Wprowadzenie do problemu / definicja
Cyberbezpieczeństwo systemów OT wchodzi w etap, w którym stawką nie jest już wyłącznie dostępność usług czy ciągłość produkcji. Coraz częściej analizowane są scenariusze, w których napastnicy dążą do trwałego uszkodzenia urządzeń, manipulacji procesami fizycznymi oraz osłabienia mechanizmów bezpieczeństwa przemysłowego.
To szczególnie niebezpieczny trend dla operatorów infrastruktury krytycznej, ponieważ środowiska OT odpowiadają za sterowanie procesami w energetyce, wodociągach, transporcie i przemyśle. Skutki skutecznego ataku mogą więc objąć nie tylko warstwę cyfrową, lecz także bezpieczeństwo ludzi, środowiska i stabilność usług publicznych.
W skrócie
- Eksperci ostrzegają przed przejściem od ataków zakłócających do działań destrukcyjnych w środowiskach OT.
- Główne cele napastników to sterowniki PLC, systemy sterowania przemysłowego oraz warstwa bezpieczeństwa procesowego, w tym systemy SIS.
- Największym problemem nadal pozostają podstawowe braki bezpieczeństwa, takie jak domyślne hasła, słaba segmentacja i ograniczona widoczność zdarzeń.
- W przypadku OT skutki incydentu mogą obejmować długotrwałe przestoje, uszkodzenia sprzętu oraz ryzyko fizyczne dla personelu.
Kontekst / historia
Dyskusja o destrukcyjnych cyberatakach na systemy OT nasiliła się po publicznych ostrzeżeniach ekspertów zajmujących się ochroną infrastruktury krytycznej. Coraz wyraźniej widać, że część przeciwników nie ogranicza się do sabotażu prowadzącego do przestojów, lecz bada możliwości wywołania trwałych skutków fizycznych.
Istotnym punktem odniesienia pozostaje kampania Triton z 2017 roku, uznawana za jeden z najważniejszych przypadków malware wymierzonego w systemy bezpieczeństwa procesowego. Incydent ten pokazał, że warstwa safety może stać się bezpośrednim celem ataku, a kompromitacja systemów SIS nie jest wyłącznie teoretycznym scenariuszem.
Dodatkowe obawy budzą ostrzeżenia dotyczące aktywności grup zainteresowanych urządzeniami PLC oraz środowiskami infrastruktury krytycznej, w tym sektorem wodnym. To wskazuje, że rozpoznanie i przygotowanie do operacji przeciw przemysłowym systemom sterowania staje się coraz bardziej dojrzałe.
Analiza techniczna
Kluczowa zmiana dotyczy intencji i sposobu działania napastników. W przeszłości wiele ataków na OT miało na celu zatrzymanie produkcji, wymuszenie okupu albo dostęp do wrażliwych informacji. Obecnie coraz częściej rozważa się scenariusze, w których celem jest uszkodzenie urządzeń, osłabienie zabezpieczeń procesu lub ukryta manipulacja parametrami pracy.
Szczególnie wrażliwym obszarem są sterowniki PLC. Jeśli przeciwnik uzyska możliwość modyfikacji logiki sterowania, może zmienić zachowanie instalacji bez natychmiastowego wywołania alarmu. Złośliwe instrukcje mogą pozostać uśpione i aktywować się dopiero po spełnieniu określonych warunków operacyjnych.
Równie niebezpieczne są ataki na systemy bezpieczeństwa procesowego. Warstwa safety została zaprojektowana po to, aby zatrzymywać niebezpieczne procesy lub ograniczać skutki awarii. Jeżeli napastnik osłabi ten mechanizm, organizacja traci ostatnią linię obrony przed incydentem fizycznym.
Trzecim obszarem jest trwałe uszkadzanie urządzeń przemysłowych. W odróżnieniu od klasycznych systemów IT, odtworzenie komponentów OT bywa znacznie trudniejsze ze względu na ograniczoną dostępność części, wymagania certyfikacyjne, zgodność procesową oraz konieczność planowania przestojów.
Problem pogłębia fakt, że wiele środowisk OT nadal zmaga się z podstawowymi słabościami bezpieczeństwa.
- Domyślne lub słabe hasła.
- Brak szyfrowania komunikacji.
- Ograniczone logowanie i telemetria.
- Słaba segmentacja między IT i OT.
- Niedostateczna kontrola zmian w logice sterowników.
- Ograniczona widoczność ryzyk w łańcuchu dostaw i zdalnym wsparciu.
