Bezpieczeństwo OT/ICS/SCADA – gdy cyberatak może zatrzymać linię produkcyjną

Zmiana rusza o godzinie 6:00. Siedemnaście minut później operator traci podgląd temperatury i ciśnienia, a serwer przestaje odpowiadać. Linia nadal pracuje, ale nikt nie potrafi potwierdzić, czy wyświetlane parametry na maszynach są prawidłowe. Kierownik musi zdecydować: zatrzymać produkcję czy ryzykować uszkodzeniem partii towaru, maszyn lub zagrożeniem dla życia lub zdrowia pracowników.

Powodem nie musi być awaria. Wystarczy przejęte konto serwisowe, ransomware na stacji inżynierskiej albo nieautoryzowana zmiana w systemie sterowania. W środowisku OT cyberatak szybko wychodzi poza ekran komputera, jego skutki widać bezpośrednio na hali. Co naprawdę chroni systemy ICS i SCADA przed takim scenariuszem, a które zabezpieczenia przeniesione z IT mogą przynieść więcej problemów niż korzyści?

OT, ICS i SCADA – co oznaczają te pojęcia?

OT (Operational Technology) obejmuje urządzenia i systemy, które monitorują proces fizyczny lub bezpośrednio na niego wpływają. Są to m.in. sterowniki PLC, panele operatorskie HMI, czujniki, napędy, roboty i stacje inżynierskie.

ICS (Industrial Control Systems) to część środowiska OT odpowiedzialna za sterowanie procesem przemysłowym. Do tej grupy zalicza się systemy SCADA, DCS oraz układy oparte na sterownikach PLC. ICS security oznacza ochronę tych systemów przed nieautoryzowanym dostępem, zmianą konfiguracji i zakłóceniem komunikacji.

SCADA (Supervisory Control and Data Acquisition) służy do nadrzędnego nadzoru i zbierania danych z instalacji. Odbiera informacje ze sterowników PLC i urządzeń RTU, wyświetla je operatorom, generuje alarmy oraz umożliwia wydawanie poleceń. Bieżącą pracą maszyny zwykle zarządza PLC, natomiast SCADA zapewnia podgląd i kontrolę nad większą częścią procesu.

Dlaczego cyberbezpieczeństwo OT wymaga innego podejścia?

W IT można zrestartować komputer, odłączyć stację od sieci albo wdrożyć poprawkę poza godzinami pracy. W produkcji taka decyzja może zatrzymać linię, przerwać proces technologiczny lub stworzyć zagrożenie dla ludzi. Część urządzeń działa bez przerwy od wielu lat i nie może być swobodnie aktualizowana.

Operator musi mieć pewność, że odczyt temperatury jest prawdziwy, sterownik wykonuje właściwy program, a polecenie zatrzymania awaryjnego zadziała zgodnie z projektem. Bezpieczeństwo sieci OT nie może opierać się na kopiowaniu zasad z sieci biurowej. Instalację agenta, aktywne skanowanie czy aktualizację trzeba wcześniej ocenić pod kątem wpływu na produkcję.

Jak dochodzi do ataków na systemy przemysłowe?

Atak na środowisko OT nie musi zaczynać się od sterownika. Drogą dostępu może stać się komputer serwisowy, stacja inżynierska, konto dostawcy albo system w sieci IT połączony ze środowiskiem produkcyjnym. Brak segmentacji i kontroli połączeń może następnie umożliwić dostęp do kolejnych urządzeń.

Najczęstsze źródła ryzyka to:

• zdalny dostęp działający stale i bez MFA;
• współdzielone konta serwisowe;
• nieaktualizowane stacje operatorskie i inżynierskie;
• nośniki USB oraz laptopy używane przez serwis;
• brak podziału pomiędzy siecią IT i produkcyjną;
• brak kopii programów PLC, konfiguracji HMI i receptur.

Z kolei ransomware nie musi infekować urządzeń automatyki. Zaszyfrowanie serwera receptur albo stacji inżynierskiej może wystarczyć, by dalsza produkcja stała się niemożliwa lub zbyt ryzykowna.

Co realnie poprawia bezpieczeństwo sieci OT?

Pierwszym krokiem jest inwentaryzacja. Trzeba wiedzieć, jakie urządzenia działają w sieci, z kim się komunikują, jakie mają wersje oprogramowania i kto za nie odpowiada. W środowisku produkcyjnym rozpoznanie najlepiej prowadzić pasywnie, na podstawie obserwacji ruchu. Aktywne skanowanie starych lub wrażliwych urządzeń może zakłócić ich pracę.

Kolejny obszar to segmentacja. IT i OT powinny być rozdzielone, a ruch pomiędzy nimi przechodzić przez kontrolowane punkty. Jedna zapora na granicy nie wystarczy, jeśli po jej przekroczeniu można dotrzeć do wszystkich linii i sterowników. Sieć produkcyjną należy dzielić na strefy zgodne z funkcją i krytycznością procesu. Pomiędzy IT i OT często stosuje się przemysłową strefę DMZ z systemami pośredniczącymi.

Szczególnej kontroli wymaga zdalny dostęp. Dostawca lub integrator powinien korzystać z indywidualnego konta, MFA i serwera pośredniczącego. Sesja może być otwierana na czas konkretnej pracy, zatwierdzana przez uprawnioną osobę i rejestrowana. Stały tunel VPN uruchomiony „na wszelki wypadek” znacznie zwiększa ryzyko.

Monitoring OT powinien działać pasywnie i rozumieć protokoły przemysłowe. Pozwala wykryć nowe urządzenie, nietypowe połączenie lub zmianę programu sterownika bez aktywnego odpytywania urządzeń. Zespół musi też wiedzieć, kto analizuje alert i kiedy należy odizolować fragment sieci.

Potrzebne są kopie programów PLC, konfiguracji HMI, receptur, licencji i ustawień urządzeń sieciowych. Kopia ma wartość dopiero po sprawdzeniu, czy pozwala odtworzyć środowisko. Plan reakcji na incydent powinien opisywać również bezpieczny powrót do produkcji, a nie wyłącznie usunięcie złośliwego oprogramowania.

Łączenie sieci firmowej ze środowiskiem produkcyjnym

Dane z produkcji trafiają do ERP, systemów utrzymania ruchu, raportowania i chmury. Dostawcy diagnozują urządzenia zdalnie, a kierownictwo oczekuje bieżących informacji o wydajności. Każde takie połączenie zwiększa jednak powierzchnię ataku.

Nie chodzi o całkowite odizolowanie produkcji. Trzeba określić, które dane mają przepływać pomiędzy strefami, w jakim kierunku i przez jakie systemy. IT odpowiada za sieć i ochronę informacji, automatycy znają wpływ zmian na proces, a właściciel produkcji ocenia ryzyko przestoju. Te zespoły muszą wspólnie zatwierdzać architekturę i zmiany.

Od czego zacząć?

Ochrona infrastruktury przemysłowej przed cyberatakami nie musi zaczynać się od przebudowy całej fabryki. Można wybrać jedną ważną linię, zinwentaryzować jej urządzenia i połączenia, sprawdzić segmentację, zdalny dostęp oraz kopie konfiguracji. Taki przegląd pokaże, które problemy można usunąć od razu, a które wymagają projektu i okna serwisowego. Cyberbezpieczeństwo OT ma chronić produkcję. Dobrze zaprojektowane zabezpieczenia ograniczają możliwość wejścia do sieci, utrudniają przemieszczanie się pomiędzy jej częściami, pozwalają wcześniej wykryć nieprawidłowości i skracają czas odtworzenia po incydencie.