Η κυβερνοασφάλεια ξεκινά από τον σχεδιασμό, όχι από τα εργαλεία

Ένας οργανισμός μπορεί να διαθέτει τείχη προστασίας (firewalls), εικονικά ιδιωτικά δίκτυα (VPN), συστήματα παρακολούθησης, Κέντρο Επιχειρήσεων Ασφάλειας (SOC) και μια σειρά ακόμη τεχνολογικών λύσεων. Αυτό όμως δεν σημαίνει απαραίτητα ότι η ενεργειακή του υποδομή είναι ασφαλής. Αν ένας σταθμός εργασίας μηχανικού μπορεί να επικοινωνεί ανεξέλεγκτα με δεκάδες ελεγκτές, αν υπάρχουν άμεσες διαδρομές μεταξύ εταιρικού και βιομηχανικού δικτύου ή αν ένας εξωτερικός συνεργάτης αποκτά πρόσβαση σε περισσότερα συστήματα από όσα πραγματικά χρειάζεται, τότε το πρόβλημα δεν είναι η έλλειψη εργαλείων. Είναι ο τρόπος με τον οποίο έχει σχεδιαστεί η ίδια η υποδομή.

Για πολλά χρόνια, η κυβερνοασφάλεια προστέθηκε εκ των υστέρων σε βιομηχανικά περιβάλλοντα που είχαν σχεδιαστεί με διαφορετικές προτεραιότητες. Η διαθεσιμότητα, η αξιοπιστία και η αδιάλειπτη λειτουργία βρίσκονταν δικαιολογημένα στο επίκεντρο, ενώ η συνδεσιμότητα ήταν περιορισμένη. Σήμερα όμως, τα περιβάλλοντα Επιχειρησιακής Τεχνολογίας (Operational Technology-OT) συνδέονται με εταιρικά δίκτυα, απομακρυσμένες εγκαταστάσεις, πλατφόρμες υπολογιστικού νέφους (cloud), κέντρα ελέγχου, κατασκευαστές και εξωτερικούς συνεργάτες. Η αρχιτεκτονική έχει αλλάξει. Μαζί της πρέπει να αλλάξει και ο τρόπος με τον οποίο σχεδιάζεται η ασφάλεια.

Μία από τις βασικότερες αρχές είναι απλή: δεν πρέπει όλα τα συστήματα να μπορούν να επικοινωνούν με όλα. Ένας προγραμματιζόμενος λογικός ελεγκτής (PLC), ένας σταθμός εργασίας μηχανικού, ένα σύστημα SCADA, ένας εταιρικός διακομιστής και ένας φορητός υπολογιστής εξωτερικού συνεργάτη δεν έχουν τον ίδιο ρόλο, την ίδια κρισιμότητα ούτε τις ίδιες ανάγκες επικοινωνίας. Όταν όμως όλα βρίσκονται σε ένα μη τμηματοποιημένο (flat) δίκτυο ή όταν οι μεταξύ τους διαδρομές δεν ελέγχονται επαρκώς, ένα περιστατικό σε ένα σημείο μπορεί να αποκτήσει πολύ μεγαλύτερη έκταση.

Εδώ ακριβώς βρίσκεται η αξία της τμηματοποίησης του δικτύου (network segmentation). Η λογική δεν είναι απλώς να δημιουργηθούν περισσότερα δίκτυα. Είναι να χωριστεί η υποδομή σε περιοχές με συγκεκριμένο λειτουργικό ρόλο και απαιτήσεις ασφάλειας και να ελέγχεται ποιες επικοινωνίες επιτρέπονται μεταξύ τους. Αυτή είναι και μία από τις βασικές αρχές πάνω στις οποίες στηρίζεται το διεθνές πρότυπο IEC 62443, μέσα από τη λογική των ζωνών και των διαύλων επικοινωνίας (zones and conduits). Συστήματα ομαδοποιούνται σε ζώνες με βάση τη λειτουργία και τις απαιτήσεις ασφάλειάς τους, ενώ οι επικοινωνίες μεταξύ των ζωνών πραγματοποιούνται μέσω ελεγχόμενων διαύλων. Είναι η ίδια αρχή που εφαρμόζεται στα στεγανά διαμερίσματα ενός πλοίου: μια ρωγμή σε ένα σημείο δεν βυθίζει ολόκληρο το σκάφος. Η αξία αυτής της προσέγγισης δεν βρίσκεται μόνο στην πρόληψη ενός περιστατικού, αλλά και στον περιορισμό των συνεπειών του όταν κάτι τελικά πάει στραβά.

Αυτό είναι ιδιαίτερα σημαντικό στις ενεργειακές υποδομές. Ένα περιστατικό σε έναν εταιρικό υπολογιστή δεν θα πρέπει να μπορεί να κινηθεί ανεξέλεγκτα προς ένα σύστημα SCADA. Μια παραβίαση σε μια απομακρυσμένη εγκατάσταση δεν θα πρέπει να δημιουργεί αυτόματα διαδρομή προς άλλες εγκαταστάσεις. Ένας εξωτερικός συνεργάτης που χρειάζεται να συντηρήσει έναν συγκεκριμένο ελεγκτή δεν χρειάζεται ταυτόχρονα πρόσβαση σε ολόκληρο το OT δίκτυο. Η καλή αρχιτεκτονική δεν προσπαθεί μόνο να κρατήσει τον επιτιθέμενο έξω. Προσπαθεί να περιορίσει το πόσο μακριά μπορεί να φτάσει αν τελικά μπει.

