Medzinárodné kybernetické agentúry vydali podrobné nové usmernenie, ktoré vyzýva prevádzkovateľov kritickej infraštruktúry, aby si vybudovali schopnosť odpojiť svoje najdôležitejšie prevádzkové technologické systémy (OT) od podnikových sietí, cloudových platforiem, služieb vzdialeného prístupu a ďalších externých pripojení počas závažného kybernetického útoku.
Usmernenie, publikované v rámci iniciatívy CI Fortify, upozorňuje, že bežná ochrana perimetra nemusí stačiť na ochranu základných služieb počas dlhotrvajúcej kybernetickej krízy. Prevádzkovateľom sa odporúča identifikovať minimálny súbor systémov potrebných na zachovanie dodávok elektriny, vody, komunikácií, dopravy a ďalších kritických služieb – a zabezpečiť, aby tieto systémy dokázali fungovať nezávisle, ak sa širšie siete stanú kompromitovanými.
Usmernenie vedie austrálske Australian Cyber Security Centre (v gescii Australian Signals Directorate) a bolo publikované spoločne s americkou agentúrou CISA (Cybersecurity and Infrastructure Security Agency) a ďalšími medzinárodnými partnermi. Predstavuje posun od snahy iba predchádzať prienikom smerom k príprave organizácií na pokračovanie prevádzky aj po tom, čo útočníci už preniknú do časti ich prostredia.
CISA uviedla, že dokument má pomôcť prevádzkovateľom izolovať prevádzkové technológie (OT) a súvisiace podporné systémy počas kybernetického incidentu, krízy alebo širšieho narušenia služieb. Austrálska kybernetická agentúra opísala cieľ ako zachovanie základných služieb pri súčasnom obmedzení útočníkov a vytvorenie bezpečného prostredia, z ktorého možno obnoviť kompromitovanú infraštruktúru.
Príprava na kompromitáciu, nie len na prevenciu
Ústrednou myšlienkou usmernenia je, že organizácie kritickej infraštruktúry sa musia pripraviť na situácie, v ktorých bežné kybernetické bezpečnostné kontroly zlyhali.
Štátom sponzorované skupiny bežne cielia na infraštruktúrne siete s cieľom spravodajského zberu a môžu sa snažiť vybudovať trvalý prístup, ktorý by mohol byť využitý na spôsobenie narušenia počas geopolitickej krízy. Aj kriminálne skupiny cielia na prevádzkovateľov, pretože poskytovatelia základných služieb čelia silnému tlaku na rýchlu obnovu prevádzky, čo z nich robí atraktívne obete ransomvéru a vydieračských kampaní založených na krádeži dát.
Prostredia OT predstavujú obzvlášť náročnú bezpečnostnú výzvu. Mnohé z nich obsahujú staršie (legacy) systémy navrhnuté predovšetkým s ohľadom na spoľahlivosť, bezpečnosť prevádzky a dlhú životnosť, nie na vystavenie moderným sieťam. Postupom času sa tieto systémy čoraz viac prepájali s podnikovým IT, cloudovými službami, platformami tretích strán na údržbu a nástrojmi na vzdialené monitorovanie.
Tieto prepojenia prinášajú prevádzkové výhody vrátane analytiky v reálnom čase, centralizovanej správy a prediktívnej údržby. Zároveň však môžu vytvárať cesty, ktorými sa útočník, ktorý najprv kompromituje účet zamestnanca, pracovnú stanicu dodávateľa alebo zariadenie vystavené internetu, môže presunúť smerom k systémom zodpovedným za fyzické procesy.
Britská National Cyber Security Centre (NCSC) upozornila, že dôsledky prieniku do OT môžu presahovať rámec krádeže dát a zahŕňať environmentálne škody, ujmu na zdraví a narušenie základných služieb. Zároveň poznamenáva, že vystavené OT prepojenia sú cieľom nielen sofistikovaných štátom podporovaných skupín, ale aj oportunistických hacktivistov.
Súvisiace: NCSC – zásady bezpečného pripojenia OT
Iniciatíva CI Fortify preto chápe izoláciu ako vopred pripravenú schopnosť odolnosti, nie ako improvizovanú núdzovú reakciu.
