Stačí jedno kliknutí

Je pondělní ráno. V kanceláři výrobní společnosti zaměstnanec otvírá e-mail. Na první pohled nic podezřelého. Zpráva je od známého dodavatele, žádost o kontrolu dokumentu, odkaz na přihlášení. „Útočníci dnes už neútočí přímo na výrobní linky. Vědí, že nejjednodušší cesta vede přes lidi a IT systémy, a to i vlivem masivně se zvyšujícího propojení informačních systémů s provozními technologiemi,“ říká Renáta Pešinová, specialistka kybernetické bezpečnosti pro průmyslové řídicí systémy ve společnosti ABB. Kompromitovaná identita v cloudové službě, přístup do firemního VPN nebo e-mailu jsou pro útočníky vstupní bránou na nejvyšší úrovni takzvaného purdue modelu. Podle něho se hierarchicky rozdělují podnikové IT a OT (operational technology – provozní technologie) vrstvy do jasně oddělených úrovní, čímž se zajišťuje lepší segmentace, bezpečnost a řízení datových toků.

Nejasná hranice mezi IT a OT

Jakmile jednou útočník získá přístup, často není třeba žádný další „hackerský trik“. Přihlašuje se jako legitimní uživatel. Sleduje komunikaci, mapuje prostředí, čeká. Někdy dny, jindy týdny. Trpělivost je dnes jednou z nejnebezpečnějších zbraní. Dostává se k systémům, které řídí plánování výroby, logistiku nebo údržbu. Podnikový informační systém (ERP), výrobní informační systém (MES), který řídí a optimalizuje výrobu v reálném čase nebo například firemní sdílené disky. Tady už začíná být útok citelný a často také viditelný. Typickým scénářem je ransomware: data jsou útočníkem zašifrována, provoz stojí a firma řeší, jak získat data zpět a rychle obnovit plánování výroby.

Zkušenější útočníci totiž tuto fázi využívají především jako most. Pokud není síť správně segmentovaná (ABB definuje, jak postupovat při bezpečném rozdělování sítě podle rámce IEC 62443, viz ABB reference architecture), pokud existují sdílené přístupy nebo slabě chráněné vzdálené připojení (viz například ABB secure remote platform – SW tool, který zajišťuje moderní bezpečný vzdálený přístup), otvírá se cesta dál k operačním technologiím.

A zde, na úrovni, na které běží řídicí SCADA systémy a historické databáze, se útok mění. Už nejde o rychlé zašifrování dat. Naopak, cílem je zůstat neviditelný. Útočník využívá běžné administrátorské nástroje. PowerShell, vzdálenou správu, skripty. Nic, co by na první pohled vyvolalo poplach. Tento přístup, často označovaný „living off the land“, je zákeřný právě tím, že nevypadá jako útok.

Zároveň se potvrzuje jeden z největších problémů moderních průmyslových sítí: hranice mezi IT a OT už není jasně daná. To, co mělo být oddělené, je dnes propojené. A to kvůli efektivitě, datům a vzdálené správě. A útočník toho využívá. Když se dostane k operátorským stanicím, situace se dramaticky mění. HMI obrazovky, na kterých operátoři sledují technologii, se mohou stát nástrojem manipulace. Útočník může měnit konfigurace, upravovat vizualizace nebo získávat přístupové údaje. V některých případech dokonce operátor vidí „vše v pořádku“, zatímco realita je jiná. To už není IT incident, ale začátek zásahu do řízení technologie.

Nejde o jeden útok, ale o cestu

Řídicí průmyslové PLC počítače nebo RTU zařízení pro sběr dat spolu stále často komunikují pomocí proprietárních protokolů, které vznikly, když bezpečnost nebyla prioritou. Žádné ověřování, žádné šifrování. Pokud se k nim útočník dostane, může posílat příkazy přímo. Anebo udělat něco ještě nebezpečnějšího: nahrát vlastní logiku. Tím se útok dostává do fáze, kterou už nelze řešit jen IT nástroji. Změněný program v PLC může nenápadně upravit chování technologie a zpomalit proces, přetížit zařízení nebo vytvořit podmínky pro fyzické poškození.

Na úplném konci tohoto řetězce je fyzický svět. Ventily, turbíny, dopravníky, chemické procesy. Pokud útočník dokáže manipulovat se senzory nebo nastavením, může operátorům podstrčit falešná data. Systém hlásí normální stav, ale realita se od něj postupně odchyluje. Právě tady vznikají největší škody, a to nejen finanční, ale především bezpečnostní nebo environmentální.

Co je na tom všem nejdůležitější? Že nejde o jeden útok, ale o cestu. Moderní incidenty v průmyslu téměř vždy začínají nenápadně, kompromitovanou identitou, phishingem nebo dodavatelským řetězcem. Teprve postupně se přesouvají jednotlivými vrstvami purdue modelu, až se dostanou tam, kde mají skutečný dopad. A právě proto nestačí chránit jen jednu část infrastruktury.

Bezpečnost OT dnes není o PLC ani jen o síti, ale o identitách, přístupech, segmentaci a schopnosti vidět souvislosti v celém prostředí, od cloudu až po fyzický proces. Bezpečnost začíná ve vnímání rizik, v postupně vytvářené bezpečnostní kultuře a za stále zvyšujícího se povědomí jak vedení, tak zaměstnanců. Protože útok už dávno nezačíná ve výrobě, ale jedním kliknutím.

„Na bezpečnost se dnes musí myslet neustále a je to záležitost všech zaměstnanců. Jak ráda říkám, security mindset nesmí být jen v hlavách security specialistů,“ dodává Pešinová.