Proč se průmyslové systémy (OT/ICS) testují jinak než IT

V IT je aktivní test rutina. Skener projde adresy, pokusí se zneužít nález, a když něco spadne, restartujete službu. V průmyslu tenhle přístup nepatří: aktivní sken nebo pokus o zneužití proti živému PLC, tedy programovatelnému automatu, který řídí výrobní proces, ho může shodit a zastavit linku. Na špatném místě to není výpadek služby, ale výpadek výroby nebo riziko pro lidi u stroje.

Řídicí jednotky nejsou stavěné na neočekávaný provoz. Běží roky bez restartu, mají omezenou paměť a reagují na povely, které od nich čeká proces, ne na to, co jim pošle skener. Nečekaný nebo zahlcující dotaz je dokáže rozhodit i bez jediného exploitu. Proto proč sken nepatří na živé zařízení není opatrnická poznámka, ale výchozí pravidlo.

Konkrétně jde o klasické skenery zranitelností, jako je Nessus nebo OpenVAS. Jsou navržené pro IT síť a tam jsou k nezaplacení: projdou každý port, pošlou zástup dotazů a schválně pokřivených paketů a počítají s tím, že na druhé straně stojí stack, který ten nápor ustojí. Přesně tenhle způsob práce ale do OT nepatří. Průmyslovému zařízení nevadí ani tak jedna sonda jako celý ten příval, na který stavěné není, takže se rozhodí samotným skenováním, ne až nějakým exploitem. Před aktivním skenováním v provozní OT síti varuje i příručka NIST k bezpečnosti průmyslových systémů. Není to vada nástroje, je to nástroj z jiného světa: dobrý na IT síť, ne na výrobní linku.

Kdo do výroby prostě naběhne a proskenuje ji jako webový server, prozradí, že OT nedělal. Opatrnost tady není omezení testu, je to podmínka, aby vůbec mohl proběhnout bez škody. Test, který zastaví výrobu, není důkaz odbornosti, ale její opak.

Aby se dalo mluvit o tom, kde testovat opatrně, potřebujete mapu. Purdue model je vrstvené uspořádání průmyslové sítě do úrovní, od kancelářského IT nahoře přes řídicí systémy až po senzory a pohony dole u samotného procesu. Popisuje, kde mají být hranice mezi úrovněmi a kudy smí provoz procházet.

Nejdůležitější je hranice mezi IT a OT. Když mezi kancelářskou sítí a řídicími systémy není pořádné oddělení, dostane se útočník, který ovládl jednu stanici v kanceláři, rovnou k tomu, co řídí výrobu. Právě tahle chybějící nebo děravá segmentace je to, co u OT prověřujeme jako první, ještě než dojde na jednotlivá zařízení.

Drátovou síť pod tou hranicí prověřuje samostatný test. Blog se drží OT vrstvy, ale IT síť, ze které se do OT přechází na ni navazuje z druhé strany, protože přechod mezi oběma světy je nejcennější místo k prověření.

Průmyslové protokoly vznikaly v době, kdy síť byla uzavřená a s útočníkem uvnitř nikdo nepočítal. Modbus a starší varianty DNP3 přenášejí povely mezi řídicím systémem a zařízeními bez ověření, takže zařízení uposlechne kohokoli, kdo se dostane do stejného segmentu a umí protokol. Kdo je v síti, může povel odposlechnout i podvrhnout.

Neznamená to, že průmysl je bezbranný z principu. Novější varianty na zabezpečení myslí: OPC UA má šifrování a ověření, DNP3 zná rozšíření Secure Authentication. Rozhoduje ale to, co reálně běží u vás. Vedle sebe jede nové i staré a slabým místem je ta nejstarší vrstva, na kterou se při modernizaci zapomnělo.

Test proto nezačíná u zařízení, ale u toho, co po síti teče. Z pasivního odposlechu se dá vyčíst, jaké protokoly jedou, kdo s kým mluví a kde jdou povely bez ověření, aniž by se do provozu jakkoli zasáhlo. Teprve když je jasné, kde je slabina, řeší se, jestli a jak ji vůbec bezpečně ověřit.

Základ je pasivní práce. Odposlech provozu a analýza konfigurace do systémů aktivně nezasahují, takže provoz o testu neví. Odhalí přitom segmentaci mezi zónami, běžící protokoly i povely bez ověření, a to všechno bez jediného aktivního požadavku.

Aktivní kroky přijdou na řadu jen tam, kde dávají smysl, a jen po schválení. Plánují se do servisního okna, kdy je proces odstavený nebo v režimu, který zásah unese, a jedou se v kooperaci s provozem, který má ruku na vypínači. Kde existuje testovací nebo záložní prostředí, přesunou se rizikové kroky tam; průmyslový provoz ho ale nemusí mít, a s tím se počítá dopředu.

Před každým rizikovým krokem se volá a popíše, co se chystá a co by se teoreticky mohlo stát. Rozhodnutí zůstává na tom, kdo za provoz odpovídá. Radši se nález doloží konfigurací a popisem dopadu než pokusem, který by ohrozil výrobu. Tenhle postup není pomalejší kvůli opatrnosti samé, ale proto, že cena jednoho špatného kroku je v OT nesrovnatelně vyšší než v IT.

První krok není test, ale inventura. Bez seznamu toho, co v provozu vlastně běží, jaká zařízení, jaké verze a jaké protokoly, se nedá říct, co je vůbec v ohrožení. Aktuální přehled zařízení přitom není samozřejmost a už jeho sestavení odhalí věci, které tam nikdo nečekal.

Druhý krok je segmentace mezi IT a OT. Oddělit kancelářskou síť od řídicích systémů tak, aby se z jedné kompromitované stanice nedalo dojít rovnou ke stroji, zavře nejkratší cestu dovnitř. Třetí je vzdálený přístup: kdo se zvenku dostane k údržbě, přes jaké spojení a jestli to někdo hlídá. Vzdálená údržba od dodavatele je cesta, kterou se do průmyslové sítě dostane někdo zvenčí.

Tohle jsou kroky, které zvládnete i bez nás. Až budete chtít vědět, co z toho reálně drží a kudy by se útočník dostal ke stroji, dá se nechat si OT prostředí otestovat tím opatrným způsobem, o kterém je celý tenhle text. A protože se průmyslová síť stává cílem i pro vyděračský software, stojí za přečtení i to, jak ransomware postupuje firmou.

Za normálních okolností ne, protože se pracuje převážně pasivně. Odposlech provozu a analýza konfigurace do systémů aktivně nezasahují, takže výroba o testu neví. Aktivní kroky, které by teoreticky mohly zařízení zatížit, se dělají jen po schválení a v domluveném servisním okně, v kooperaci s provozem. Před rizikovým krokem se volá a rozhodnutí zůstává na tom, kdo za provoz odpovídá.

Pořadím priorit. V IT je na prvním místě důvěrnost dat, v OT dostupnost a bezpečnost provozu: stroj musí běžet a nesmí nikoho ohrozit. K tomu se přidávají stará zařízení, která nesnesou neobvyklý provoz, a protokoly, které v základní podobě nemají ověření. Proto se v OT víc poslouchá a míň aktivně zasahuje než v IT.

Vrstvené uspořádání průmyslové sítě do úrovní, od kancelářského IT nahoře přes řídicí systémy až po senzory a pohony u samotného procesu. Popisuje, kde mají být hranice mezi úrovněmi a kudy smí provoz procházet. V praxi je nejdůležitější hranice mezi IT a OT: když chybí, dostane se útočník z kanceláře rovnou k tomu, co řídí výrobu.