Prevádzkovatelia musia identifikovať systémy, na ktorých skutočne záleží
Prvou fázou je určiť, ktoré systémy a siete sú nevyhnutné pre dodávku kritickej služby.
Ide o užšie vymedzenie, než je identifikácia každého aktíva označeného ako „kritické“ v bežnom podnikovom inventári. Prevádzkovatelia musia stanoviť minimálny súbor riadiacich systémov, komunikačných liniek, bezpečnostných zariadení a podporných služieb potrebných na udržanie akceptovateľnej úrovne prevádzky.
Pre dodávateľa elektriny by takéto posúdenie mohlo zahŕňať systémy potrebné na riadenie rozvodní, vyváženie ponuky a dopytu a komunikáciu s prevádzkovateľmi prenosovej sústavy. Vodárenská spoločnosť môže potrebovať zachovať riadenie úpravy vody, čerpaciu prevádzku a minimálne monitorovanie kvality vody. Telekomunikační operátori by museli identifikovať infraštruktúru potrebnú na zachovanie prioritnej konektivity.
Analýza musí zohľadniť aj zákazníkov, ktorí sú od týchto služieb závislí. Nemocnice, záchranné zložky, vojenské zariadenia a ďalší prevádzkovatelia infraštruktúry môžu počas krízy vyžadovať definovanú minimálnu úroveň dodávky elektriny, vody, komunikácií alebo paliva.
Agentúry odporúčajú premeniť tieto závislosti na merateľné ciele služby, napríklad na množstvo a kvalitu elektriny, ktorá musí zostať dostupná, alebo minimálny objem vody, ktorý sa musí naďalej dodávať.
Tým sa plánovanie izolácie mení z čisto technického cvičenia na program prevádzkovej kontinuity. Odpojenie siete je pomerne jednoduché; odpojiť ju bez toho, aby sa neúmyselne zastavila samotná služba, ktorú má sieť podporovať, je oveľa náročnejšie.
Skryté závislosti na IT môžu zmariť plány izolácie
Jedným z najdôležitejších prvkov usmernenia sú závislosti, ktoré nemusia byť zrejmé, kým sa systémy skutočne neodpoja.
Moderné OT prostredia sa často spoliehajú na podnikovú IT infraštruktúru pre autentifikáciu cez Active Directory, preklad názvov cez DNS (Domain Name System), služby DHCP (Dynamic Host Configuration Protocol), správu certifikátov, synchronizáciu času, úložisko dát, zálohovanie a dokumentové repozitáre.
Môžu tiež zdieľať hypervízory, fyzické servery, dátové siete typu SAN (storage-area network), smerovacie zariadenia, záložné zdroje napájania (UPS) alebo administratívne platformy s prostrediami, ktoré nie sú kritické.
Ak tieto závislosti zostanú mimo chránenej hranice OT, odpojenie podnikovej siete môže spôsobiť, že riadiace systémy stratia autentifikáciu, prekladacie, konfiguračné, úložné alebo časové služby. Núdzové opatrenie určené na ochranu prevádzky tak môže samo spôsobiť výpadok, ktorému malo zabrániť.
CI Fortify vyzýva prevádzkovateľov, aby tieto závislosti obmedzili alebo odstránili vybudovaním lokálnych, nezávislých kapacít priamo v prostredí OT. Kritické lokality môžu potrebovať vlastné identitné služby, DNS, konfiguračné repozitáre, zálohovaciu infraštruktúru, administratívne pracovné stanice a dôveryhodné zdroje času.
Je potrebné zohľadniť aj podpornú infraštruktúru. Zdanlivo nezávislá riadiaca sieť nemusí byť skutočne izolovaná, ak jej smerovače, virtuálne stroje alebo napájacie systémy je stále možné spravovať cez kompromitované podnikové prostredie.
Agentúry rozlišujú medzi fyzickým oddelením, pri ktorom OT a nie-OT systémy nezdieľajú aktívnu sieťovú ani výpočtovú infraštruktúru, a izoláciou, čo je prevádzková schopnosť systém odpojiť a naďalej ho prevádzkovať nezávisle.
