Įvadas: junglumas plečia pramonės atakų paviršių
Pramonės automatika žengia į naują etapą, kai dirbtinis intelektas, debesų junglumas, robotika ir duomenimis pagrįstos valdymo sistemos tampa vis labiau tarpusavyje susietos. Šios technologijos padeda gamintojams geriau stebėti gamybą, optimizuoti įrangos veikimą ir reaguoti į besikeičiančius veiklos poreikius. Tačiau jos taip pat kelia naujų kibernetinio saugumo iššūkių informacinių technologijų (IT), operacinių technologijų (OT), inžinerinių sistemų ir trečiųjų šalių prieigos srityse.
Pažangiausias dirbtinis intelektas keičia grėsmių aplinką, nes padeda užpuolikams paspartinti pažeidžiamumų tyrimą, kurti išnaudojimo priemones ir planuoti sudėtingesnes atakas. Gamintojams rūpi ne tik pavogti duomenys ar pažeisti biuro tinklai. Kibernetinis incidentas gali sutrikdyti gamybą, paveikti produktų kokybę, atskleisti intelektinę nuosavybę arba sukelti nesaugias darbo sąlygas.
Pramonės inžinerijos požiūriu tikrasis iššūkis – ne vien užkirsti kelią neteisėtai prieigai. Svarbiausia išlaikyti visos gamybos aplinkos kontrolę įvykus saugumo incidentui. Todėl kibernetinį saugumą reikia laikyti veiklos atsparumo dalimi, o apsaugos strategijas kurti atsižvelgiant į įrangos veikimą, procesų tarpusavio priklausomybę ir saugos reikalavimus.
Kaip pažangiausias dirbtinis intelektas keičia pramoninį kibernetinį saugumą
Dirbtiniu intelektu pagrįstos atakos gali sutrumpinti laiką nuo pažeidžiamumo aptikimo iki jo išnaudojimo. Saugumo komandos, kurios pasikliauja rankiniu tyrimu, nesusietais išteklių sąrašais ir ilgomis patvirtinimo procedūromis, gali nespėti sureaguoti, kol įsilaužimas nepaveikė gamybos sistemų.
Rizika tampa sudėtingesnė, kai nuotolinės priežiūros jungtys, inžinerinės darbo stotys, pramoniniai eterneto tinklai ir įmonių taikomosios programos sąveikauja su valdymo sistemomis. Vienos srities pažeidžiamumas gali tapti prieigos tašku į kitą sritį, ypač jei tinklo segmentavimas ir prieigos apribojimai nepakankami.
Vis plačiau naudojami skaitmeniniai dvyniai, autonominiai robotai, kompiuterinė rega ir dirbtiniu intelektu pagrįstas procesų optimizavimas sukuria papildomų sąsajų, kurias būtina apsaugoti. Šios sistemos gali priklausyti nuo programinės įrangos paslaugų, išorinių duomenų šaltinių, specializuotų valdiklių ir tiekėjų valdomų jungčių.
Ypač svarbu atkreipti dėmesį į vieną dalyką: susietos gamyklos neįmanoma veiksmingai apsaugoti, jei kiekvienas išteklius laikomas atskiru IT galiniu įrenginiu. Pavyzdžiui, įsilaužimas į inžinerinę darbo stotį gali kelti kitokio lygio veiklos riziką nei įsilaužimas į stebėjimo terminalą, priklausomai nuo jų leidimų ir sąsajų su valdikliais, saugos sistemomis bei gamybos įranga. Saugumo sprendimuose būtina atsižvelgti į šiuos skirtumus.
Veiklos reagavimo spraga: aptikimas yra tik pradžia
Daugelis gamintojų investavo į užkardas, galinių įrenginių apsaugą, įsilaužimų aptikimą ir saugumo stebėseną. Tačiau vien šių priemonių turėjimas negarantuoja, kad organizacija galės veiksmingai reaguoti į incidentą.
Pramonės aplinkoje atsakomybė dažnai paskirstyta kibernetinio saugumo komandoms, automatikos inžinieriams, gamyklos operatoriams, techninės priežiūros darbuotojams, inžinerijos vadovams ir išorės paslaugų teikėjams. Kiekviena grupė gali išmanyti dalį sistemos, tačiau aiškiai paskirtų sprendimų priėmimo įgaliojimų trūkumas gali sulėtinti incidento suvaldymą ir veiklos atkūrimą.
