Δεν αρκεί να βλέπεις τις υποδομές σου. Πρέπει να καταλαβαίνεις τι συμβαίνει μέσα σε αυτές

Οι περισσότεροι οργανισμοί αντιλαμβάνονται πλέον ότι δεν μπορείς να προστατεύσεις μια υποδομή αν δεν γνωρίζεις τον εξοπλισμό που διαθέτεις και τις επικοινωνίες που πραγματοποιούνται μέσα στο δίκτυό σου. Στις σύγχρονες ενεργειακές υποδομές όμως, αυτό δεν είναι πλέον αρκετό. Σήμερα, η πραγματική πρόκληση είναι να μπορείς να αντιλαμβάνεσαι τι συμβαίνει, κάθε στιγμή.

Στις ενεργειακές υποδομές, η καθημερινή λειτουργία ακολουθεί συγκεκριμένα πρότυπα. Οι προγραμματιζόμενοι λογικοί ελεγκτές (PLC), τα συστήματα αυτοματισμού και εποπτικού ελέγχου (SCADA), οι αντιστροφείς (inverters) και οι υπόλοιπες συσκευές ανταλλάσσουν δεδομένα με προβλέψιμο τρόπο. Οι ίδιες επικοινωνίες επαναλαμβάνονται καθημερινά, οι ίδιες διεργασίες εκτελούνται σε συγκεκριμένα χρονικά διαστήματα και οι ίδιες λειτουργίες ακολουθούν έναν σχετικά σταθερό ρυθμό. Αυτή ακριβώς η προβλεψιμότητα αποτελεί πλεονέκτημα. Όταν γνωρίζεις πώς μοιάζει η φυσιολογική λειτουργία, κάθε απόκλιση αποκτά νόημα.

Έτσι, κάθε σημαντική αλλαγή αξίζει προσοχής. Μια νέα συσκευή που εμφανίζεται στο δίκτυο, μια άγνωστη σύνδεση προς έναν προγραμματιζόμενο λογικό ελεγκτή, μια αλλαγή στη συχνότητα επικοινωνίας, ένας σταθμός εργασίας μηχανικού που αποκτά πρόσβαση εκτός προγραμματισμένης συντήρησης, μια σύνδεση εξωτερικού συνεργάτη σε ώρα που δεν δικαιολογείται ή μια νέα διαδρομή επικοινωνίας μεταξύ δύο συστημάτων δεν αποτελούν απαραίτητα κυβερνοεπίθεση. Αποτελούν όμως γεγονότα που ο οργανισμός πρέπει να γνωρίζει και να αξιολογεί.

Ας φανταστούμε, για παράδειγμα, ότι σε έναν υποσταθμό εμφανίζεται ξαφνικά ένας φορητός υπολογιστής που δεν είχε συνδεθεί ποτέ στο συγκεκριμένο δίκτυο. Λίγα λεπτά αργότερα επικοινωνεί με έναν προγραμματιζόμενο λογικό ελεγκτή (PLC) και πραγματοποιείται λήψη νέου προγράμματος. Η ενέργεια αυτή μπορεί να είναι αποτέλεσμα προγραμματισμένης συντήρησης. Μπορεί όμως να αποτελεί και ένδειξη μιας μη εξουσιοδοτημένης αλλαγής. Το κρίσιμο δεν είναι να υποθέσεις τι συμβαίνει. Είναι να γνωρίζεις ότι συνέβη και να μπορείς να αξιολογήσεις αν ήταν αναμενόμενο.

Η πραγματική πρόκληση δεν είναι να συλλέγεις περισσότερα δεδομένα. Είναι να αποκτάς επιχειρησιακή επίγνωση της κατάστασης (Operational Awareness). Να μπορείς να ξεχωρίσεις ποια δραστηριότητα είναι φυσιολογική και ποια αποτελεί απόκλιση. Να γνωρίζεις αν μια αλλαγή είναι αποτέλεσμα προγραμματισμένης συντήρησης, μιας τεχνικής βλάβης ή μιας μη εξουσιοδοτημένης ενέργειας. Χωρίς αυτή τη διάκριση, ένας οργανισμός συχνά αντιλαμβάνεται ένα περιστατικό όταν είναι πλέον αργά.

Γι' αυτό και τα τελευταία χρόνια η κυβερνοασφάλεια στις ενεργειακές υποδομές μετατοπίζεται από την αποκλειστική προστασία προς τη συνεχή παρακολούθηση της λειτουργίας. Στον κόσμο της Λειτουργικής Τεχνολογίας (Operational Technology, OT) υπάρχει μια σημαντική ιδιαιτερότητα. Τα βιομηχανικά συστήματα είναι σχεδιασμένα ώστε να λειτουργούν αδιάλειπτα και δεν μπορούν να ανεχθούν παρεμβατικές μεθόδους ελέγχου που ενδέχεται να επηρεάσουν τη λειτουργία τους. Για τον λόγο αυτό, η παρακολούθηση πραγματοποιείται κατά κανόνα με παθητικό τρόπο, παρατηρώντας την κίνηση του δικτύου και αναλύοντας τις βιομηχανικές επικοινωνίες χωρίς να επηρεάζει τη λειτουργία της εγκατάστασης.

Με αυτόν τον τρόπο, ένας οργανισμός αποκτά πλήρη εικόνα των συσκευών που λειτουργούν στο περιβάλλον του, των πρωτοκόλλων επικοινωνίας που χρησιμοποιούνται και των σχέσεων μεταξύ των συστημάτων.

