu lub wdrożenie systemu) na model OPEX (wydatki związane z utrzymaniem produktu, biznesu czy systemu). Czas realizacji projektu SCADA może zostać skrócony z 8?10 miesięcy do kilku tygodni. Ponadto użytkownicy mogą rozpocząć działania wcześniej, z mniejszą ilością zasobów i dodawać je lub usuwać według potrzeb. Dodatkowo używane wersje oprogramowania są zawsze najnowsze. Tak więc technologia chmury stale przynosi korzyści firmom, które zdecydują się z niej skorzystać.
Na przykład w projekcie wykonanym dla pewnej firmy w Kanadzie, zajmującej się wydobyciem ropy naftowej i gazu oraz produkcją wyrobów ropopochodnych, wykorzystano system SCADA bazujący na zasobach zewnętrznych. Ponad 300 szybów zostało podłączonych do sieci w ciągu miesiąca od podpisania zamówienia z dostawcą usług.
Systemy SCADA w chmurze a cyberbezpieczeństwo
System SCADA w chmurze może oferować niezawodne i bezpieczne podejście do sterowania w przemyśle. Zasoby i fachowcy w zakładzie mogą być uzupełnieni przez zdalne wsparcie, ciągły monitoring oraz automatyczne aktualizacje, realizowane przez dostawcę usług. Pod wieloma względami projekt komunikacji jest podobny do rozwiązań oferowanych we wcześniejszych systemach SCADA, jednak obecnie znacznie większego znaczenia nabiera kwestia solidnego projektu w zakresie cyberbezpieczeństwa.
Problem cyberbezpieczeństwa jest kluczowy w takich systemach, ponieważ rośnie liczba zagrożeń dla przemysłowych systemów sterowania (ICS). Przejście na digitalizację w przemysłowych systemach sterowania zwiększyło ryzyko cyberzagrożenia. Sprzęt obsługiwany ręcznie ma jedną podstawową zaletę: nie można go zhakować. Ponieważ w najnowszych systemach funkcje sterowania są zautomatyzowane, zakres potencjalnych celów do ataku się zwiększa. Zwiększone usieciowienie, przy wielu urządzeniach wykorzystujących technologię Przemysłowego Internetu Rzeczy (IIoT), przyniosło wiele korzyści, jednak także zwiększyło obawy o cyberbezpieczeństwo.
Nie chodzi tylko o zasięg ataku czy ilość słabych punktów, ale potencjalne, znaczące konsekwencje cyberwłamań. Zwiększone wymagania określone przepisami oznaczają, że firmy ryzykują poważne naruszenie swojej reputacji i poniesienie znacznych kosztów (w kategoriach kar za nieprzestrzeganie przepisów), nawet w przypadku nieskutecznego włamania. Jednocześnie ataki, które okazały się skuteczne, pokazały, że zagrożenia są daleko poważniejsze od teoretycznych. Oto kilka przykładów:
? Hakerzy z rosyjskiej grupy Sandworm spowodowali wyłączenie dopływu energii elektrycznej dla ponad miliona ludzi na Ukrainie w 2016 r. ? po wzięciu na celownik USA.
? Wirus Shamoon sparaliżował dziesiątki tysięcy komputerów w firmach energetycznych na Bliskim Wschodzie w 2012 r. i pojawił się ponownie cztery lata później.
? Oprogramowanie typu ransomware WannaCry rozprzestrzeniło się na całym świecie w ubiegłym roku i zainfekowało ponad jedną trzecią szpitali Brytyjskiej Narodowej Służby Zdrowia; jednak atak nie dotyczył tylko szpitalnych systemów komputerowych, ale i sprzętu medycznego ? aparatów do obrazowania metodą rezonansu magnetycznego (MRI) i analizatorów krwi.
Według firmy Kaspersky Lab ponad połowa zakładów przemysłowych doświadczyła już jakiejś formy incydentu związanego z cyberbezpieczeństwem, zaś trzy czwarte ma świadomość, że ich system sterowania ICS może zostać zaatakowany.
Przeciwdziałanie rosnącej liczbie i zakresowi cyberataków
Liczba i zakres cyberataków rośnie w miarę ewoluowania zagrożeń. Najbardziej niepokojące jest to, że systemy sterowania są docelowym obiektem dla hakerów. W gru-dniu 2017 r. hakerzy zaatakowali system bezpieczeństwa pewnego obiektu infrastruktury krytycznej ? co opisano jako moment przełomowy w cyberbezpieczeństwie przemysłowym. Jednak w rzeczywistości wystąpił on po ataku na systemy bezpieczeństwa firmy naftowej na Bliskim Wschodzie.