Organizácia môže mať oddelené sieťové segmenty, no napriek tomu nemusí mať schopnosť prežiť odpojenie. A naopak – môže mať zdokumentovaný postup izolácie, ktorý zlyhá, pretože podkladová infraštruktúra je stále zdieľaná.
Každé pripojenie treba zmapovať skôr, než ho možno odpojiť
Prevádzkovateľom sa odporúča zaznamenať všetky pripojenia do a z ich životne dôležitých prostredí vrátane tých, ktoré môžu byť dočasné, zriedkavo používané alebo spravované externými subjektmi.
Patria sem pripojenia k podnikovým sieťam, systémom údržby dodávateľov, poskytovateľom spravovaných služieb, konzultantom, cloudovým prostrediam, službám vystaveným internetu a partnerskej infraštruktúre, ako sú koordinátori distribučnej sústavy, dispečerské systémy a ďalšie energetické spoločnosti.
Zdokumentovať treba aj komunikáciu prechádzajúcu cez siete mobilných operátorov, satelitné systémy, rádiové spoje alebo Wi-Fi infraštruktúru.
Pre každé pripojenie by mali prevádzkovatelia identifikovať vlastníka systému, poskytovateľa tretej strany, používané protokoly, obchodný účel a prevádzkový význam. Tam, kde je to relevantné, by sa mali zaznamenať požiadavky na čas obnovy (recovery time) a bod obnovy (recovery point), spolu s bežnými aj núdzovými kontaktnými údajmi.
Počas incidentu budú potrebné presné diagramy, pravidlá firewallu, konfigurácie smerovačov, nastavenia VPN a dokumentácia brán. Agentúry odporúčajú začleniť tieto informácie do bežných procesov riadenia zmien, aby plány izolácie nezastarali s tým, ako sa sieť ďalej vyvíja.
To je osobitne dôležité v infraštruktúrnych prostrediach, kde systémy môžu zostať v prevádzke desiatky rokov, zatiaľ čo architektúra siete sa okolo nich mení.
Skoršie medzinárodné usmernenia týkajúce sa inventarizácie aktív OT podobne odporúčali prevádzkovateľom klasifikovať aktíva podľa ich funkcie a kritickosti a udržiavať autoritatívny prehľad počas celého ich životného cyklu. Neúplný inventár môže spôsobiť, že obrancovia nebudú vedieť o zariadení, ktoré treba izolovať – alebo o zabudnutej ceste, ktorá útočníkovi umožní obísť zamýšľanú hranicu.
Súvisiace: usmernenie CISA k inventarizácii aktív OT Súvisiace: komplexné usmernenie k architektúre OT
Postupná cesta k úplnému odpojeniu
Namiesto toho, aby izoláciu chápalo ako jednorazovú udalosť typu „všetko alebo nič“, usmernenie odporúča postupnú reakciu naviazanú na závažnosť hrozby.
Vo fiktívnom scenári prenosu elektrickej energie, uvedenom v dokumente, prevádzkovateľ najprv zablokuje vzdialeným zamestnancom prístup k OT cez sprostredkujúce jump hosty. Následne odstráni prístup na diaľku priamo z lokality, oddelí podnikové IT od OT, odpojí menej prioritné prepojenia na partnerské prevádzkové prostredia a v prípade potreby úplne izoluje životne dôležité systémy.
Spúšťacie podmienky pre každú fázu by mali byť definované vopred a zaradené do plánu reakcie organizácie na incidenty.
Tieto podmienky môžu zahŕňať dôkazy o krádeži prihlasovacích údajov, kompromitáciu platformy vzdialeného prístupu, škodlivú aktivitu v bráne medzi IT a OT, nevysvetlené zmeny sieťových trás, spravodajské informácie naznačujúce blížiacu sa kampaň alebo potvrdenie, že sa útočník pohybuje smerom k riadiacim systémom.