Įprastose IT aplinkose pažeisto galinio įrenginio izoliavimas gali būti gana paprastas. Gamybos įmonėje atjungus įrenginį gali nutrūkti valdymo kontūras, dingti priežiūros galimybė arba sutrikti koordinuojamas procesas. Neatidėliotinas sustabdymas ne visada yra saugiausias atsakas, tačiau palikti pažeistą sistemą prijungtą taip pat nebūtinai priimtina.
Tinkamas veiksmas priklauso nuo proceso, sistemos architektūros, galimų atsarginių mechanizmų ir valdymo ar matomumo praradimo pasekmių. Gamintojams reikia incidentų valdymo procedūrų, kuriose būtų atskirti IT izoliavimo veiksmai, OT izoliavimo veiksmai, kontroliuojamas gamybos sustabdymas ir veiklos atkūrimas iki patikrintos būsenos.
Darbuotojų pajėgumai kelia dar vieną iššūkį. „Deloitte“ atkreipė dėmesį į gamybos pramonės poreikį spręsti didelio darbuotojų trūkumo problemą: numatoma, kad 2025–2030 m. gamybos sektoriuje atsiras apie 2,3 mln. laisvų darbo vietų. Todėl vis svarbiau parengti procedūras, kurios padėtų esamiems darbuotojams priimti pagrįstus sprendimus ir nebūtų visiškai priklausoma nuo nedidelio kibernetinio saugumo specialistų skaičiaus.
Penki praktiški žingsniai, kaip apsaugoti prijungtą gamyklą
1. Sukurkite vieningą IT, OT ir inžinerijos valdymo sistemą
Kibernetinio saugumo valdymas turėtų susieti įmonės saugumo politiką su praktiniais gamyklos veiklos reikalavimais. Nuolatinę įvairių funkcijų komandą turėtų sudaryti kibernetinio saugumo specialistai, automatikos inžinieriai, veiklos vadovai, saugos darbuotojai ir atitinkamus verslo sprendimus priimantys asmenys.
Atsakomybės turėtų būti dokumentuotos dar prieš įvykstant incidentui. Kiekviename reagavimo scenarijuje turėtų būti nurodyta, kas gali atšaukti nuotolinę prieigą, izoliuoti tinklo segmentą, išjungti paslaugą, patvirtinti su valdikliu susijusį pakeitimą arba leisti nutraukti gamybą.
Iš anksto patvirtinti veiksmai gali sumažinti delsą, tačiau juos būtina vykdyti laikantis nustatytų techninių ir saugos ribų. Pakeitimai, galintys paveikti saugos prietaisų funkciją, kritinį valdymo kontūrą ar proceso stabilumą, turėtų būti atliekami laikantis atitinkamų inžinerinės peržiūros ir patvirtinimo procedūrų.
Mano nuomone, valdymas yra veiksmingas tik tada, kai padeda priimti įgyvendinamus sprendimus. Politika, kurioje reikalaujama eskaluoti incidentą, bet nenurodoma, kas priima sprendimą, per kokį laiką į jį reikia reaguoti ir kokios yra saugios veiksmų alternatyvos, greitai besivystančio incidento metu bus menkai naudinga.
2. Nustatykite turto prioritetus pagal veiklos pasekmes
Išsamus turto sąrašas yra pradinis taškas, o ne galutinis tikslas. Gamintojai taip pat turi suprasti, kaip turtas sąveikauja ir kas nutinka, kai konkretus komponentas tampa nepasiekiamas arba praranda vientisumą.
Nustatant prioritetus reikėtų atsižvelgti į programuojamuosius loginius valdiklius (PLC), paskirstytosios valdymo sistemos (DCS) serverius, saugos valdiklius, inžinerines darbo vietas, žmogaus ir mašinos sąsajas (HMI), pramoninio tinklo infrastruktūrą, procesų duomenų archyvus ir nuotolinės prieigos šliuzus. Konkretūs prioritetai skirsis priklausomai nuo objekto ir proceso.
Turto svarba turėtų būti vertinama pagal kelis veiksnius:
- Galimas poveikis darbuotojų saugai ir aplinkos apsaugai.
- Proceso valdymo arba veiklos stebėjimo praradimo pasekmės.