W przeciwdziałaniu tym zagrożeniom firmom przeszkadza wiele czynników. Pierwszym z nich jest ogólny brak fachowców, wynikający z szybko odchodzących na emeryturę, doświadczonych pracowników, oraz brak umiejętności technicznych nowych pracowników. Z raportu Talent Insight Index firmy rekrutacyjnej Petroplan wynika, że więcej niż jeden na pięciu ankietowanych z sektorów ropy, gazu i energii podało, że jego firma cierpi na brak utalentowanych osób umożliwiających rozwój, a ponad jedna trzecia respondentów jest zdania, że ich firmy potrzebują ludzi o większych umiejętnościach informatycznych, ze względu na uzależnienie od digitalizacji oraz wzrost znaczenia analityki Big Data.
Tymczasem w biznesie utrzymują się tzw. silosy informacyjne ? pomiędzy różnymi zakładami jednej firmy, firmami należącymi do grup oraz szczególnie pomiędzy personelem informatycznym (IT) a operacyjnym (OT), pomimo istnienia konwergencji tych dwóch technologii.
Realizacja działań, przy jednoczesnym utrzymywaniu silosów informacyjnych, stwarza wiele zamieszania w tym, kto zajmuje się i jest odpowiedzialny za określone ryzyka. Jest to znaczące, ponieważ tradycyjne podejścia do technologii IT i OT się różnią. To znaczy dostępność w przestrzeni operacyjnej ma większy priorytet i jest niezbędna w wielu przypadkach dla zachowania bezpieczeństwa. A zatem odpowiednie rozwiązania bezpieczeństwa dla IT i OT różnią się zasadniczo.
Przy niewielkiej liczbie spójnych standardów cyberbezpieczeństwa nie ma rozwiązania uniwersalnego dla podejścia do wdrożenia strategii cyberbezpieczeństwa.
Wyzwania związane z cyberbezpieczeństwem
Dla systemów SCADA, bazujących na chmurze, istnieją dwa kluczowe zagrożenia w kategoriach cyberbezpieczeństwa.
Po pierwsze środki cyberbezpieczeństwa są ignorowane lub stosowane nieadekwatnie. Niezabezpieczone połączenia przez satelitę lub infrastrukturę radiokomunikacyjną dają hakerom okazję do wzięcia na cel nawet odległych obiektów i włamania się do chmury obliczeniowej lub ich systemu SCADA. Na przykład każdy niezabezpieczony zawór w zakładzie staje się znaczącym potencjalnym elementem dla cyberwłamania.
Po drugie informacje o zagrożeniach są przesadzone do tego stopnia, że firmy przemysłowe odkładają wdrożenie technologii chmury. Oznaczałoby to nie tylko, że przegapią korzyści wynikające z implementacji SCADA opartych na chmurze pod względem wydajności, co miałoby potencjalnie większy skumulowany wpływ na przemysł, ale również w perspektywie długoterminowej, gdzie korzyści są znaczenie większe niż straty wynikające z któregokolwiek z cyberataków, które miały miejsce do tej pory. Mało prawdopodobne jest również uzyskanie przez takie firmy korzyści w zakresie zwiększenia ogólnego ich bezpieczeństwa ? z powodu braku fachowców i zasobów własnych w zakresie przeciwdziałania cyberzagrożeniom.
Jest to oczywiste, gdy analizuje się ścieżki ataków, okoliczności wystąpienia cyberwłamań oraz sposoby wprowadzenia złośliwego oprogramowania lub dostania się hakerów do systemu. Hakerzy wykorzystują powszechnie występujące słabe punkty:
? niezabezpieczone punkty połączeń ze środowiskiem ICS, gdzie wykorzystywany jest sprzęt pochodzący od wielu różnych producentów;
? zabezpieczenia sieci zewnętrznej lub biurowej są niewystarczające, co powoduje zagrożenie;
? pracownicy i współpracownicy padają ofiarą ataków typu phishing lub spear phishing albo poprzez swoje laptopy, smartfony, smartwatche, urządzenia IoT czy pamięci pendrive.
Zabezpieczanie punktów dostępu
Dane z systemów SCADA są informacjami, których ujawnienie jest zasadniczo niegroźne. System zbiera i wyświetla dane z programowalnych sterowników logicznych (PLC) lub modułów zdalnych (RTU). Zasadniczo ma tam miejsce przepływ danych tylko w jedną stronę. Dane te dają obraz statusu urządzeń i procesów w zakładzie. Nie jest to funkcja sterowania. Bezpieczeństwo jest ważne, gdy bierzemy pod uwagę system SCADA w chmurze, ale nie jest to wyzwanie nie do pokonania.
Głównym problemem do rozwiązania przy zabezpieczaniu zdalnych rozwiązań w systemach SCADA jest brak centralizacji. Istotne staje się bowiem zabezpieczenie wielu punktów dostępu (rys. 1), wykorzystywanych przez zdalnych pracowników, wykonawców, klientów i dostawców systemów sterowania oraz firmy zewnętrzne produkujące sprzęt i oprogramowanie (tam, gdzie uzyskują one zdalne połączenie w celu instalowania aktualizacji i łatek, realizacji monitoringu lub udzielania wsparcia).
