Tradycyjna rola informatycznych systemów nadzorujących przebieg procesów technologicznych lub produkcyjnych (SCADA) obecnie podlega istotnym zmianom, co ma związek z rozwojem technologii Przemysłowego Internetu Rzeczy (IIoT), które odgrywają coraz większą rolę w przemyśle. Do nowych trendów rozwoju technologii muszą się dostosować również systemy SCADA.
Informatyczne systemy nadzorujące przebieg procesów technologicznych lub produkcyjnych (SCADA – Supervisory Control And Data Acquisition) oraz ogólnie przemysłowe systemy sterowania (ICS – Industrial Control Systems), obejmujące systemy SCADA, interfejsy operatorskie (HMI – Human-Machine Interfaces), systemy zarządzania budynkiem (BMS – Building Management Systems) oraz systemy komputerowego wsparcia zarządzania utrzymaniem ruchu (CMMS – Computerised Maintenance Management Systems) pierwotnie wywodzą się z tzw. technologii firmowych, które były rozwijane indywidulanie przez różne firmy i tradycyjnie odizolowane od infrastruktury informatycznej przedsiębiorstw. Dlatego też pierwotnie systemy te nie były projektowane z uwzględnieniem kwestii zapewnienia ich cyberbezpieczeństwa.
Tradycyjna rola systemów ICS, polegająca na sterowaniu procesami realizowanymi w zakładach oraz zapewnieniu bezpieczeństwa personelowi i środowisku, została rozszerzona o nowe funkcje umożliwiające dostarczanie kierownictwu firm informacji dotyczących sprzętu i procesów lub odpowiadaniu na polecenia płynące z ERP (systemu planowania zasobów) i innych systemów przedsiębiorstwa. Według przewodnika „Bezpieczne przejście na sieci SCADA/PLC oparte na protokole IP” („Securing the Move to IP-based SCADA/PLC networks”), opublikowanego przez brytyjską agencję rządową „Centrum Ochrony Infrastruktury Państwowej (CPNI – Centre for the Protection of National Infrastructure), sytuacja ta naraziła systemy ICS na potencjalne cyberzagrożenia. Obecne skoncentrowanie się na usieciowieniu systemów przemysłowych pod sztandarem wdrażania technologii Internetu Rzeczy (IoT – Internet of Things) i blisko z nim spokrewnionego Przemysłowego Internetu Rzeczy lub Przemysłu 4.0, oferuje olbrzymie potencjalne korzyści dla strategii agregacji danych i świadomości sytuacyjnej w zakładach przemysłowych. Jednakże urządzenia IIoT wykorzystują protokoły internetowe (IP), co zwiększa poziom zagrożenia cyberatakami.
Transformacja systemów sterowania w kierunku IIoT zakłóca rolę tradycyjnej sterowni w fabryce. Obecnie istnieje bowiem tendencja do wykorzystywania urządzeń mobilnych w celach monitoringu i sterowania (Nugent, Bailliencourt i Kaltenbacher, 2015). Pojawiający się kontekstowy komponent HMI systemów ICS opartych na technologii IIoT umożliwia zwiększenie wydajności produkcji działom operacyjnym i utrzymania ruchu, jednocześnie rozszerzając granice i obszary działania systemów ICS. Jednak dodaje się to również do zakresu zarządzania cyberzagrożeniami.
Filary cyberbezpieczeństwa
Dostawca nowoczesnej platformy ICS włącza Zarządzanie Cyberryzykiem i Cyberodpornością (Cyber Risk and Resilience Management), opracowane przez amerykańskie centrum badawczo-rozwojowe Software Engineering Institute, do zgodnego z normą ISO 9001 procesu zarządzania jakością w dziedzinie opracowania i produkcji wyrobów. Celem jest pozostanie transparentnym pod względem raportowanych wewnętrznie i zewnętrznie wrażliwości na cyberataki oraz szybkie działanie w celu zminimalizowania ryzyka dla klientów.
Współpraca z organizacjami normalizacyjnymi, takimi jak Instytut Inżynierów Elektryków i Elektroników (IEEE) oraz Międzynarodowa Komisja Elektrotechniczna (IEC), jest pomocna w osiągnięciu celu dzięki możliwościom prowadzenia otwartej dyskusji oraz dostępności informacji zwrotnych. Współpraca jest sprawą kluczową przy bardzo szybkim wdrażaniu zaleceń otrzymywanych od tych organizacji.
Amerykański Narodowy Instytut Standaryzacji i Technologii (NIST – National Institute of Standards and Technology) opracował pewną podstawową strukturę, która jest nieoceniona dla systematycznego identyfikowania kluczowych zasobów organizacji, identyfikowania zagrożeń i zabezpieczania kluczowych zasobów (Nugent i Hoske, Cyberbezpieczeństwo w systemach SCADA, 2015). Struktura ta składa się z czterech podstawowych elementów: identyfikacji, zabezpieczania, wykrywania i reagowania.