Το IEC 62443 αναδεικνύει και μια ακόμη σημαντική διάσταση: η ασφάλεια ενός βιομηχανικού συστήματος δεν εξαρτάται από έναν μόνο φορέα. Υπάρχει ο κατασκευαστής που σχεδιάζει τα προϊόντα, ο ενσωματωτής συστημάτων (integrator) που τα συνδυάζει σε ένα λειτουργικό σύστημα και ο τελικός χρήστης που το λειτουργεί και το συντηρεί. Ένα ασφαλές προϊόν που εγκαθίσταται ή διαμορφώνεται λανθασμένα μπορεί να δημιουργήσει κίνδυνο. Αντίστοιχα, ένα σωστά σχεδιασμένο σύστημα που δεν συντηρείται επαρκώς αποδυναμώνεται με τον χρόνο. Η ασφάλεια πρέπει να διατηρείται σε ολόκληρο τον κύκλο ζωής της υποδομής.

Σε αυτή τη λογική εντάσσεται και η άμυνα σε βάθος (defense in depth). Καμία μεμονωμένη δικλείδα ασφαλείας δεν είναι αλάνθαστη. Ένα συνθηματικό μπορεί να παραβιαστεί, μια ευπάθεια να αξιοποιηθεί, ένας φορητός υπολογιστής να μολυνθεί ή ένας νόμιμος λογαριασμός να χρησιμοποιηθεί από λάθος άνθρωπο. Γι' αυτό η προστασία δεν μπορεί να εξαρτάται από ένα μόνο τείχος προστασίας, ένα VPN ή ένα σύστημα ανίχνευσης απειλών. Χρειάζονται διαδοχικά επίπεδα ελέγχου, ώστε η αποτυχία ενός μέτρου να μη σημαίνει αυτόματα και απώλεια ολόκληρου του περιβάλλοντος.

Στην πράξη, αυτό σημαίνει διαχωρισμό μεταξύ εταιρικού και OT περιβάλλοντος, ελεγχόμενες ζώνες διασύνδεσης όπως η βιομηχανική ενδιάμεση ζώνη (Industrial DMZ), περιορισμό των επιτρεπόμενων επικοινωνιών, ασφαλή απομακρυσμένη πρόσβαση, εφαρμογή της αρχής της ελάχιστης αναγκαίας πρόσβασης (principle of least privilege) και παρακολούθηση των επικοινωνιών μεταξύ των διαφορετικών περιοχών του δικτύου. Δεν πρόκειται για ανεξάρτητα τεχνολογικά έργα. Είναι διαφορετικά επίπεδα της ίδιας αρχιτεκτονικής ασφάλειας.

Και εδώ βρίσκεται μια κρίσιμη διαφορά ανάμεσα στο να αγοράζει ένας οργανισμός προϊόντα κυβερνοασφάλειας και στο να σχεδιάζει πραγματικά μια ασφαλή υποδομή. Το πρώτο μπορεί να γίνει μεμονωμένα. Το δεύτερο απαιτεί κατανόηση της λειτουργίας. Ποιες διεργασίες είναι κρίσιμες; Ποια συστήματα τις υποστηρίζουν; Ποιες επικοινωνίες είναι πραγματικά απαραίτητες; Τι θα συμβεί αν ένα συγκεκριμένο σύστημα παραβιαστεί ή πάψει να είναι διαθέσιμο; Ποιο είναι το αποδεκτό επίπεδο κινδύνου;

Αυτή είναι και η ουσία της προσέγγισης του IEC 62443. Η ασφάλεια δεν αντιμετωπίζεται ως ένα επιπλέον τεχνολογικό επίπεδο που τοποθετείται πάνω από μια ήδη ολοκληρωμένη εγκατάσταση. Συνδέεται με την αρχιτεκτονική, την κρισιμότητα των συστημάτων, τις πραγματικές απειλές και τον κίνδυνο που καλείται να διαχειριστεί ο οργανισμός.

Το ερώτημα, επομένως, δεν είναι πόσα εργαλεία κυβερνοασφάλειας διαθέτει μια ενεργειακή υποδομή. Είναι αν αυτά λειτουργούν ως μέρη ενός συνεκτικού σχεδιασμού που μπορεί να αποτρέψει, να περιορίσει και να αντέξει ένα περιστατικό.

Η κυβερνοασφάλεια δεν πρέπει να είναι κάτι που προσθέτουμε στο τέλος ενός έργου. Πρέπει να αποτελεί μέρος του τρόπου με τον οποίο σχεδιάζουμε την ίδια την ενεργειακή υποδομή από την αρχή.

___________

Μιχάλης Κούκος - Μηχανικός Αυτοματισμού

OT Security | ICS/SCADA | Critical Infrastructure

https://gr.linkedin.com/in/michalis-koukos-greece