Виртуална сигурност на SCADA системи в критични инфраструктури

 Сигурността на SCADA системите е от особено значение в стратегически важни за икономиката промишлени и инфраструктурни обекти - електроенергийни съоръжения, рафинерии, нефтопроводи, пречиствателни станции, производствени бази, комуникационни и транспортни инфраструктури. С усъвършенстването на технологиите и нарастването на броя на онлайн достъпните SCADA устройства, се повиши и уязвимостта на секторите, контролирани от тях.

Причини за уязвимостта на SCADA системите
В недалечното минало загрижеността за сигурността на системите за контрол е била насочена главно към ограничаване на физически атаки. Операторите на SCADA системи са считали, че ако управляваните конзоли са добре изолирани и само оторизирани лица имат достъп до мрежата, то системата е изцяло подсигурена. Съществувал е минимален риск от атаки, тъй като малко хора са имали необходимите технически познания за системата, а пътищата за предаване на данни са били изолирани. Но SCADA системите се развиха бързо от самостоятелни хардуерно-софтуерни системи през 70-те години на миналия век до съвременните системи, които оперират със стандартни персонални компютри и операционни системи, TCP/IP комуникации и използват Интернет като преносна среда и др. С това възникнаха и нови проблеми, свързани със сигурността на данните, тъй като с внедряването на TCP/IP протоколите и уебтехнологиите, хакерите получиха алтернативни пътища за достъп до системите за управление.

Сред останалите фактори, допринесли за нарастващата уязвимост на системите за контрол, може да посочим:
Интеграция на системите за контрол на предприятията в корпоративни мрежи - изисква подходящ контрол на сигурността и на двете мрежи.

Несигурно отдалечено свързване – едно от основните предизвикателства, особено в големите предприятия и най-вече тези от петроло- и газодобива, е площта, върху която те оперират - понякога от стотици до хиляди квадратни километри, простиращи се както на сушата, така и в морските райони. Това обикновено означава, че важни данни се събират и предават от отдалечени райони, където физическата защита е минимална, а поддръжката - изключително скъпа. Именно това обуславя необходимостта от надеждна и сигурна линия за отдалечен достъп. Поради огромните пространства, които трябва да се покриват, компаниите често използват мрежи от други доставчици за пренос на важни процесни данни. Ако не се използват най-съвременни криптиращи и идентификационни механизми, целостта на предаваната информация става уязвима.

Използване на стандартизирани протоколи и технологии - производителите на оборудване започнаха да предоставят публично своите патентовани протоколи и техните спецификации, с цел други производители да започнат производство на съвместимите с тях възли и елементи. Организациите също предпочитат да преминат към по-евтини стандартизирани технологии като например Microsoft’s Windows, с цел да се намалят разходите и да се подобри системният обхват и производителност. Резултатът е увеличаване на броя на хората, които притежават необходимите познания и инструменти да атакуват системата, а също така и по-голям брой системи, уязвими към атака. Цялото множество от слаби места в нормалната ИТ операционна система е валидно и за SCADA системите. Разликата в сравнение с ИТ е, че там софтуерното обновяване на инфраструктурата е по-лесно, докато операторът на SCADA поддържа системи, които се очаква да работят без прекъсване. Наличието на тестова среда не е обичайна практика, затова най-често срещаните проблеми са свързани с обновяването на системите.

Леснодостъпна техническа информация - публичната информация за инфраструктурите и контролните системи е лесно достъпна за потенциални хакери и нарушители. Проекти, експлоатационни документи и технически стандарти за критични инфраструктури могат да бъдат намерени в Интернет, което значително застрашава общата сигурност.

Идентификация – често срещана практика е SCADA системите да разполагат със споделени пароли. Това създава удобство за персонала, но премахва смисъла на разпознаването на упълномощените лица и отговорността към сигурността на системата.

Антивирусни програми – някои от операторите се предоверяват на използвания софтуер за откриване на пробиви (Intrusion Detection Software-IDS), но повечето специалисти смятат, че защитните стени и антивирусните софтуери не са достатъчни.
Безжични комуникации - SCADA системите често използват безжични канали за предаване на информация – радиочестоти, клетъчни услуги, стандарта за безжична връзка 802.11 и др. В зависимост от изпълнението, тези форми на комуникация могат да бъде уязвими към различни видове атаки.