Vopred schválené rozhodnutia sú dôležité, pretože izolácia môže mať dôsledky presahujúce rámec organizácie, ktorá ju vykonáva. Odpojenie jednej energetickej spoločnosti môže ovplyvniť zákazníkov, dodávateľov, prevádzkovateľov sústavy a ďalších prevádzkovateľov infraštruktúry. Čakanie na viacero úrovní schválenia počas rýchlo prebiehajúceho prieniku môže útočníkom poskytnúť ďalší čas, zatiaľ čo príliš skorá izolácia bez pochopenia prevádzkových závislostí môže zbytočne narušiť služby.
Kanadský program CIREN, vedený Canadian Centre for Cyber Security, odporúča, aby si prevádzkovatelia sami definovali vlastné spúšťače izolácie, rozhodovacie právomoci a núdzové komunikačné kanály. Zároveň vyzýva na plánovanie kontinuity, ktoré počíta s dlhotrvajúcim narušením, nie iba s krátkymi výpadkami, na aké sú zamerané mnohé tradičné plány kontinuity podnikania.
Fyzické oddelenie zostáva preferovaným cieľovým stavom
Agentúry opisujú fyzickú izoláciu ako najsilnejšiu formu ochrany životne dôležitých systémov OT a podporných systémov.
Podľa tohto modelu kritické prostredia nezdieľajú prepínače, smerovače, multiplexory, výpočtové platformy ani inú aktívnu infraštruktúru so sieťami s nižšou úrovňou dôvery. Manažmentové rozhrania sú tam, kde je to možné, fyzicky oddelené a administratívny prístup je zabezpečený prostredníctvom vyhradenej out-of-band infraštruktúry a privilegovaných pracovných staníc.
Geograficky rozptýlení prevádzkovatelia môžu na prenos kritickej prevádzky využiť vyhradené optické vlákna alebo vyhradené vlnové dĺžky bez miešania s nekritickými službami.
Úplné oddelenie nebude realizovateľné v každom prostredí. Prevádzkovatelia môžu byť závislí od verejných telekomunikačných sietí, služieb poskytovaných operátormi, cloudových platforiem alebo aplikácií vystavených internetu. V takých prípadoch usmernenie vyžaduje silné kryptografické oddelenie a prísne kontrolované sieťové hranice.
Služby na vrstve 2 (Layer 2) poskytovateľov je možné chrániť technológiami ako MACsec, zatiaľ čo služby na vrstve 3 (Layer 3) môžu využívať IPsec alebo iné vhodné technológie šifrovaných tunelov. Šifrovacie zariadenia by mali byť vyhradené výhradne pre chránenú kritickú sieť, mali by byť zabezpečené proti útokom (hardened), pravidelne aktualizované a spravované len z dôveryhodných systémov v rámci kritickej bezpečnostnej domény.
Dokument upozorňuje, aby sa nepredpokladalo, že technológia MPLS (Multiprotocol Label Switching) sama osebe poskytuje bezpečnosť. MPLS dokáže logicky oddeliť prevádzku, no neposkytuje rovnakú úroveň istoty ako fyzická alebo kryptografická izolácia. Kritická prevádzka OT prenášaná cez infraštruktúru poskytovateľa by preto mala byť šifrovaná na dôveryhodnej hranici kontrolovanej samotným prevádzkovateľom.
VLAN sú len dočasným opatrením, nie vzduchovou medzerou (air gap)
Iniciatíva CI Fortify je obzvlášť jednoznačná v otázke obmedzení administratívnych sieťových kontrol.
Virtuálne lokálne siete (VLAN), zoznamy riadenia prístupu (ACL), route mapy a black-hole smerovanie môžu znížiť vystavenie hrozbám a podporiť rýchle obmedzenie incidentu, no ide stále o kontroly založené na konfigurácii. Útočník s dostatočným prístupom k rovine sieťovej správy ich môže dokázať zmeniť alebo vypnúť.
Usmernenie opisuje oddelenie pomocou VLAN ako minimálne účinné dočasné opatrenie v prípadoch, keď silnejšia fyzická alebo kryptografická izolácia zatiaľ nie je dostupná. Varuje prevádzkovateľov, aby VLAN nepoužívali ako dlhodobú bezpečnostnú hranicu medzi sieťami patriacimi do rôznych bezpečnostných domén.