- Gamybos pertrūkio, kokybės nukrypimų ar įrangos pažeidimo tikimybė.
- Dubliuojamos įrangos, rankinių valdymo procedūrų ir atkūrimo galimybių prieinamumas.
- Ryšio su išoriniais tinklais ir trečiųjų šalių sistemomis lygis.
Šis metodas padeda valdyti pažeidžiamumus pagal riziką. Gamybai itin svarbioje inžinerinėje darbo vietoje aptiktą pažeidžiamumą gali tekti šalinti skubiau nei panašų pažeidžiamumą atjungtoje bandymų sistemoje.
Taip pat svarbu atsižvelgti į pasenusią įrangą. Kai kurių pramoninių valdiklių negalima greitai atnaujinti dėl programinės aparatinės įrangos apribojimų, tiekėjo nustatytų sąlygų, sertifikavimo reikalavimų arba būtinybės iš anksto suplanuoti techninės priežiūros prastovą. Tokiais atvejais prieigos apribojimai, tinklo segmentavimas, programų valdikliai ir kitos patikrintos kompensacinės priemonės gali sumažinti riziką, kol bus parengtas saugus taisymo planas.
3. Naudokite DI gynybai, nesuteikdami jam nekontroliuojamų įgaliojimų
DI gali padėti saugumo komandoms susieti įspėjimus, nustatyti neįprastą tinklo elgseną, įvertinti pažeidžiamumų keliamą riziką, sudaryti galimų atakos kelių žemėlapius ir nustatyti taisymo darbų prioritetus. Šios galimybės gali sutrumpinti pasikartojančiai analizei skiriamą laiką ir padėti inžinieriams susitelkti į incidentus, turinčius rimtesnių veiklos pasekmių.
Tačiau dirbtinio intelekto sugeneruotos rekomendacijos ne visada teisingos, o DI agentas, turintis prieigą prie gamybinių sistemų, gali kelti papildomą riziką, jei jo teisės nustatytos netinkamai.
Gamintojai turėtų taikyti mažiausių būtinų teisių principą, apriboti leidžiamus veiksmus, saugoti audituojamus įrašus ir nustatyti atvejus, kai būtinas žmogaus patvirtinimas. Didelio poveikio pakeitimai, susiję su valdiklių konfigūracijomis, saugai svarbiomis sistemomis, tinklo izoliavimu ar gamybos sustabdymu, turėtų būti atliekami pagal aiškiai patvirtintas procedūras, o ne be atrankos patikimi autonominiams agentams.
Prieš diegiant DI naudojančias saugumo darbo eigas, jas reikėtų išbandyti reprezentatyvioje, izoliuotoje aplinkoje. Testavimas turėtų apimti netikslius įspėjimus, neišsamią informaciją apie išteklius, nepasiekiamas paslaugas, neleistinas užklausas ir netikėtą sąveiką su pramoniniais protokolais.
Svarbu aiškiai atskirti: DI turėtų paspartinti analizę ir aiškiai apibrėžtas reagavimo užduotis, o ne pakeisti inžinerinį vertinimą, kai kyla pavojus fiziniams procesams ir darbuotojų saugai. Tinkamas automatizavimo lygis priklauso nuo klaidingo veiksmo pasekmių, o ne vien nuo to, kaip greitai modelis gali jį atlikti.
4. Išbandykite reagavimą į incidentus realistiškomis pramonės sąlygomis
Rašytinės procedūros ir pratybos aptariant galimus scenarijus yra naudingos, tačiau jos negali parodyti visų techninių priklausomybių veikiančioje gamykloje. Gamintojai turėtų patikrinti savo reagavimo pajėgumus atlikdami kontroliuojamas pratybas, atspindinčias tikrąją tinklo architektūrą, įrangos veikimą ir atkūrimo reikalavimus.
Testuojant reikėtų įvertinti, ar komandos gali nustatyti paveiktus išteklius, nustatyti įsibrovimo mastą, izoliuoti pažeistus ryšius, išsaugoti būtiną proceso stebimumą ir atkurti sistemas iki patikrintos būklės.
Naudingi veiklos rodikliai:
- Laikas, per kurį aptinkamas incidentas ir atliekamas pirminis jo įvertinimas.
- Laikas, reikalingas izoliavimo veiksmui patvirtinti.