Устройства, използващи повече от един мрежови интерфейс за връзка - подобни устройства, свързани към различни мрежи, могат евентуално да позволят неоторизиран достъп и прехвърляне на данни от една мрежа в друга.

Процесори с дистанционно управление - някои класове процесори с дистанционно управление разпознават рисковите места в сигурността. Но изчислителните възможности и ресурси на паметта на процесорите не са големи и не са подходящи за подобряване на сигурността. Освен това, след като се монтират, обикновено не се сменят до десет или повече години. Резултатът е уязвимо оборудване за дълго време.

Възможни заплахи за сигурността
Умишлените заплахи за сигурността на SCADA системите могат да бъдат обобщени в няколко групи. В първата от тях попада злонамереният софтуер (malware). Подобно на всяка информационна система, SCADA системите са потенциално уязвими за вируси, червеи, троянски коне и шпионски софтуер. За целите на тази категоризация, заплахата от злонамерен софтуер се дефинира като нецеленасочена атака, която няма „интерес в SCADA системите. Тя може да повлияе на системата чрез повреждане на данни, инсталиране на back doors (скрит метод за заобикаляне на обичайните компютърни системи за идентификация) или key stroke loggers (програма, която запаметява изписания текст, пароли или команди по набраните клавиатурни последователности).

Широко разпространение напоследък получават и паразитни мрежи (Bot-network). Те овладяват няколко системи едновременно и извършват координирани атаки за разпространение на злонамерен софтуер. Челно място в топ десет “ботнет” мрежи заема троянският кон Zeus, който до момента е атакувал над 3.6 милиона компютри. Zeus използва технологията key-logging, с която краде информация и създава фалшиви HTML (Hypertext Markup Language) форми за логин и по този начин се добира до най-различни типове информация. Ботнет атаките заемат голям процент от кибер престъпността като цяло.

Друга неоторизирана умишлена намеса в системата е блокирането на нормалната й работа, известна като DoS (denial of service), при която мрежата се наводнява с безполезен трафик, което крайно понижава работоспособността й. Широко се използва при компютърните мрежи и т. нар. маскиране или спуфинг, при което се разпращат имейли от неоторизирани лица под фалшиво име.

Пробив в SCADA системата може да причини и недоволен служител, склонен на преднамерени действия. Вътрешният човек може да бъде мотивиран да повреди или да наруши функционирането на SCADA системата или самия хардуер. Разбира се, не се изключва и вероятността операторите по невнимание да допуснат грешки, които да повредят системата.

В следващата група заплахи попадат хакерите. Обикновено това са външни лица, заинтересовани от пробив, изследване или контролиране на системата заради самото предизвикателство или заради придобиване на информация, присвояване на данни или създаване на неоторизирани промени в системата, които често водят до нейния срив, недобра функционалност и т. н.

Разбира се, не на последно място са специално организираните престъпни групи, които се стремят да унищожат, обезвредят или използват критични инфраструктури за свои собствени цели.

Кибероръжията Stuxnet, Duqu, Flame и Gauss
Сред най-популярните в последно време компютърни вируси, насочени към индустриални и инфраструктурни обекти, са Stuxnet, Duqu, Flame и Gauss. Stuxnet е компютърен червей, насочен към сложни индустриални системи за управление. Открит е за първи път през юли 2010 г. Според някои изследователи на проблема вирусът е бил фокусиран върху програмируеми контролери на Siemens, широко използвани в различни индустриални производства по света, включително и в иранската ядрена програма. Функцията на вируса е да атакува компютрите, използвани за управление на широкомащабни системи за индустриален контрол, внедрени в промишлени и ютилити компании, с цел да предизвика физическото унищожаване на засегнатите инсталации. Софтуерът не ползва бъг в системата на Siemens, за да проникне в компютъра, а минава през неоткрит досега бъг в Windows. Вирусът атакува управляващия софтуер на Siemens, наречен Simatic WinCC, който работи върху Windows ОС. Разпространява се чрез заразени USB устройства, поставени в USB порта на компютъра. След поставянето на флашката вирусът сканира системата Siemens WinCC или друго USB устройство и се самокопира върху него, но ако засече софтуер на Siemens, веднага се опитва да се свърже, ползвайки парола по подразбиране. В противен случай не се задейства. За да се вмъкне в Windows системи, изискващи цифров подпис - честа практика в SCADA среди, вирусът ползва цифров подпис, асоцииран с полупроводниковия производител Realtek. Вирусът се задейства всеки път, когато жертвата се опита да види съдържанието на USB устройството. До момента е използван само за отделни целенасочени атаки.