Tam, kde sú VLAN naďalej potrebné, by organizácie mali zabrániť automatickému šíreniu konfigurácií VLAN, výslovne obmedziť, ktoré VLAN sú povolené na trunk linkách, vypnúť vyjednávanie trunkov (trunk negotiation) a vyhýbať sa tomu, aby zóny vystavené internetu zdieľali prepínaciu infraštruktúru s OT.
Podobné obavy vyvolávajú softvérovo definované siete (SDN), orchestračné systémy a platformy typu network-as-code. Hoci môžu uľahčiť správu rozsiahlych prostredí, vkladajú medzi bezpečnostnú politiku a konfiguráciu skutočne presadzovanú fyzickými zariadeniami ďalšiu abstraktnú vrstvu. Ak je orchestračná platforma kompromitovaná, útočník môže byť schopný súčasne zmeniť viacero izolačných kontrol naraz.
Izolácia sa musí testovať ako kompletná prevádzková udalosť
Plán existujúci iba na papieri sa nepovažuje za dostatočný.
Prevádzkovateľom sa odporúča izoláciu pravidelne testovať a zahrnúť do testov všetky životne dôležité systémy, nielen jednu lokalitu alebo jeden sieťový segment. Čiastočné testy nemusia odhaliť závislosti medzi lokalitami, zdieľané autentifikačné systémy alebo externé služby potrebné na udržanie prevádzky.
Cvičenia by mali overiť, či zamestnanci dokážu postup skutočne vykonať, či základné procesy pokračujú, či funguje alternatívna komunikácia a či je možné kontaktovať potrebné tretie strany bez spoliehania sa na to, že sieť je odpojená.
Britská NCSC podobne odporúča nacvičovať obranné opatrenia ešte predtým, než hrozba eskaluje. Jej usmernenie pre závažné hrozby vyzýva organizácie, aby si precvičili sieťovú izoláciu (network islanding), zneplatnenie prihlasovacích údajov, obnovu z dôveryhodných záloh a – v extrémnych prípadoch – opätovné vybudovanie sietí od základu.
Súvisiace: usmernenie NCSC pre plánovanie pri závažných hrozbách
CI Fortify tiež odporúča uchovávať bezpečnú offline alebo tlačenú kópiu plánu izolácie. Dokumentácia uložená iba v kompromitovanej podnikovej sieti môže byť nedostupná práve vtedy, keď ju prevádzkovatelia najviac potrebujú.
Odpojenie neznamená koniec bezpečnostného problému
Po izolácii musia obrancovia overiť, že hranica funguje tak, ako bola zamýšľaná.
Smerovacie tabuľky na kritických aj nekritických systémoch by sa mali skontrolovať kvôli statickým trasám alebo neočakávaným susedstvám, ktoré by mohli umožniť prechod prevádzky cez hranicu. Monitorovanie sieťovej prevádzky (network-flow monitoring) a systémy na detekciu prienikov by mali zostať aktívne na dôležitých bodoch, pričom testy dosiahnuteľnosti (reachability tests) slúžia na potvrdenie, že zakázané pripojenia neboli náhodne ani úmyselne obnovené.
Osobitnú ochranu si vyžaduje rovina sieťovej správy (management plane). Ak si útočník zachová administratívnu kontrolu nad smerovačom, firewallom alebo orchestračnou platformou, môže tento prístup využiť na zvrátenie izolačného opatrenia, aj keď sa bežná používateľská prevádzka javí ako zablokovaná.
Prevádzkovatelia sa musia pripraviť aj na nové riziká, ktoré vzniknú v dôsledku dlhotrvajúcej izolácie. Odpojené systémy môžu zaostávať s bezpečnostnými záplatami a aktualizáciami spravodajských informácií o hrozbách. Vonkajšia viditeľnosť sa môže znížiť, zatiaľ čo zamestnanci sa môžu vo väčšej miere spoliehať na vymeniteľné médiá pri prenose súborov cez vzduchovú medzeru (air gap).