W praktyce oznacza to, że atakujący często nie potrzebują zaawansowanych exploitów zero-day, aby osiągnąć groźny efekt. W wielu przypadkach wystarczają podstawowe błędy konfiguracyjne, zbyt szerokie uprawnienia oraz brak skutecznego monitoringu zmian.
Konsekwencje / ryzyko
Destrukcyjny atak na środowisko OT może prowadzić do znacznie poważniejszych konsekwencji niż typowy incydent w IT. Oprócz utraty dostępności systemów pojawia się realne ryzyko naruszenia bezpieczeństwa procesu oraz fizycznego uszkodzenia infrastruktury.
- Zatrzymanie lub degradacja procesów przemysłowych.
- Utrata funkcji bezpieczeństwa procesowego.
- Uszkodzenie sprzętu sterującego i wykonawczego.
- Długotrwałe przestoje związane z wymianą urządzeń.
- Ryzyko dla zdrowia i życia personelu.
- Zakłócenie usług publicznych, takich jak woda, energia czy transport.
- Wzrost kosztów operacyjnych, regulacyjnych i ubezpieczeniowych.
Najgroźniejsze są scenariusze, w których organizacja nie może szybko przywrócić działania z powodu fizycznego uszkodzenia urządzeń albo utraty zaufania do integralności logiki sterowania. W takim przypadku samo odtworzenie kopii zapasowej nie wystarczy i konieczna staje się pełna walidacja procesu oraz testy bezpieczeństwa.
Rekomendacje
Operatorzy infrastruktury krytycznej powinni zakładać, że przeciwnik może dążyć nie tylko do zakłócenia, ale również do zniszczenia środowiska OT. Wymaga to podejścia wykraczającego poza klasyczne procedury bezpieczeństwa IT.
- Usunięcie domyślnych haseł i wdrożenie silnego uwierzytelniania dla PLC oraz stacji inżynierskich.
- Ścisła segmentacja sieci IT i OT oraz separacja warstwy safety.
- Regularna kontrola integralności logiki sterowników i bezpieczne przechowywanie projektów automatyki.
- Rozbudowa monitoringu OT, w tym pasywnej analizy ruchu i rejestrowania zmian konfiguracji.
- Stosowanie mechanizmów kompensacyjnych tam, gdzie łatwe patchowanie urządzeń nie jest możliwe.
- Ocena ryzyk związanych z integratorami, dostawcami serwisu i kanałami zdalnego dostępu.
- Przygotowanie planów odzyskiwania obejmujących fizyczne uszkodzenie urządzeń, a nie tylko awarie systemów IT.
- Wspólne ćwiczenia zespołów IT, OT, utrzymania ruchu i bezpieczeństwa procesu.
Najważniejszym wnioskiem jest potrzeba wzmocnienia podstaw bezpieczeństwa. To właśnie w tych obszarach najczęściej powstają luki, które umożliwiają przeciwnikowi długotrwałe i trudne do wykrycia działanie w środowisku przemysłowym.
Podsumowanie
Zagrożenia dla systemów OT stają się coraz bardziej destrukcyjne i coraz częściej obejmują scenariusze prowadzące do fizycznych skutków incydentu. Przesunięcie z modelu zakłócenia do modelu zniszczenia oznacza, że organizacje odpowiedzialne za infrastrukturę krytyczną muszą inaczej spojrzeć na priorytety obrony.
Kluczowe znaczenie mają dziś segmentacja, ochrona sterowników PLC, bezpieczeństwo systemów SIS, kontrola integralności logiki oraz gotowość do odtworzenia środowiska po ataku obejmującym również sprzęt. Brak dojrzałości w podstawowych zabezpieczeniach nadal daje napastnikom przewagę, która w środowisku OT może przełożyć się na skutki znacznie poważniejsze niż w tradycyjnym IT.
Źródła
- Cybersecurity Dive — Hackers grow more willing to destroy, not just disrupt, OT systems — https://www.cybersecuritydive.com/news/critical-infrastructure-destructive-cyberattacks-black-hat/827260/
- MITRE ATT&CK — Triton Safety Instrumented System Attack (Campaign C0030) — https://attack.mitre.org/campaigns/C0030/
- MITRE ATT&CK — Triton (Software S1009) — https://attack.mitre.org/software/S1009/
- CISA — Joint Cybersecurity Advisory: IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including U.S. Water and Wastewater Systems — https://www.cisa.gov/sites/default/files/2024-12/aa23-335a-irgc-affiliated-cyber-actors-exploit-plcs-in-multiple-sectors.pdf
- MITRE ATT&CK for ICS — Safety Instrumented Systems (Mitigation M0812) — https://attack.mitre.org/mitigations/M0812/