Stuxnet е последван от откритите през 2012 г. две тясно свързани форми на злонамерен софтуер - Duqu и Flame. Duqu търси информация, която може да бъде полезна при атакуване на промишлени контролни мрежи, например пароли за достъп, и със събраната необходима информация се връща обратно в неговия център за управление и контрол. Flame съществува няколко години, преди да бъде открит.Той може да записва и Bluetooth комуникации. Duqu и Flame също проявяват специален интерес към файлове на AutoCAD.

Червеите Stuxnet, Duqu и Flame са разгледани и разучени подробно.Техните сегменти са били анализирани и публикувани в доклади, документи и блогове. За съжаление, в резултат на проверка на всички публикувани материали е установено, че градивните блокове на използвания код на Stuxnet са показани, което от своя страна може да доведе потенциална заплаха за останалата част от потребителите. Добре запознати хакери могат да използват тези битове и сегменти като модел, по който да създадат нови, по-злонамерени софтуери.

Най-новото попълнение в кибер арсенала на хакерите е Gauss - сложен вирус, наречен в чест на немския математик Йохан Карл Фридрих Гаус. Специалисти по информационна сигурност са открили вируса през месец юни 2012 г. в рамките на мащабна кампания за определяне и борба с рисковете във виртуалното пространство. Установено е, че Gauss тайно изпраща на хакера информация за паролите и банковите сметки на ползвателя, някога въвеждани или съхранени в браузъра. Също така се прехвърлят файлове тип cookie с подробности за конфигурацията на заразената система. В общ вид Gauss изглежда като типична сонда - събира информацията, която се съдържа в браузъра. Новият вирус е наследил умението да заразява и USB памети, подобно на предшествениците си, но за разлика от предишните вируси при определени критични ситуации Gauss може да се самоунищожи заедно с откраднатите данни.

Функции на защитните стени
Както вече споменахме, връзката между SCADA системите и корпоративните мрежи крие съществен риск за сигурността, затова трябва да бъде внимателно проектирана и изпълнена. Препоръчително е между мрежите да има колкото се може по-малко връзки (ако е възможно и само една), като се използват защитни стени. Защитните стени предпазват устройствата в мрежата, като наблюдават и контролират получаваните пакети дали съответстват на предварително избраната политика на филтриране. Използват се за разделяне и изолиране на отделните подмрежи, което повишава сигурността на системата. Различават се няколко основни типа защитни стени - за филтриране на пакети (packet filtering firewalls), за проверка състоянието на връзките (stateful Inspection), приложни прокси защитни стени, изградени върху шлюзове (application-proxy gateway firewalls) и други.

Защитните стени предоставят множество инструменти за прилагане на политики за сигурност, които иначе не биха могли да бъдат реализирани с наличните на пазара устройства за управление. Тези инструменти дават възможност за блокиране на всички съобщения (с изключение на специално разрешените) между незащитената корпоративна LAN и защитените ICS мрежи. Също така, благодарение на тях, потребителите могат да бъдат ограничени да се свързват в управляващата мрежа само с устройства, до които имат достъп вследствие на преките си служебни задължения. Това намалява възможността те умишлено или случайно да получат достъп до управляващи устройства, за които не са упълномощени. В допълнение към традиционното филтриране, много персонални защитни стени могат да бъдат конфигурирани да позволяват комуникация въз основа на създадени списъци на разрешени сфери на приложение и да не разрешават комуникация между други приложения.

Много защитни стени включват и технологии за предотвратяване на проникванията (Intrusion Prevention Systems - IPS), с които могат да се открият злонамерени атаки към системата.

Защитните стени сами по себе си не са в състояние да осигурят защита на SCADA системите срещу всички видове заплахи. Необходима е многослойна стратегия, включваща в себе си поне два взаимно препокриващи се механизми за сигурност.