Duża ilość punktów dostępu i brak centralnego nadzoru oraz kontroli może być przyczyną wielu problemów, w tym:
? tylko częściowej dostępności danych dotyczących zasobów i zdarzeń,
? brak prawidłowej stabilności systemu,
? brak prawidłowego monitoringu i zarządzania,
? brak prawidłowego planowania i odpowiedzialności w kwestiach cyberbezpieczeństwa.
Firmy muszą ufać, że personel wykonujący połączenia przez te punkty dostępu i zarządzający takimi połączeniami robi to w bezpieczny sposób ? co często okazuje się założeniem błędnym.
Problem ten będzie coraz bardziej wyraźny w miarę wzrostu liczby urządzeń technologii IIoT podłączonych do sieci. Idąc dalej, istnieje coraz większa potrzeba wykonywania zaawansowanej analityki Big Data w celu pozyskania wartościowych informacji z wielkich ilości różnorodnych i zmiennych w czasie danych, generowanych w zakładach, dzięki ich przetwarzaniu również w systemach sztucznej inteligencji. Możliwości tej analizy będą zlokalizowane albo w zakładzie, albo w chmurze obliczeniowej, co będzie wymagało bezpiecznego ?tunelu? do przesyłu danych (rys. 2).
Scentralizowane cyberbezpieczeństwo
Kluczem do systemu SCADA opartego na chmurze obliczeniowej jest bezpieczeństwo w tej chmurze ? scentralizowane bezpieczeństwo uzyskiwane poprzez oparte na chmurze centrum zabezpieczeń i centrum komunikacyjne (rys. 3).
To centrum zabezpieczeń może obsługiwać uwierzytelnianie połączeń, zapewniając, że są one zweryfikowane przed przyznaniem dostępu do serwera komunikacyjnego. W międzyczasie serwer komunikacyjny podejmuje uwierzytelnianie za pomocą zabezpieczenia VSE (virtual security engine), zlokalizowanego w każdej fabryce czy zakładzie. VSE może także zainicjować połączenie z serwerem komunikacyjnym ze zdalnego zakładu i może być zautomatyzowane, tak aby działało w określonych przedziałach czasowych lub terminach, tak więc serwer nie musi być ciągle połączony.
Wszystkie przepływy danych z tych fabryk czy zakładów mają miejsce poprzez bezpieczny tunel, wykorzystując port 443 z szyfrowaniem TLS (transport layer security). Ponadto można narzucić regułę firewalla dla wszystkich połączeń zdalnych. Takie podejście tworzy w efekcie rozproszoną architekturę z bezpiecznymi tunelami, biegnącymi od oddziałów operacyjnych do odległych zakładów.
Ruch sieciowy z fabryk lub zakładów jest kierowany poprzez bezpieczny tunel, podczas gdy serwer komunikacyjny jest chroniony za pomocą firewalla. Jednak jeśli konieczne będzie zainstalowanie łatki lub innej aktualizacji, to bezpieczne połączenie może być także wykorzystane do umożliwienia technikom zdalnego dostępu.
To scentralizowane podejście do cyberbezpieczeństwa daje działom operacyjnym możliwość definiowania, automatyzowania i monitorowania polityk bezpieczeństwa w całym środowisku SCADA, dając zwiększoną widoczność, niezawodność i zgodność z normami i przepisami. Organizacje mogą centralnie definiować polityki w całej fabryce, wdrażać je poufnie i automatyzować produkcję oraz monitoring. Dzięki temu wszystkie odległe zasoby w terenie są zabezpieczone z centrum zabezpieczeń.
W połączeniu z platformą top-down zarządzania bezpieczeństwem architektura ta może być wykorzystana do zapewniania wysokiego poziomu bezpieczeństwa systemu ICS, zgodnie z założeniami platformy Cybersecurity Framework Narodowego Instytutu Standaryzacji i Technologii USA (National Institute of Standards and Technology ? NIST). Platforma ta definiuje standardy przemysłowe i najlepsze praktyki, które pomagają organizacjom w zarządzaniu zagrożeniami dla cyberbezpieczeństwa. Łączenie scentralizowanego sterowania z platformą zarządzania bezpieczeństwem daje firmom możliwość konsekwentnego spełniania wymagań tych standardów we wszystkich swoich zakładach (tabela).
Funkcjonujące już manualne procesy bezpieczeństwa, takie jak instalowanie łatek, nie są dobrze skalowalne. Systemy SCADA oparte na chmurze mogą je centralizować i automatyzować, jednocześnie oferując stabilność, widoczność i kontrolę nad cyberbezpieczeństwem w całej firmie.
Systemy SCADA oparte na chmurze oferują znaczne korzyści, jednak obawy o bezpieczeństwo mogą spowodować, że dana organizacja nie wdroży takiego systemu. Na szczęście dzięki odpowiedniej architekturze i cyberbezpieczeństwu firmy mogą uzyskać korzyści z technologii chmury obliczeniowej, jednocześnie minimalizując ryzyko cyberataku.
Rusty Gavin jest menedżerem kanału OEM Cyberbezpieczeństwa Przemysłowego w firmie Honeywell.
