Zagrożenia systemów SCADA

 

Analitycy szacują, że ok. 25% wszystkich ataków na systemy SCADA wykorzystuje luki w odniesieniu do obsługi bufora pamięci. Z kolei 9% ataków wynika z niewłaściwej walidacji danych wejściowych. Niejednokrotnie wykorzystywane są nieprawidłowości w zarządzaniu zasobami systemów SCADA w postaci błędów w zakresie kontroli uprawnień.

Wbrew pozorom zagrożeń systemów klasy SCADA jest wiele. Przede wszystkim trzeba mieć na uwadze niewłaściwie wykonane projekty sieci i niedostatecznie szczegółowe ustalenie poziomów ochrony.

Zagrożenie stanowi również obsługa za pomocą zdalnego dostępu przy braku właściwie opracowanych i wdrożonych procedur ochronnych. Jako zagrożenia wymienia się oddzielne mechanizmy audytów i administrowania, niewłaściwie zabezpieczony system wymiany danych w oparciu o sieć bezprzewodową, a także używanie kanałów komunikacyjnych, które nie powinny być używane przy sterowaniu i zarządzaniu siecią. W wielu systemach ochrony nie ma narzędzi przeznaczonych do wykrywania i raportowania wszelkich nieprawidłowości w działaniach zachodzących w sieciach sterowania. Zagrożeniem systemów SCADA niejednokrotnie jest szereg nieautoryzowanych komend i zmian, które pojawiają się w systemach sterowania, a także nieprawidłowe analizowanie i nadzorowanie oprogramowania systemów sterujących i niewłaściwie dobranych aplikacji do komputerów nadrzędnych.

Systemy znajdujące zastosowanie w przemyśle stanowią dosyć łatwy cel, bowiem przez wiele lat wychodziło się z założenia, że stosunkowo wysoki poziom izolacji, przy zastosowaniu niestandardowych protokołów komunikacyjnych, może stanowić dużą przeszkodę dla cyberprzestępców. W efekcie zarówno oprogramowanie, jak i sprzęt stosowany przy nadzorowaniu procesów produkcyjnych mają względnie niski poziom zabezpieczeń. Nie brakuje zatem wirusów czy oprogramowania pozwalającego na infekowanie sterowników PLC lub zdalnych terminali RTU, uwzględniając przy tym przemysłowe protokoły komunikacyjne. Coraz częściej systemy przemysłowe są połączone z zakładowymi sieciami korporacyjnymi, co wynika z konieczności przenikania procesów produkcyjnych i biznesowych, ale bez odpowiedniej izolacji systemów przemysłowych.

Wiele protokołów powstało z myślą o użytku lokalnym z kolei rozwój technologii zdalnej obsługi, przy użyciu sieci publicznych, stał się jednym z kluczowych trendów rozwoju nowoczesnej obsługi systemów sterowania. W kontekście obsługi zdalnej w wielu protokołach poprawność komend nie była walidowana, a źródła nie są uwierzytelniane. Szerokie spektrum zastosowania miała lokalna wymiana danych, np. za pomocą łączy szeregowych lub sieci typu SDH/PDH. Co prawda takie technologie przesyłu mają szereg ograniczeń, to jednak ich penetrowanie jest trudne, a przeprowadzenie ataku wręcz niemożliwie. Obecnie nowoczesne sieci przemysłowe bazują na adresowalnych protokołach komunikacyjnych (np. Ethernet, IP), które, jak wiadomo, są ogólnodostępne.

Zasady bezpieczeństwa

Moduły komunikacyjne zawierające rozwiązania w zakresie bezpieczeństwa wykorzystują kilka zasad, które są implementowane już na etapie produkcji urządzeń tego typu. Przede wszystkim należy zwrócić uwagę na hardening, zakładający, że urządzenie powinno zawierać minimalny zestaw funkcji łącznie z możliwościami komunikacyjnymi i spersonalizowaniem pod kątem określonego klienta. Zmiana ustawień z dostosowaniem konfiguracji do wymagań obiektowych odbywa się za pomocą zdalnego lub lokalnego dostępu ze strony systemu SCADA lub systemu DM (ang. device management). Jednak instalowane są i otwierane wyłącznie niezbędne usługi oraz wyłączane usługi niepotrzebne podczas uruchamiania aplikacji. Określany jest przy tym sposób uwierzytelnienia, siła haseł, maksymalny czas trwania sesji, a także usuwa się użytkowników i moduły o charakterze nadmiarowym oraz eliminuje nieszyfrowane protokoły, zastępując je bezpiecznymi. Tak przygotowane urządzenia w momencie zainstalowania w aplikacji i zestawienia systemu wymiany danych w sposób automatyczny zgłaszają się do systemu DM. Wraz z uwierzytelnieniem zestawia się połączenie szyfrowane wykonujące docelową konfigurację urządzenia pod kątem jego zastosowania.

