ICS i SCADA sustavi upravljaju fizičkim procesima u stvarnom svijetu. ICS je zajednički naziv za industrijske upravljačke sustave (Industrial Control Systems), a SCADA (Supervisory Control and Data Acquisition) je vrsta takvog sustava koja nadzire i upravlja postrojenjem na daljinu, najčešće preko velikog geografskog područja. Iza tih kratica stoji konkretna oprema: programabilni logički kontroleri (PLC), udaljene terminalne jedinice (RTU), senzori, aktuatori i radne stanice operatera koji prate proces. U Hrvatskoj te sustave svakodnevno koriste elektrane i prijenosna mreža, vodoopskrba i pročišćavanje otpadnih voda, plinska infrastruktura, rafinerije, kemijska postrojenja i proizvodne linije u industriji.
Razlika u odnosu na uredsku informatiku je suštinska. Kad padne poslovni e-mail, posljedica je neugodna, ali digitalna. Kad netko poremeti SCADA sustav koji upravlja crpkama u vodoopskrbi ili zaštitnim relejima u trafostanici, posljedice su fizičke: zastoj proizvodnje, oštećenje opreme, prekid opskrbe ili ugrožavanje sigurnosti ljudi. Zbog toga se sigurnost operativne tehnologije (OT) gradi po drugačijim pravilima od klasične IT sigurnosti. Ovaj tekst objašnjava te razlike, glavne prijetnje i konkretne korake za podizanje razine zaštite. Širi kontekst dajemo u pregledu industrijske i OT sigurnosti.
Gdje se ICS i SCADA koriste
ICS i SCADA nisu apstrakcija, nego osnova kritične infrastrukture. U energetici upravljaju proizvodnjom, prijenosom i distribucijom struje, otvaranjem prekidača i radom zaštitnih sustava. U vodoopskrbi reguliraju crpke, ventile, razine spremnika i doziranje kemikalija za pročišćavanje. U naftnoj i plinskoj industriji nadziru cjevovode, tlak i protok na velikim udaljenostima.
U proizvodnji su ICS sustavi srce svake automatizirane linije: robotske ćelije, transportne trake, prešе i sustavi za pakiranje rade pod kontrolom PLC-ova. Mnogi od tih sektora spadaju pod obveznike NIS2 direktive jer pružaju usluge ključne za društvo. Zastoj u takvom okruženju nije samo trošak za jednu tvrtku, nego može pogoditi cijeli lanac ili zajednicu koja ovisi o usluzi.
Zašto se OT sigurnost bitno razlikuje od IT-a
U klasičnoj IT sigurnosti prioritetni redoslijed obično glasi povjerljivost, integritet, dostupnost. U OT okruženju taj se redoslijed obrće. Najvažnija je sigurnost ljudi i pogona, zatim dostupnost procesa i njegov integritet, a tek na kraju povjerljivost podataka.1 Sustav koji upravlja turbinom, pećnicom ili kemijskim reaktorom ne smije se jednostavno ugasiti radi ažuriranja, jer nekontrolirano zaustavljanje samo po sebi može biti opasno.
Druga velika razlika je dob i način rada. Industrijski sustavi projektirani su za životni vijek od petnaest, dvadeset ili više godina i rade neprekidno. Mnogi su nastali u doba kad nisu bili spojeni na mrežu, pa sigurnost nije bila ugrađena u dizajn. Industrijski protokoli poput Modbusa, DNP3 ili starijih varijanti OPC-a često nemaju autentifikaciju ni enkripciju: tko god dođe do mreže, može slati naredbe uređajima.