- Laikas, per kurį grėsmė suvaldoma nesukeliant nepriimtinos veiklos rizikos.
- Laikas, per kurį atkuriama saugi ir stabili gamyba.
- Kritinių išteklių, kurių nuosavybė patvirtinta ir kurių konfigūracijos įrašai atnaujinti, procentinė dalis.
- Rizika, susijusi su tiekėjų paskyromis ir nuotolinės prieigos kanalais.
- Su reagavimo veiksmais susiję gamybos nuostoliai arba proceso nukrypimai.
Tikslas nėra bet kokia kaina pasiekti kuo trumpesnį reagavimo laiką. Skubiai įgyvendinus nepakankamai patikrintą pakeitimą, gali kilti antras incidentas. Reagavimo efektyvumą reikėtų vertinti pagal tai, kaip greitai organizacija gali sumažinti riziką, kartu išsaugodama saugą ir veiklos kontrolę.
Jei iš karto įdiegti pataisų neįmanoma, laikinos izoliavimo priemonės turi būti dokumentuojamos, stebimos ir peržiūrimos, kol pagal patvirtintą pakeitimų valdymo procesą bus galima visam laikui pašalinti trūkumus.
5. Ugdykite visų darbuotojų kibernetinio saugumo žinias
Pramonės kibernetinis saugumas nėra vien IT skyriaus atsakomybė. Sujungtų gamybos aplinkų saugumui įtakos turi operatoriai, techninės priežiūros technikai, valdymo sistemų inžinieriai, sistemų integratoriai ir išorinių paslaugų teikėjai.
Mokymas turėtų būti pritaikytas kiekvienos grupės atsakomybei. Operatoriai turi gebėti atpažinti neįprastą sistemos veikimą ir suprasti eskalavimo procedūras. Automatizavimo inžinieriai turi įvertinti konfigūracijos pakeitimų ir tinklo izoliavimo poveikį. Techninės priežiūros komandoms reikia aiškių nuotolinės prieigos, nešiojamųjų inžinerinių įrenginių ir programinės įrangos diegimo taisyklių.
Dirbtiniu intelektu paremtos priemonės gali padėti darbuotojams interpretuoti įspėjimus, rasti reikiamas procedūras ir pasiekti technines rekomendacijas. Tačiau šios priemonės turėtų papildyti nustatytas darbo procedūras, o ne pateikti prieštaringų nurodymų ar skatinti atlikti neautorizuotus pakeitimus.
Gamintojai taip pat turėtų repetuoti realistiškus scenarijus, įskaitant pažeistus tiekėjų prisijungimo duomenis, įtartiną veiklą inžinerinėse darbo stotyse, išpirkos reikalaujančias programas, paveikiančias priežiūros sistemas, ir ryšio su kritine įranga praradimą.
Gerai parengta darbo jėga gali sutrumpinti kelią nuo pirminio pastebėjimo iki pagrįstų veiksmų. Tai ypač naudinga įmonėse, kuriose kibernetinio saugumo specialistų ne visada būna vietoje.
Pramoninio tinklo architektūros ir viso gyvavimo ciklo valdymo svarba
Pirmiau nurodyti penki veiksmai tampa veiksmingesni, kai juos palaiko aiški pramoninio tinklo architektūra ir drausmingas viso gyvavimo ciklo valdymas.
Gamintojai turėtų atskirti įmonės IT, pramoninius priežiūros tinklus, valdymo tinklus ir su sauga susijusias aplinkas, atsižvelgdami į jų veiklos reikalavimus. Ryšys tarp zonų turėtų būti aiškiai kontroliuojamas, stebimas ir apribotas būtinomis paslaugomis. Nuotolinė prieiga priežiūrai turėtų vykti naudojant autentifikuotus, autorizuotus ir audituojamus kanalus, o ne neribotus ryšius.
Pasenusiems ištekliams reikia skirti ypatingą dėmesį. Senesniems programuojamiesiems loginiams valdikliams, paskirstytųjų valdymo sistemų komponentams, ryšio šliuzams ir inžineriniams įrankiams gali trūkti šiuolaikinių saugumo funkcijų arba jie gali būti toliau naudojami, nes juos pakeitus atsirastų didelių išlaidų ir tektų atlikti daug validavimo darbų. Tolesnį jų naudojimą turėtų pagrįsti dokumentuoti rizikos vertinimai, ribojamas ryšys, konfigūracijų atsarginės kopijos ir išbandytos atkūrimo procedūros.
