Wprowadzenie do problemu / definicja
Amerykański sektor infrastruktury krytycznej znalazł się w stanie podwyższonej gotowości po ostrzeżeniu dotyczącym aktywności cybernetycznej przypisywanej podmiotom powiązanym z Iranem. W centrum uwagi znalazły się sterowniki PLC, czyli programowalne kontrolery logiczne wykorzystywane w systemach OT do automatyzacji procesów przemysłowych, obsługi stacji elektroenergetycznych, produkcji energii oraz zarządzania infrastrukturą wodno-kanalizacyjną. Naruszenie tych urządzeń może prowadzić nie tylko do incydentu informatycznego, ale również do realnych zakłóceń procesów fizycznych.
W skrócie
Amerykańskie instytucje odpowiedzialne za cyberbezpieczeństwo ostrzegły, iż grupy powiązane z Iranem prowadzą działania wymierzone w środowiska OT, w tym w sterowniki PLC używane w sektorach krytycznych. Według komunikatów skutkiem ataków były zakłócenia działania kontrolerów w kilku obszarach infrastruktury krytycznej w USA. W odpowiedzi organizacje odpowiedzialne za niezawodność systemu elektroenergetycznego rozpoczęły wzmożony monitoring oraz zacieśniły współpracę z partnerami rządowymi i branżowymi.
- celem ataków są środowiska OT i sterowniki PLC,
- zagrożenie dotyczy sektorów o znaczeniu krytycznym,
- reakcja obejmuje intensywniejszy monitoring sieci energetycznej,
- sytuacja wpisuje się w szerszy kontekst napięć geopolitycznych.
Kontekst / historia
Incydent wpisuje się w szerszy trend eskalacji działań cybernetycznych towarzyszących konfliktom politycznym i militarnym. Kampanie przypisywane grupom sponsorowanym lub wspieranym przez państwa coraz częściej obejmują nie tylko klasyczne systemy IT, ale także środowiska przemysłowe. Infrastruktura energetyczna, wodociągowa i administracyjna pozostaje atrakcyjnym celem, ponieważ łączy wysoką wartość operacyjną z możliwością wywołania efektu psychologicznego i gospodarczego.
W omawianym przypadku ostrzeżenie pojawiło się w okresie wzrostu napięcia między Stanami Zjednoczonymi, Izraelem i Iranem. Z perspektywy bezpieczeństwa oznacza to, iż operatorzy infrastruktury krytycznej muszą liczyć się z działaniami odwetowymi w cyberprzestrzeni choćby wtedy, gdy formalnie nie są stroną konfliktu. To dodatkowo zwiększa znaczenie odporności operacyjnej i gotowości do pracy w warunkach podwyższonego ryzyka.
Analiza techniczna
Z udostępnionych informacji wynika, iż atakujący koncentrują się na sterownikach PLC, interfejsach operatorskich HMI oraz systemach nadzorczych SCADA. To szczególnie niebezpieczny scenariusz, ponieważ PLC odpowiadają za wykonywanie logiki sterowania w czasie rzeczywistym. W praktyce oznacza to możliwość wpływania na pracę pomp, zaworów, przekaźników, układów rozdzielczych czy innych elementów procesu technologicznego.
Opisane działania obejmują manipulację oprogramowaniem i ustawieniami konfiguracyjnymi kontrolerów, a także wpływanie na dane prezentowane operatorom na ekranach HMI i w systemach SCADA. Taki model ataku jest groźny podwójnie: z jednej strony może bezpośrednio zakłócić logikę sterowania, a z drugiej może wprowadzać obsługę w błąd poprzez pokazanie nieprawidłowego obrazu stanu instalacji.
W środowiskach energetycznych sterowniki PLC są szeroko wykorzystywane w automatyce stacyjnej, zarządzaniu źródłami rozproszonymi oraz sterowaniu procesami wytwórczymi. Kompromitacja tych urządzeń może skutkować utratą widoczności operacyjnej, błędnymi decyzjami personelu, zatrzymaniem części procesu lub wymuszeniem przejścia na tryby awaryjne. Problem nie ogranicza się do jednej platformy technologicznej, ale dotyczy całej klasy urządzeń OT, szczególnie tam, gdzie występuje słaba segmentacja, zdalny dostęp i przestarzałe rozwiązania wspierające.