Treća razlika je odnos prema zakrpama. U IT-u se ažuriranja primjenjuju redovito i automatizirano. U OT-u su nadogradnje rijetke, jer zahtijevaju zaustavljanje procesa, ponovnu certifikaciju i testiranje, a često ih ograničava i sam proizvođač opreme. Zbog toga ranjivi sustavi ostaju u pogonu godinama nakon što je slabost javno poznata. Tablica niže sažima te razlike.
| Obilježje | Klasični IT | ICS / SCADA (OT) |
|---|---|---|
| Glavni prioritet | Povjerljivost podataka. | Sigurnost ljudi i dostupnost procesa. |
| Zastoj radi zakrpe | Često prihvatljiv i planiran. | Vrlo skup ili neprihvatljiv. |
| Životni vijek opreme | Tri do pet godina. | Petnaest godina i više. |
| Ažuriranje | Redovito i automatizirano. | Rijetko, uz zastoj i recertifikaciju. |
| Protokoli | TLS, autentifikacija standardna. | Modbus, DNP3, često bez autentifikacije. |
| Posljedica napada | Gubitak ili krađa podataka. | Fizički zastoj, šteta, opasnost po ljude. |
Glavne prijetnje za OT okruženja
Najčešća prijetnja danas nije ciljani sabotažni napad, nego ransomware koji se proširi iz IT mreže u OT. Napadač ulazi kroz phishing ili izloženu uslugu na uredskoj mreži, zatim se kreće bočno i, ako mreže nisu odvojene, dolazi do industrijskog dijela. Čak i kad se zlonamjerni softver ne pokrene na samim PLC-ovima, tvrtke često zaustave proizvodnju iz opreza jer ne mogu pouzdano potvrditi da OT nije zaražen. Detaljnije o tome pišemo u tekstu o zaštiti od ransomwarea.
Druga kategorija su ciljani napadi na sam proces. Tu napadač ne želi šifrirati podatke, nego promijeniti ponašanje postrojenja: lažne očitane vrijednosti, izmijenjene zaštitne pragove ili neispravne naredbe aktuatorima. Takvi napadi traže poznavanje konkretnog procesa i mnogo su rjeđi, ali su najopasniji jer ciljaju fizičku sigurnost. ENISA ih u svojim pregledima prijetnji prepoznaje kao rastući rizik za sektore kritične infrastrukture.2
Treća kategorija su insajderi i pogreške. Inženjer s legitimnim pristupom, vanjski serviser ili dobavljač opreme mogu, namjerno ili slučajno, izazvati incident. U OT okruženjima koja nemaju dobar nadzor takva radnja često ostane neopažena dok se posljedica ne pojavi u proizvodnji.
Purdue model i segmentacija mreže
Temelj OT sigurnosti je odvajanje mreža prema funkciji. Najčešći okvir za to je Purdue model, koji dijeli okruženje na razine: na vrhu su poslovni IT sustavi, ispod njih je tzv. demilitarizirana zona (DMZ) između IT-a i OT-a, zatim slijede nadzorni sustavi (SCADA, HMI), pa upravljački sloj (PLC, RTV) i na dnu fizički procesi i senzori. Cilj je da promet između razina prolazi samo kroz kontrolirane točke, a ne izravno.
Ključna je OT DMZ. Umjesto da SCADA poslužitelj izravno razgovara s poslovnim sustavima ili internetom, podaci se razmjenjuju preko posredničkih poslužitelja u DMZ-u. Tako uredska zaraza ne može jednim skokom doći do PLC-ova. IEC 62443 ovaj koncept formalizira kroz zone i kanale: mreža se dijeli na zone sličnog rizika, a sva komunikacija među njima ide kroz definirane i nadzirane kanale.1 Segmentacija ne sprječava svaki napad, ali drastično usporava bočno kretanje i ograničava štetu.
Sigurno daljinsko održavanje i nadzor mreže
Daljinski pristup je najčešća slaba točka. Dobavljači opreme i interni inženjeri trebaju pristup radi održavanja, pa se nerijetko ostavi izložen VPN, RDP ili modem koji nitko ne prati. To je idealna ulazna točka za napadača. Siguran daljinski pristup znači da prolazi kroz jednu kontroliranu točku, da je zaštićen višefaktorskom autentifikacijom, da se odobrava po potrebi i da se svaka sesija snima. O važnosti drugog faktora pišemo u tekstu o dvofaktorskoj autentifikaciji.
Uz to ide nadzor OT mreže. Budući da se na osjetljive uređaje ne smije instalirati agresivan softver, nadzor je u pravilu pasivan: poseban senzor sluša promet, gradi popis svih uređaja i normalnih obrazaca komunikacije, pa upozorava na odstupanja. Nova naredba zapisivanja prema PLC-u, nepoznati uređaj na mreži ili komunikacija s vanjskom adresom signali su koje pasivni nadzor uhvati bez ometanja procesa. Bez vidljivosti u OT mrežu, napad se otkrije tek kad se pojavi fizička posljedica.