Η εικόνα αυτή όμως είναι πολύ πιο πλούσια από μια απλή απογραφή εξοπλισμού. Μπορεί να αποκαλύψει νέες ή άγνωστες συσκευές που εμφανίστηκαν στο δίκτυο, να χαρτογραφήσει τις πραγματικές ροές επικοινωνίας, να εντοπίσει γνωστές ευπάθειες (vulnerabilities), να αναδείξει αλλαγές στη διαμόρφωση κρίσιμων συσκευών ή ακόμη και να ανιχνεύσει ενέργειες όπως η λήψη νέου προγράμματος σε έναν προγραμματιζόμενο λογικό ελεγκτή (PLC). Με άλλα λόγια, δεν δείχνει απλώς τι υπάρχει, αλλά και τι αλλάζει.

Το ζητούμενο όμως δεν είναι ο όγκος της πληροφορίας. Είναι η μετατροπή της πληροφορίας σε γνώση και της γνώσης σε έγκαιρη απόφαση. Όταν αυτές οι πληροφορίες συνδυάζονται με μηχανισμούς ειδοποίησης (alerting), αναφορών (reporting) και διασύνδεσης με Κέντρα Επιχειρήσεων Ασφάλειας (SOC), ο οργανισμός αποκτά τη δυνατότητα όχι μόνο να γνωρίζει τι συμβαίνει, αλλά και να αξιολογεί την κρισιμότητα κάθε γεγονότος και να αντιδρά πριν μια απόκλιση εξελιχθεί σε πραγματικό επιχειρησιακό περιστατικό.

Αξίζει να σημειωθεί ότι μια πλατφόρμα παρακολούθησης περιβαλλόντων OT δεν λειτουργεί ως μια ακόμη αυτόνομη λύση ασφάλειας. Αντιθέτως, συμπληρώνει τις υφιστάμενες δυνατότητες του οργανισμού, παρέχοντας στο Κέντρο Επιχειρήσεων Ασφάλειας (SOC) πληροφορίες από τον κόσμο της Λειτουργικής Τεχνολογίας, τις οποίες τα παραδοσιακά εργαλεία πληροφορικής δεν μπορούν να προσφέρουν. Έτσι, η εικόνα του οργανισμού γίνεται πληρέστερη και η δυνατότητα έγκαιρης απόκρισης σημαντικά αποτελεσματικότερη.

Η αξία αυτής της προσέγγισης δεν περιορίζεται στην κυβερνοασφάλεια. Οι ίδιες πληροφορίες είναι εξίσου χρήσιμες για τις ομάδες λειτουργίας και συντήρησης. Η κατανόηση των πραγματικών επικοινωνιών, των εξαρτήσεων μεταξύ συστημάτων και των αλλαγών που πραγματοποιούνται καθημερινά διευκολύνει τη διάγνωση τεχνικών προβλημάτων, την αποκατάσταση βλαβών και τη λήψη τεκμηριωμένων επιχειρησιακών αποφάσεων. Η κυβερνοασφάλεια και η λειτουργία παύουν να αποτελούν δύο διαφορετικούς κόσμους και αρχίζουν να βασίζονται στην ίδια πληροφορία.

Οι πιο ώριμοι οργανισμοί δεν επενδύουν πλέον μόνο στην αποτροπή επιθέσεων. Επενδύουν στην ικανότητα να κατανοούν τη φυσιολογική λειτουργία των υποδομών τους και να αναγνωρίζουν έγκαιρα κάθε απόκλιση. Η κυβερνοασφάλεια δεν είναι μια στατική κατάσταση που επιτυγχάνεται μετά την εγκατάσταση κάποιων τεχνολογικών λύσεων. Είναι μια συνεχής διαδικασία κατανόησης της λειτουργίας του ίδιου του οργανισμού.

Βέβαια, ούτε η συνεχής παρακολούθηση αρκεί από μόνη της. Η πληροφορία αποκτά αξία μόνο όταν συνοδεύεται από σαφείς διαδικασίες, καθορισμένους ρόλους και δυνατότητα άμεσης αξιολόγησης και απόκρισης. Το να γνωρίζεις ότι κάτι άλλαξε είναι σημαντικό. Το να γνωρίζεις όμως ποιος θα αξιολογήσει αυτή την αλλαγή, ποιος θα αποφασίσει τις επόμενες ενέργειες και πώς θα αποκατασταθεί η κανονική λειτουργία είναι αυτό που τελικά καθορίζει την ανθεκτικότητα ενός οργανισμού.

Οι ενεργειακές υποδομές γίνονται ολοένα και πιο ψηφιακές, πιο διασυνδεδεμένες και πιο σύνθετες. Μέσα σε αυτό το περιβάλλον, η κυβερνοασφάλεια δεν βασίζεται μόνο στην προστασία των συστημάτων. Βασίζεται στην ικανότητα να αντιλαμβάνεσαι έγκαιρα ότι κάτι αλλάζει και να ενεργείς πριν αυτή η αλλαγή εξελιχθεί σε επιχειρησιακό πρόβλημα. Γιατί τελικά δεν μπορείς να διαχειριστείς αυτό που δεν αντιλαμβάνεσαι ότι συμβαίνει. Και η πραγματική ανθεκτικότητα δεν ξεκινά όταν συμβεί ένα περιστατικό. Ξεκινά από τη στιγμή που μπορείς να το διακρίνεις εγκαίρως.

___________

Μιχάλης Κούκος - Μηχανικός Αυτοματισμού

OT Security | ICS/SCADA | Critical Infrastructure

https://gr.linkedin.com/in/michalis-koukos-greece