Dodatkowym czynnikiem ryzyka jest wiek wielu instalacji przemysłowych. Liczne środowiska OT projektowano przede wszystkim z myślą o dostępności i ciągłości działania, a nie o nowoczesnych mechanizmach bezpieczeństwa. W efekcie przez cały czas spotyka się ograniczone uwierzytelnianie, niewystarczające rejestrowanie zdarzeń, słabe zarządzanie zmianą i trudności z szybkim wdrażaniem poprawek.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem podobnych incydentów jest przejście od kompromitacji cyfrowej do zakłóceń operacyjnych. W przeciwieństwie do klasycznych ataków na systemy biurowe, naruszenie warstwy sterowania przemysłowego może prowadzić do realnych skutków fizycznych, takich jak zatrzymanie procesu, utrata zasilania, nieprawidłowe działanie urządzeń czy zwiększone ryzyko uszkodzenia infrastruktury.
Z punktu widzenia operatorów sieci i zakładów przemysłowych zagrożenie obejmuje zarówno kwestie techniczne, jak i biznesowe.
- przerwy w świadczeniu usług krytycznych,
- straty finansowe wynikające z przestojów i działań naprawczych,
- zwiększone ryzyko incydentów bezpieczeństwa fizycznego,
- utrata zaufania do integralności danych procesowych,
- konieczność działania przy ograniczonej widoczności operacyjnej.
Szczególnie niebezpieczne są scenariusze, w których napastnicy nie tylko zmieniają konfigurację urządzeń, ale również fałszują dane widoczne dla operatorów. W takiej sytuacji organizacja może przez pewien czas nie mieć pewności, czy obserwowany stan instalacji jest zgodny z rzeczywistością. To zwiększa znaczenie niezależnych mechanizmów weryfikacji, procedur ręcznych i planów funkcjonowania w trybie degradacji.
Rekomendacje
Organizacje działające w środowiskach OT powinny potraktować tego typu ostrzeżenia jako sygnał do natychmiastowego przeglądu odporności operacyjnej. Priorytetem powinny być działania ograniczające możliwość przejęcia kontroli nad sterownikami oraz poprawiające zdolność wykrywania manipulacji w warstwie procesu.
- weryfikacja ekspozycji sterowników PLC, HMI i systemów SCADA na sieci zewnętrzne oraz połączenia z segmentami IT,
- przegląd kont uprzywilejowanych, zdalnego dostępu i mechanizmów uwierzytelniania w środowisku OT,
- wzmocnienie segmentacji między IT i OT oraz pomiędzy strefami o różnym poziomie krytyczności,
- sprawdzenie integralności konfiguracji sterowników, logiki sterowania i kopii zapasowych projektów,
- monitoring zmian w parametrach procesowych, alarmach, ekranach operatorskich i konfiguracjach urządzeń,
- ograniczenie możliwości bezpośredniego programowania sterowników wyłącznie do autoryzowanych stacji inżynierskich,
- weryfikacja aktualnych zaleceń producentów i porad dotyczących hardeningu wdrożonych platform,
- przygotowanie procedur awaryjnych umożliwiających bezpieczne przejście na sterowanie manualne lub tryb ograniczonej funkcjonalności,
- obniżenie progu zgłaszania podejrzanych zdarzeń i aktywniejsza wymiana informacji z centrami ISAC, regulatorami i partnerami rządowymi.
Z perspektywy obronnej warto przyjąć, iż sama detekcja sieciowa może być niewystarczająca. W środowiskach przemysłowych najważniejsze jest łączenie telemetrii z sieci, stacji inżynierskich, systemów operatorskich i samego procesu technologicznego. Dopiero taka korelacja zwiększa szansę wykrycia manipulacji, która na pierwszy rzut oka może wyglądać jak zwykła zmiana operacyjna.
Podsumowanie
Ostrzeżenie dotyczące aktywności grup powiązanych z Iranem pokazuje, iż sterowniki PLC pozostają jednym z najbardziej wrażliwych elementów infrastruktury krytycznej. Ataki na systemy OT nie muszą prowadzić do spektakularnego sabotażu, aby były groźne. Już sama możliwość zakłócenia pracy kontrolerów, manipulacji widokiem HMI i podważenia zaufania do danych procesowych stanowi poważne ryzyko operacyjne dla sektora energetycznego i innych branż krytycznych.
Źródła
- Cybersecurity Dive — NERC is ‘actively monitoring the grid’ following Iran-linked cyber threat — https://www.cybersecuritydive.com/news/nerc-cisa-iran-war-cyber-hacking/817079/
- CISA Cybersecurity Advisory AA26-098A — https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-098a
- E-ISAC Alert — U.S. Government Joint Advisory on IRGC-Affiliated Hackers Targeting PLCs in U.S. Critical Infrastructure — https://www.eisac.com/alert/us-government-joint-advisory-on-irgc-affiliated-hackers-targeting-plcs-in-us-critical-infrastructure/
- Rockwell Automation Security Advisories — https://www.rockwellautomation.com/en-us/company/news/magazines-and-newsletters/security-advisories.html