Saugumo priemonės taip pat turi būti suderinamos su deterministiniais ryšiais, procesų prieinamumu ir tiekėjų palaikomomis konfigūracijomis. Įdiegus nepažįstamą tikrinimo įrankį arba tiesiogiai gamybiniame tinkle atlikus neišbandytą užkardos pakeitimą, gali kilti veiklos sutrikimų, net jei saugumo tikslas yra pagrįstas.
Dėl šios priežasties kibernetinio saugumo projektuose automatizavimas ir procesų inžinerija turėtų būti numatyti jau projektavimo etape. Saugumo reikalavimus lengviau įgyvendinti, kai projektuojant sistemą atsižvelgiama į tinklo segmentavimą, tapatybės valdymą, registravimą, atkūrimo architektūrą ir viso gyvavimo ciklo palaikymą, o ne visa tai pridedama po paleidimo.
Atsparumo vertinimas neapsiribojant saugumo priemonių skaičiumi
Įdiegtų saugumo produktų skaičius nedaug pasako apie gamyklos gebėjimą atlaikyti kibernetinį incidentą. Daug prasmingesnis vertinimas parodo, ar organizacija žino, kokias sistemas naudoja, supranta jų tarpusavio priklausomybes ir gali spaudžiama saugiai reaguoti.
Gamintojai turėtų reguliariai tikrinti turto inventorius, išbandyti atsarginių kopijų atkūrimą, peržiūrėti privilegijuotąsias paskyras, įvertinti tiekėjų prieigą ir įsitikinti, kad reagavimo į incidentus procedūros tebėra suderinamos su dabartinėmis gamyklos konfigūracijomis. Nustačius trūkumų, turėtų būti paskirti atsakingi asmenys ir nustatyti aiškūs terminai taisomiesiems veiksmams atlikti.
Atsparumas taip pat turėtų apimti gebėjimą atkurti veiklą praradus esmines paslaugas. Pavyzdžiui, reagavimo į incidentus plane reikėtų numatyti, kaip operatoriai palaikys tinkamą proceso stebėsenos lygį, jei taps nepasiekiamos priežiūros sistemos, ir kaip inžinierių komandos prieš atkurdamos įprastą ryšį patikrins valdiklių konfigūracijas.
Ši veikla sieja kibernetinį saugumą su įprastomis pramonės inžinerijos sritimis: pokyčių valdymu, funkcine sauga, techninės priežiūros planavimu, kokybės užtikrinimu ir veiklos rizikos vertinimu. Integravus šias sritis, saugumo priemonės gali tapti praktiškesnės ir padėti jas išlaikyti per visą įrangos gyvavimo ciklą.
Išvada: kibernetinį saugumą paverskite veiklos gebėjimu
Pažangusis DI didina galimų kibernetinių grėsmių greitį ir sudėtingumą, tačiau vien technologijos nenulems, kuriems gamintojams pavyks sėkmingai į jas reaguoti. Rezultatas taip pat priklausys nuo turto matomumo, tinklo architektūros, sprendimų priėmimo įgaliojimų, inžinerinės drausmės ir darbuotojų pasirengimo.
Gamintojai turėtų teikti pirmenybę priemonėms, kurios saugo kritinius procesus, riboja nebūtiną ryšį ir padeda greitai bei tinkamai kontroliuojant suvaldyti grėsmes. DI gali pagerinti aptikimą ir analizę, jei jo prieiga ir veiksmai lieka tinkamai apsaugoti. Reagavimo planus būtina tikrinti atsižvelgiant į realias pramonės sistemų tarpusavio priklausomybes, o ne vien parengti kaip atitikties formalumą.
Pagrindinė pamoka paprasta: saugi prijungta gamykla nėra ta, kuri daro prielaidą, kad galima užkirsti kelią kiekvienai atakai. Tai gamykla, galinti nustatyti neįprastas sąlygas, priimti pagrįstus sprendimus, suvaldyti grėsmes neperžengdama nustatytų saugos ribų ir atkurti veiklą pagal išbandytą procesą. Pažangiojo DI amžiuje ši galimybė turėtų būti laikoma išmatuojamu pramonės veiklos rezultatų ir veiklos atsparumo rodikliu.