Rozpoznanie i zidentyfikowanie posiadanych zasobów
Przed Maratonem w Bostonie w 2016 r. amerykańska Narodowa Agencja Bezpieczeństwa Nuklearnego (NNSA– National Nuclear Security Administration) wykonała pomiary promieniowania tła przy wykorzystaniu nisko latających helikopterów. Pomiar naturalnie występującego promieniowania w celu ustanowienia poziomu odniesienia jest normalną częścią programu zabezpieczeń i gotowości awaryjnej (security and emergency preparedness, NNSA, 2016).
Ważne jest, aby prowadzić w firmie inwentaryzację posiadanych zasobów oraz przepływów danych w celu ustanowienia poziomu odniesienia normalnego zachowania systemu ICS. Sieci przemysłowe mogą być rozległe i złożone, zaś protokoły przemysłowe różnią się od tych wykorzystywanych w zwykłych sieciach informatycznych przedsiębiorstwa. Zautomatyzowane narzędzia, które mapują i monitorują sprzęt sieciowy, wykorzystując proste protokoły zarządzania siecią (SNM), zwiększają efektywność i dokładność zasobów inwentarza.
Narzędzia do inwentaryzacji i monitoringu, które współpracują z systemem sterowania, są ważnym czynnikiem przy ustanowieniu niezawodnego poziomu odniesienia dla systemu ICS. Monitoring systemu ICS za pomocą technologii, która jest w stanie tworzyć szablon poziomu odniesienia dla komunikacji pomiędzy systemem ICS, sterownikami PLC oraz innymi elementami automatyki, jest zatem sprawą kluczową. Takie systemy powinny być w stanie:
→ dokonywać ekstrakcji metadanych z danych przepływających przez sieć, przy użyciu czujników pasywnych;
→ dynamicznie tworzyć wizualny spis komponentów systemu oraz mapę połączeń;
→ rozpoznawać system ICS oraz dostarczać statystyczne i behawioralne opisy normalnych operacji;
→ zalecać działania prewencyjne;
→ uruchamiać reakcje na incydenty w zależności od potrzeb.
Urządzenia IIoT często komunikują się przy wykorzystaniu technologii bezprzewodowej. Różnica pomiędzy ogólnymi sieciami IT a sieciami ICS polega na użyciu statycznego adresu IP. Ponieważ sieci przemysłowe są obecnie coraz częściej podłączone do Internetu, to systemy monitorujące kondycję wyszukują zmiany lub duplikaty adresów IP oraz MAC, ruchy urządzeń lub kabli oraz nieautoryzowane połączenia. Środowisko to staje się bardzo skomplikowane po dodaniu czujników mobilnych podłączonych do sieci za pomocą bezprzewodowych punktów dostępowych z dynamicznymi adresami IP (Robles i Kim, 2010).
Zabezpieczenia sieci o „rozpływających się” granicach
Mike Ratte na ostatnim szczycie „Tech Talks” w Massachusetts przedstawił obecny stan zabezpieczeń sieci informatycznych (Centrify, 2016). Powiedział on, że „Tożsamość jest nową granicą”, uzasadniając to tym, że niemal połowa cyberwłamań jest spowodowana przechwyceniem danych uwierzytelniających. Hakerzy mają na celowniku wszystkie klasy użytkowników, w tym uprzywilejowanych, dlatego tradycyjne zabezpieczenia oparte na granicach sieci są niewystarczające oraz zabezpieczenia bazujące na politykach opartych o kontekst. Ta strategia pasuje bardzo dobrze do „rozpływających się” granic sieci (dissolving network perimeter) ICS, czerpiąc korzyści z otwartego usieciowienia, a zatem także z doświadczenia i wiedzy specjalistów od zabezpieczeń, zatrudnionych w przedsiębiorstwie.
Wskutek 63% potwierdzonych przypadków cyberwłamań spowodowanych słabymi, domyślnymi lub wykradzionymi hasłami (Verizon, 2016), zarządzanie uwierzytelnianiem plasuje się wysoko na liście cyberzagrożeń dla systemów ICS. Możliwość uzyskania fizycznego dostępu do systemu za pomocą skradzionego lub zgubionego urządzenia mobilnego rodzi potrzebę budowania mechanizmów silnego zarządzania uwierzytelnianiem. W sieciach przemysłowych pierwszy poziom obrony realizowany jest za pomocą firewalli, wirtualnych sieci prywatnych (VPN) i przełączników sieciowych. Dostawca systemu ICS musi zaszyfrować pliki konfiguracyjne, dostarczyć system monitoringu zdolny do wykrycia odbiegających od normy prób uzyskania połączeń sieciowych, wykorzystywać bezpieczne protokoły takie jak HTTPS i dawać zaawansowanym użytkownikom prawa zintegrowane z usługami Microsoft Active Directory. Współczesny system ICS może i powinien być dopasowany do strategii rozwoju sieci z mechanizmami silnego zarządzania tożsamościami. Za pomocą usługi Active Directory, będącej podstawowym repozytorium zarządzania tożsamościami, możliwe jest użycie przez użytkownika systemu ICS jednego podpisu dla wszystkich aplikacji.
Ed Nugent jest dyrektorem operacyjnym w firmie PcVue Inc.
Mike Ratte jest dyrektorem regionalnym w firmie Centrify Corp.