To zvyšuje riziko, že infikované úložné zariadenia by mohli zaviesť malvér do chráneného prostredia. Systémy používané na kontrolu vymeniteľných médií (tzv. „sheep dipping“) môžu samy zastarať, kým externé aktualizačné služby zostávajú nedostupné.
Opätovné pripojenie sa preto musí chápať ako riadená bezpečnostná operácia, nie ako jednoduché zvrátenie sieťovej zmeny. Zariadenia, dáta a softvér zavedené počas izolácie by mali byť overené, trasy by sa mali skontrolovať a monitorovanie by malo pokračovať, aby sa zistilo, či nezostal skrytý útočník, ktorý celé obdobie prežil.
Dátové diódy môžu zachovať obmedzené toky dát
Pre prostredia, ktoré musia počas izolácie naďalej exportovať telemetriu alebo prenášať presne definované informácie, usmernenie poukazuje na dátové diódy (data diodes) a riešenia typu cross-domain solution.
Dátová dióda využíva hardvérovo vynútenú jednosmernú komunikáciu, ktorá zabraňuje návratu prevádzky späť rovnakou cestou. Riešenia cross-domain môžu poskytovať pokročilejšie filtrovanie a presadzovanie politík medzi sieťami s rôznymi bezpečnostnými požiadavkami.
Správne navrhnuté systémy môžu umožniť pokračovanie vybraných informačných tokov aj počas dlhotrvajúcej izolácie, pričom poskytujú väčšiu istotu než bežný firewall. Agentúry však upozorňujú, že tieto systémy vyžadujú špecializovaný návrh a údržbu. Nesprávne nasadenie môže ovplyvniť prevádzkovú integritu, okrem iného narušením protokolov, ktoré závisia od obojsmerného handshaku.
Odolnosť sa stáva zodpovednosťou na úrovni vedenia organizácie
Nové usmernenie napokon zaraďuje plánovanie izolácie do širšej disciplíny prevádzkovej odolnosti.
Vybudovanie prostredia, ktoré dokáže fungovať nezávisle, si môže vyžadovať vyhradený hardvér, alternatívnu komunikáciu, lokálne podporné kapacity, otestované zálohy, upravené zmluvy s dodávateľmi a dodatočný personál. Prevádzkovatelia musia zohľadniť aj konkurenciu o špecializovanú podporu, palivo, chemikálie, náhradné zariadenia a odborníkov na reakciu na incidenty počas regionálnej alebo celoštátnej krízy.
Tieto rozhodnutia zahŕňajú náklady, mieru akceptovateľného rizika a priority služieb, ktoré nemôže vyriešiť samotný bezpečnostný tím.
Kanadské kybernetické centrum odporúča, aby vedenie a predstavenstvá organizácií diskutovali o tom, ako by ich organizácia fungovala počas dlhotrvajúcej izolácie, a určili, kto má právomoc prijímať núdzové rozhodnutia. Usmernenie NCSC o odolnosti podobne kladie na vedenie zodpovednosť za to, aby základné funkcie mohli pokračovať počas kybernetického útoku alebo zlyhania systému.
Súvisiace: usmernenie NCSC k odolným systémom
CI Fortify nenaznačuje, že každý prevádzkovateľ dokáže dosiahnuť úplnú fyzickú izoláciu okamžite. Opisuje túto prácu ako priebežný proces, v ktorom každá odstránená závislosť a každá posilnená hranica prináša postupné zníženie rizika.
Požadovaný cieľový stav je však jasný: najdôležitejšie prevádzkové systémy by mali byť schopné prežiť aj bez širších sietí, ktoré ich obklopujú.
Pre poskytovateľov infraštruktúry čeliacich štátom podporovaným prienikom, ransomvéru alebo kaskádovému technologickému zlyhaniu už izolácia nie je prezentovaná ako núdzová improvizácia. Stáva sa schopnosťou, ktorú je potrebné navrhnúť, financovať, zdokumentovať a precvičiť ešte predtým, než kríza nastane.
Viac informácii:
https://www.linkedin.com/pulse/new-guidance-critical-infrastructure-organizations-zfp6c