Egy ipari kibertámadás sokszor nem a gyártósoron, hanem egy teljesen hétköznapi e-maillel kezdődik. A támadók az informatikai rendszereken keresztül fokozatosan juthatnak el az üzemi hálózatokig, végül pedig akár a gépek és technológiai folyamatok működését is befolyásolhatják.

Egy átlagos munkanapon egy gyártóvállalat alkalmazottja e-mailt kap egy ismert beszállító nevében. Az üzenet hitelesnek tűnik, mindössze egy dokumentum ellenőrzését kéri, amelyhez egy bejelentkezési linket mellékeltek. A munkatárs rákattint, megadja az adatait – és ezzel akár egy egész támadási lánc kezdetét teremtheti meg.

A modern ipari kibertámadások ugyanis egyre ritkábban kezdődnek közvetlenül a gyártóberendezéseknél. A támadók számára sokkal egyszerűbb belépési pontot jelenthetnek a vállalati informatikai rendszerek és maga a felhasználó.

Az IT-rendszer csak a belépési pont

A kockázatot növeli, hogy a vállalati IT és az üzemeltetési technológia, vagyis az OT egyre szorosabban kapcsolódik egymáshoz. A termelési adatok elemzése, a távoli karbantartás, a felhőalapú szolgáltatások és a valós idejű adatcsere mind olyan kapcsolatokat teremtenek, amelyek nélkülözhetetlenek a korszerű gyártáshoz, ugyanakkor új támadási lehetőségeket is jelentenek.

Egy megszerzett felhasználói fiók, VPN-hozzáférés vagy e-mail-fiók már elegendő lehet ahhoz, hogy a támadó megvesse a lábát a vállalati hálózatban. Innen kezdődhet a rendszer feltérképezése. A támadó nem feltétlenül cselekszik azonnal: akár napokig vagy hetekig is észrevétlen maradhat, miközben jogosultságokat, kapcsolatokat és potenciális továbblépési lehetőségeket keres.

A folyamat jól szemléltethető az ipari rendszereknél alkalmazott Purdue-modellel, amely hierarchikus szintekre bontja a vállalati IT- és OT-infrastruktúrát. A megfelelő hálózati szegmentáció egyik feladata éppen annak megakadályozása, hogy egy felsőbb szinten bekövetkező incidens akadálytalanul továbbterjedhessen a termelési rendszerek felé.

A zsarolóvírus még nem feltétlenül a végállomás

A vállalati hálózatba bejutva a támadó hozzáférhet megosztott meghajtókhoz, érzékeny üzleti információkhoz, illetve olyan kritikus rendszerekhez, mint az ERP- vagy MES-megoldások. Ezek kiesése önmagában is súlyos fennakadást okozhat a termeléstervezésben, a logisztikában vagy a karbantartásban.

Az egyik legismertebb forgatókönyv a zsarolóvírus-támadás. Az adatok titkosítása és a vállalati rendszerek elérhetetlenné válása rövid idő alatt megbéníthatja a működést. Egy kifinomultabb ipari támadásnál azonban mindez akár csak egy állomás lehet: az igazi cél az OT-környezet elérése.

Ha az IT- és OT-hálózat közötti szegmentáció nem megfelelő, a távoli hozzáférések gyengén védettek, vagy indokolatlanul széles jogosultságok állnak rendelkezésre, a támadó továbbhaladhat a termelési infrastruktúra felé.

Amikor már a termelési rendszer a cél

A SCADA-rendszerek és az üzemi adatbázisok szintjén a támadás jellege megváltozhat. A cél ilyenkor sokszor már nem a látványos károkozás, hanem éppen az észrevétlenség.

A támadók olyan legitim rendszergazdai eszközöket is használhatnak, mint a PowerShell, a távoli felügyeleti megoldások vagy különféle szkriptek. A „living off the land” néven ismert módszer azért különösen veszélyes, mert a támadó a rendszerben eleve megtalálható eszközökkel dolgozik. Emiatt tevékenysége nehezebben különíthető el a normál üzemeltetési műveletektől.

Ha a támadás eléri az operátori munkaállomásokat és a HMI-rendszereket, már közvetlenül befolyásolhatóvá válhat a technológiai folyamatok felügyelete. Módosíthatók a konfigurációk vagy a képernyőkön megjelenő információk, szélsőséges esetben pedig az operátor úgy érzékelheti, hogy minden a normál paraméterek között működik, miközben a tényleges folyamat ettől eltér.

Ettől kezdve már nem egyszerű informatikai incidensről beszélünk, hanem az ipari folyamatok működését érintő biztonsági eseményről.

A digitális támadás fizikai kárrá válhat

A következő kritikus szintet a PLC-k, RTU-k és más ipari vezérlőberendezések jelentik. Számos ipari kommunikációs protokollt olyan időszakban fejlesztettek ki, amikor a hálózatba kapcsolt rendszerekkel szemben még egészen más biztonsági követelmények érvényesültek. Emiatt egyes környezetekben a megfelelő hitelesítés vagy titkosítás hiánya ma komoly kockázatot jelenthet.

Ha egy támadó eljut a vezérlőkig, már nemcsak adatokat szerezhet meg. Megváltoztathatja a vezérlési logikát, módosíthatja a működési paramétereket, vagy olyan utasításokat adhat, amelyek közvetlenül hatnak a technológiai folyamatra.

Ennek következménye lehet egy berendezés túlterhelése, a gyártási folyamat lassítása vagy leállítása, illetve kritikus esetben fizikai károsodás is.

A támadási lánc végén ugyanis már nem számítógépek állnak, hanem valódi ipari berendezések: motorok, szelepek, szivattyúk, turbinák, szállítószalagok vagy akár összetett vegyipari folyamatok. Ha a támadó az érzékelők adatait vagy a vezérlési paramétereket is manipulálni tudja, a tényleges technológiai állapot eltérhet attól, amit az operátor a képernyőn lát.

A kibertámadás ebben a pillanatban üzembiztonsági problémává válik, amely a termeléskiesésen és a pénzügyi károkon túl a berendezéseket, a dolgozók biztonságát és akár a környezetet is veszélyeztetheti.

A teljes támadási láncot védeni kell

Az ipari kiberbiztonság egyik legfontosabb tanulsága, hogy egy támadás nem feltétlenül egyetlen látványos esemény. Kezdődhet egy adathalász e-maillel vagy kompromittált felhasználói fiókkal, majd fokozatosan haladhat az IT-rendszerektől az OT-infrastruktúrán keresztül egészen a fizikai folyamatokig.

Ezért az OT-biztonság sem korlátozható kizárólag a PLC-k vagy az ipari hálózat védelmére. A felhasználói hozzáférésektől és a felhőszolgáltatásoktól kezdve a távoli kapcsolatokon és az IT/OT hálózati szegmentáción át egészen a vezérlőrendszerekig egységes biztonsági szemléletre van szükség.

A magyar gyártó- és feldolgozóipar gyors digitalizációja, az IT és OT egyre szorosabb összekapcsolódása, valamint az olyan szabályozási követelmények, mint a NIS2, ezt egyre sürgetőbbé teszik. Egyetlen rossz kattintást valószínűleg soha nem lehet teljes bizonyossággal kizárni. A megfelelően kialakított ipari kiberbiztonsági architektúra feladata ezért az, hogy ez az egyetlen kattintás ne vezethessen el egészen a gyártósor leállásáig.

Ha feliratkozik a Műszaki Magazin Hírlevelére, sosem marad le a híreinkről! További friss híreket talál a Műszaki Magazin főoldalán! Csatlakozzon hozzánk a Facebookon is!