Określana jest polityka dostępu do urządzenia w efekcie dobrania odpowiedniej siły haseł, a także ról i uprawnień użytkowników oraz adresów IP używanych przy logowaniu. Kluczowe miejsce w bezpieczeństwie modułów komunikacyjnych zajmuje monitorowanie aktywności użytkowników przy wykorzystaniu alarmowania i rejestracji wybranych lub wszystkich aktywności dotyczących logowania lub próby logowania oraz wszelkich zmian oprogramowania lub parametrów pracy urządzenia. Zebrane w ten sposób logi są przesyłane do centralnego serwera, gdzie wykonuje się odpowiednie analizy za pomocą specjalistycznych systemów.

Sterowniki komunikacyjne z funkcjami bezpieczeństwa zazwyczaj bazują na infrastrukturze PKI. W realizowaniu funkcji bezpieczeństwa kluczowe miejsce zajmują zestawy kluczy i certyfikatów, które są dedykowane do indywidualnego uwierzytelniania różnego rodzaju usług. Serwery RADIUS lub TACACS są przeznaczone do kontrolowania ważności i wymiany kluczy i certyfikatów, które wykorzystuje się chociażby podczas uwierzytelnienia aktualizacji firmware’u, pakietów konfiguracyjnych czy zmiany modułów funkcjonalnych. Zapewniona jest więc ochrona przed zmianami oprogramowania lub konfiguracją o charakterze nieuprawnionym. Ponadto wykluczana jest możliwość przesłania firmware’u lub przypadkowej konfiguracji na inne urządzenia.

Okresowa ocena stanu zabezpieczeń systemów SCADA powinna być wykonywana z uwzględnieniem nie tylko ochrony sieci produkcyjnych, ale również sieci korporacyjnych, systemów zarządzania relacjami z klientami oraz serwerów sieci WWW. Tym sposobem ujawnia się luki w postaci nieznanych połączeń pomiędzy sieciami publicznymi a prywatnymi łącznie z problemami dotyczącymi konfiguracji zapór ogniowych.

Nie można zapomnieć o profesjonalnym projekcie architektury zabezpieczeń informatycznych. W praktyce zastosowanie znajduje bowiem duża liczba technologii zabezpieczeń, urządzeń pracujących w sieci oraz możliwości ustawień konfiguracji. Jednak niewłaściwa konfiguracja i nieodpowiedni dobór środków zabezpieczających bardzo często powoduje zmniejszenie poziomu skuteczności zabezpieczeń. Na etapie tworzenia projektu sieci warto skorzystać z doradztwa specjalistów z zakresu zabezpieczeń informatycznych.

Dla bezpieczeństwa systemów ważne jest odpowiednie zarządzanie urządzeniami, co nabiera szczególnego znaczenia w przypadku złożonych sieci o rozbudowanej infrastrukturze sieciowej. Wiele fabryk decyduje się na powierzenie nadzoru i zarządzania urządzeniami zabezpieczającymi wyspecjalizowanym firmom zewnętrznym. Tym sposobem zapewniona jest właściwa konfiguracja urządzeń z monitorowaniem ich pracy w czasie rzeczywistym, dzięki czemu reakcja na potencjalne zagrożenia jest błyskawiczna.

Bezpieczeństwo na poziomie RTU

W sieciach przemysłowych niejednokrotnie zastosowanie znajdują urządzenia komunikacyjne z odpowiednimi, pod kątem wymagań konkretnego systemu komunikacyjnego, wejściami i wyjściami. Jednak tym, co odróżnia urządzenia tego typu od tradycyjnych sterowników, jest zastosowanie szeregu rozwiązań w zakresie bezpieczeństwa danych zgodnie z odpowiednimi normami i rekomendacjami. Chodzi głównie o normy serii IEC 62351-x określające standardy bezpieczeństwa komunikacji z wykorzystaniem protokołów TCP/IP, MMS, DNP3, 104, 61850 GOOSE, SNMP oraz mechanizmów RBAC, Key Management. Oprócz tego spełniane są wymagania normy ISO/IEC 27001 dotyczącej bezpieczeństwa informacji, a także dokumentu IEEE P1686 precyzującego standardy dla stacyjnych urządzeń IED. Ponadto ważne jest uwzględnienie innych rekomendacji przez międzynarodowe organizacje (BDEW, ENISA, NIST, W3C), które są związane z bezpieczeństwem.

