Bezpieczeństwo systemów SCADA

Sieci typu SCADA egzystują od wielu lat i w związku z tym nie były projektowane tak, jak dzisiejsze sieci komputerowe, które uwzględniają możliwości ataków hakerskich. W 2015 roku wielu producentów oprogramowania typu Firewall podniosło temat ochrony SCADA, polegającej na odizolowaniu sieci przemysłowej od sieci produkcyjnej. Ze względu na sam charakter sieci przemysłowych oraz to, że są one w użyciu już od wielu lat, nowe systemy obrony bardzo często nie wspierają starszych interfejsów szeregowych, takich, jak RS232 i innych.

Z drugiej strony istnieje wiele źródeł ataków na systemy SCADA, które nie wykorzystują styku sieci komputerowej z przemysłową. Banalnym przykładem, który można przytoczyć na potwierdzenie tego faktu jest np. zainfekowanie komputera serwisanta, który zostaje podłączony bezpośrednio do komputera sterującego urządzenia przemysłowego. Innym ewentualnym atakiem może być zamiana oprogramowania urządzeń przemysłowych, co umożliwi sprawcom ataku przejęcie pełnej kontroli nad nimi. Może do tego dojść np. przez atak na witrynę internetową producenta tych urządzeń.

Spektakularny cyber-atak

Atak na instalację zakładów jądrowych w Iranie w 2009/2010 r. jest jednym z pierwszych spektakularnych i udokumentowanych zdarzeń cybernetycznych dotyczących infrastruktury krytycznej. Doszło do niego w jednym z kluczowych irańskich laboratoriów badań jądrowych. Ofiarą cyberataku padło od 1000 do 3000 wirówek używanych do wzbogacania uranu, a do ataku hakerskiego użyto zmodyfikowaną wersję wirusa Stuxnet. Stuxnet wykorzystuje cztery błędy typu „zero day” w systemach operacyjnych Microsoftu, używa dwóch certyfikatów cyfrowych do instalowania się w systemie, bez zwracania na siebie uwagi oraz potrafi przeprogramowywać produkowane przez firmę Siemens sterowniki PLC, których Iran używa w swoich instalacjach atomowych.

O wyjątkowości Stuxneta decyduje sposób, w jaki powstał i działał. Samo wykrycie czterech podatności typu „zero day”, czyli takich, których producenci programów jeszcze nie zdążyli „załatać“ (dwie pozwalające uzyskać prawa administratora, dwie umożliwiające replikację wirusa), wymaga albo długotrwałej i mozolnej pracy, albo wydania znacznych sum pieniędzy. Wprowadzenie Stuxneta do środowiska informatycznego elektrowni w Iranie nie nastręczyło autorom cyberataku większych problemów: wykorzystali oni do tego najprawdopodobniej jednego z poddostawców lub naukowca, który zakaził system, podłączając do niego nośnik USB. Następnie wirus rozprzestrzenił się w elektrowni, aż trafił do komputera, na którym zainstalowane było oprogramowanie Siemens SIMATIC Step 7 lub WinCC. Wtedy uruchomił swoją podstawową funkcjonalność, która doprowadziła do uszkodzenia funkcjonujących w elektrowni wirówek. Sam proces infekcji i rozprzestrzeniania się dzielił się na kilka etapów.

Najpierw wirus sprawdzał, czy ma do czynienia z 32-bitową wersją systemu (64-bitowe nie były infekowane), potem weryfikował, jakiego rodzaju oprogramowanie antywirusowe jest zainstalowane na stacji i odpowiednio dobierał metodę uzyskania praw administratora przy wykorzystaniu właściwej podatności. Po uzyskaniu praw administratora Stuxnet wyodrębniał i uruchamiał ze swojego pliku, w zależności od wyników analizy konfiguracji zainfekowanej stacji, moduły odpowiedzialne za instalację:

• głównego procesu wirusa w systemie,
• rootkita w celu ukrywania swojej obecności,
• serwera RPC do komunikacji pomiędzy zainfekowanymi,
• hostami za pomocą mechanizmu P2P,
• procesu komunikacji z centrum sterowania Comand & Control (C&C),
• algorytmu sprawdzania łączności z siecią Internet,
• mechanizmu replikacji poprzez LAN lub USB,
• programu infekującego wirówki,
• deinstalatora wirusa.

Twórcy wirusa przewidzieli, że docelowy komputer może nie być podłączony do sieci, stworzyli więc mechanizm porozumiewania się zainfekowanych hostów za pośrednictwem sieci LAN lub plików przenoszonych na zainfekowanych pamięciach USB. Wirus dzięki temu potrafił zbudować drzewo komunikacji z C&C poprzez pierwszy znaleziony komputer połączony z siecią publiczną. Potrafił też korzystać z proxy. W ten sposób mógł swobodnie pobierać aktualizacje, a także przyjmować dalsze hakerskie komendy.

Wcześniej, we wrześniu 2014 roku, eksperci informowali o zagrożeniu BlackEnergy, które zaatakowało wiele firm i instytucji zlokalizowanych w Polsce i na Ukrainie. Wtedy zagrożenie pozwalało atakującemu m.in. na kradzież plików z zainfekowanego komputera oraz zdalne uruchomienie dowolnego złośliwego kodu.

Wnioski

Aby minimalizować prawdopodobieństwo przeprowadzenia skutecznego ataku i nie stać się, choćby przypadkową, ofiarą cyber-wojny (a takie były przy okazji ataków Stuxnetem), potrzebna jest zmiana priorytetów oraz wdrożenie nowego podejścia do budowania systemów bezpieczeństwa w sieciach SCADA. Zaufanie do technologii zabezpieczeń zostało naruszone. Programy antywirusowe, zapory sieciowe nie są dziś gotowe na wykrywanie ataków realizowanych za pomocą podatności „zero day”. Opisywane wirusy, mimo wykrycia i opisania, nie przestały być niebezpieczne. Kiedy zajdzie taka potrzeba zostaną załadowane nowymi podatnościami i wystrzelone w kierunku nowego celu.

Pracownik będzie najprawdopodobniej próbował skontaktować się z osobą dedykowaną z działu OT, aby zgłosić ewentualny problem. Są dwa rozwiązania – albo podniesienie kompetencji bezpieczeństwa w działach OT (w takim wypadku proponujemy rozważenie powołania Oficera bezpieczeństwa OT), albo zwiększenie kompetencji pracowników funkcjonujących już działów SOC. Zarówno w pierwszym, jak i drugim przypadku potrzebne będą jednak dodatkowe szkolenia podnoszące kompetencje w zakresie bezpieczeństwa ICS.

Nasze podejście