IEC 62443 kao okvir
Za sustavno uređenje OT sigurnosti služi norma IEC 62443. To je niz međunarodnih standarda posvećenih industrijskim automatizacijskim i upravljačkim sustavima, namijenjen i vlasnicima postrojenja i proizvođačima opreme i integratorima. Za razliku od općih okvira informacijske sigurnosti, IEC 62443 govori jezikom industrije i uzima u obzir njezine posebnosti.
Dva su središnja koncepta. Prvi su zone i kanali, koji formaliziraju segmentaciju opisanu gore. Drugi su sigurnosne razine (Security Levels, SL 1 do SL 4), koje opisuju koliko sposobnog napadača sustav treba izdržati, od slučajnog dodira do ciljanog napadača s velikim resursima. Tvrtka definira ciljanu razinu za svaku zonu i prema njoj bira kontrole, umjesto da na sve primjenjuje isti recept.
NIS2 i Zakon o kibernetičkoj sigurnosti
Za mnoge industrijske i infrastrukturne subjekte OT sigurnost više nije izborna. NIS2 direktiva u Hrvatskoj je prenesena kroz Zakon o kibernetičkoj sigurnosti i obuhvaća operatere ključnih i važnih usluga, među njima energetiku, vodoopskrbu, promet i proizvodnju. Zakon traži upravljanje rizicima, tehničke i organizacijske mjere te prijavu značajnih incidenata u propisanim rokovima, a to se odnosi i na industrijske sustave, ne samo na uredsku informatiku.
U praksi to znači da uprava odgovara za sigurnost OT-a, da rizik treba procijeniti i dokumentirati, te da postrojenje mora moći otkriti i prijaviti incident. IEC 62443 i NIST-ove smjernice za OT sigurnost daju tehnički sadržaj kojim se te zakonske obveze ispunjavaju.1 Usklađenost nije sama sebi svrha: dobro postavljena prema NIS2, ona prirodno smanjuje i operativni rizik zastoja.
Koraci za podizanje OT sigurnosti
Zaštita OT-a gradi se postupno i oko postojećih sustava, jer se oni ne mogu lako mijenjati. Sljedeći redoslijed daje praktičan put.
- 01Popišite imovinu i vezeNapravite popis svih OT uređaja i svake veze prema IT-u i internetu. Bez tog popisa ne možete štititi ono što ne vidite.
- 02Segmentirajte prema Purdue modeluOdvojite OT od uredske mreže i interneta, uvedite OT DMZ i kontrolirajte promet između zona.
- 03Osigurajte daljinski pristupSav pristup vodite kroz jednu kontroliranu točku s višefaktorskom autentifikacijom, odobravanjem po potrebi i snimanjem sesija.
- 04Uvedite pasivni nadzorPostavite nadzor OT prometa koji uči normalno ponašanje i upozorava na odstupanja bez ometanja procesa.
- 05Planirajte zakrpe i kompenzacijeGdje ažuriranje nije moguće, primijenite kompenzacijske kontrole poput dodatne izolacije i strožeg nadzora.
- 06Pripremite odgovor na incidentImajte plan odgovora prilagođen fizičkim posljedicama i scenariju sigurnog zaustavljanja.
U OT-u ne branite podatke, nego pogon i ljude koji u njemu rade.
Kako Raptoric pomaže
Raptoric procjenjuje OT okruženja pažljivo i s razumijevanjem procesa, kroz ofenzivnu sigurnost, te pomaže postaviti nadzor i otkrivanje prijetnji u OT mreži kroz otkrivanje i odgovor na prijetnje (TDR). Cilj je zaštititi ICS i SCADA sustave bez ometanja proizvodnje i uz usklađenost s NIS2. Po našem iskustvu, najveći se napredak postiže segmentacijom i vidljivošću, a stvarna procjena ovisi o opsegu okruženja. Dogovorite uvodni razgovor.