W architekturze sterowników oddzielono logicznie część wykonawczą od części konfiguracyjnej. Efekt takiego rozwiązania jest taki, że zmiany firmware’u obejmujące wykonywanie zadań i bezpieczeństwa nie wpływają na siebie. Nie mniej ważne jest właściwe przygotowanie obszarów pamięci z odpowiednim szyfrowaniem pamięci oraz systemów plików pozwalających na przechowywanie informacji z konfiguracjami, kluczami kryptograficznymi oraz logami dotyczącymi pracy urządzeń.

Firewall w systemach SCADA

Rozwiązania w zakresie bezpieczeństwa implementowane w systemach SCADA mają na celu zmniejszenie skali ataków na aplikacje pracujące w ramach automatyki przemysłowej. W tym zakresie przede wszystkim wykonuje się segmentację sieci, o której skuteczności decyduje również zastosowanie odpowiedniego poziomu bezpieczeństwa. W systemach SCADA powinny więc znaleźć się rozwiązania stosowane w sieciach firmowych i korporacyjnych – segmentacja na aplikacje, zawartość i użytkowników oraz oprogramowanie typu firewall nowej generacji (NGFW, Next Generation Firewall).

Nowoczesne oprogramowanie klasy firewall pozwala na rozszerzenie możliwości ochrony o budowanie specjalistycznych stref bezpieczeństwa SCADA, które są odizolowane od pozostałych fragmentów sieci za pomocą zapór. Ważne jest, aby na poziomie dostępu do strefy SCADA uwierzytelnianie odbywało się przez użytkownika, a nie za pomocą adresu IP. W razie potrzeby powinno dojść do odmowy dostępu nieautoryzowanym użytkownikom. Kwestia bezpieczeństwa musi być powiązana ze skuteczną identyfikacją użytkownika. Odbywa się to poprzez sprawdzenie i raportowanie działalności realizowanej wewnątrz systemu.

Niejednokrotnie system ochrony jest używany do kontrolowania całego ruchu, który przechodzi przez strefę SCADA w odniesieniu do eksploitów, botnetów, malware’ów oraz innych dedykowanych zagrożeń. Dzięki zaporze zyskuje się ochronę punktów systemów SCADA, które są najsłabsze, co jest efektem ciągłego identyfikowania całego generowanego ruchu na wszystkich obsługiwanych portach. Rozpoznawane są zagrożenia zaszyfrowane, natomiast za pomocą odpowiednich programów, a nie portów, odbywa się bezpieczne odblokowanie dostępu do aplikacji. Oprócz tego dostęp do aplikacji, takich jak RDP czy Telnet, ogranicza się tylko do wybranych użytkowników.

Jako dodatkowe zabezpieczenia, które są wdrażane w celu uzupełnienia zapory w sieciach SCADA, uwzględnia się również procesy organizacyjne w postaci wdrożenia bieżących procedur zarządzania ryzykiem. Ważne są przy tym odpowiednio zaplanowane cykliczne audyty oraz przeglądy techniczne wykonywane w ściśle zaplanowanych odstępach czasowych.

Podsumowanie

W odniesieniu do systemów SCADA panują pewne nieprawdziwe założenia, które spowodowały, że przez długi czas nie przywiązywano uwagi do rozwoju rozwiązań w zakresie bezpieczeństwa. Przede wszystkim uważa się, że systemy klasy SCADA bazują na unikalnych i mało popularnych stricte przemysłowych protokołach komunikacyjnych, zatem liczba osób mogących podjąć się ataku jest znacznie zawężona. Mówiło się także, że aplikacje tego typu cechują się wysokim poziomem odporności na cyberataki ze względu na wyizolowanie w środowiskach niepołączonych z siecią internet. Oprócz tego zakładano, że cyberataki na systemy przemysłowe mogą nie być dostatecznie atrakcyjne dla potencjalnych hakerów.

W kontekście rozwoju technologii komunikacyjnych twierdzenia te są nieprawdziwe i stały się przyczyną wielu zagrożeń bezpieczeństwa sieci przemysłowych. Cyberataki na systemy SCADA, identycznie jak w przypadku sieci firmowych i korporacyjnych, wykorzystują połączenie internetowe, sieć VPN, luki w zabezpieczeniach, sieci Wi-Fi bez zabezpieczeń oraz niezabezpieczone porty TCP lub UDP.

 

Marcin Sobczak

Oferta: automatyka magazynowa, case study, centrum logistyczne, dystrybucja, logistyka, magazyn, magazynier, operator logistyczny, palety, regały, studia przypadków, system wms, wózek widłowy, wózki widłowe

Background Image

Header Color

:

Content Color

:

Strona korzysta z plików cookies w celu realizacji usług zgodnie z Polityką prywatności. Możesz określić warunki przechowywania lub dostępu do cookie w Twojej przeglądarce lub w konfiguracji usługi. Polityka prywatności.