אתגרים חדשים בקישוריות מרוחקת לסביבות תפעול (OT) 

This post is also available in: English (אנגלית)

מאת אור שלום, מומחה ויועץ לאבטחה בסייבר

סביבות ה-OT הינן רשתות מחשוב, המאופיינות בתפעול תהליכים באופן ממוחשב ולכן מורכבות יותר מסביבות ה-IT הקלאסיות. סביבות אלו שכיחות בקווי ייצור, תשתיות קריטיות, תחנות כוח, משאבות (מים, התפלה שפכים וכד'), מערכות SCADA בנמלי ים ונמלי תעופה, בתי חולים, מערכות תפעוליות בבניינים (BMS) ועוד. 

ככאלו, הן חיוניות וקריטיות בהיבטי התפעול, ומכאן – רצון התוקף להשתלט במטרה להסב נזק, לפגוע בתהליך הייצור או בתהליך התפעול. משכך, אחת הבקרות הקלאסיות והחזקות לסביבות אלו הוא בידולן הפיזי מרשתות חיצוניות ורשתות ארגוניות משיקות. בידול זה מעלה את חומות ההגנה ויוצר חציצה רשתית חזקה למניעת קישוריות לוגית לסביבה זו. 

התהליך התפעולי הוא ממוחשב והוא כולל תכונות של ניטור ושליטה ומכאן גם אטרקטיביות הפריצה. ככלל, דרכי הפעולה ומרחב האיומים לתקיפת סייבר, אחיזה  ופגיעה במערכות OT מושתתות על דרכי פעולה על ציר שרשרת האספקה (יצרנים, ספקים ונותני שירות), איומים שמקורם בגורמים פנימיים (מזיד או שוגג), איומים מתקדמים של ניצול מגבלות טכנולוגיות פיזיקליות סביבתיות לצורך שיבושים טכנולוגיים (side channel attack) ומיפוי תמידי לאיתור נקודת ממשק וחיבור לרשתות החיצוניות במטרה לגשר ולדלג בין סביבות. 

מעוניינים ללמוד עוד על סייבר, HLS וחדשנות? הירשמו לכנס הבינלאומי המשודר INNOTECH

ברגע שאותר משטח התקיפה והמגע,  יכול התוקף לסגל לעצמו שלל אפשרויות של התערבות בנתונים ושינויים, פגיעה בתהליך הפיזי עצמו באמצעות ניצול חולשה ופגיעה בבקר ועד לתהליכים של מניעת שירות. תוצאות תקיפות אלו יכולות להוביל לאירועים של פגיעה בחיי אדם ובטיחות, בסביבה, באורח החיים (השבתת נמלים, בתי חולים וכד') ועצירת קווי ייצור ותפעול. 

כאמור, אחד המאפיינים המרכזיים במערכות OT הוא גם ביצוע תהליך של בקרה עצמית באופן ממוחשב והרצת פקודות ותהליכים (בהתאם לסולם פקודות). כלומר עם השלמת התהליך של פעולה X תדע המערכת לנתב לפי הצורך לפקודה והפעולה הבאה. אם נפשט זאת לשני אירועים תהליכיים, הרי שבאירוע אחד יזהה הבקר (באמצעות חיישן ייעודי) את מינון הכלור בבריכה ויזרים בהתאם את נוזל המים, ובאירוע אחר של שימוש במערכות בקרה תפעוליות מערכת הבקרה לכיבוי אש תזהה עשן ובהתאם תנתב את הפקודה הבאה לתהליך התזת מים, קצף וכד'. 

מכאן, בראיית התוקף, ההזדמנות אחת מיני רבים בהיבט סייבר תקיפתי להתערב בשינוי ערך או פעולה ולהשפיע על המערכת, סדר התהליכים/ שיבוש או נטרול להמשך. זאת, ע"י הזנת נתון או ערך שגוי, יצירת עומס על המערכת וכד'.

משבר הקורונה הכתיב צורך לקישוריות מרחוק גם בסביבות ה-OT. הגם שלא מדובר בטרנד, כי עדיין ברורים הסיכונים מחד והיתרונות של רשת מבודלת, עולה הצורך לאחרונה וכך גם הדרישה למענים הטכנולוגיים. 

הרציונל לגיבוש מענה מחייב תהליך של שקלול התנאים והדרישות הפונקציונאליות אל מול משטח התקיפה האפשרי בסייבר. תהליך עבודה זה, המגדיר מחד את הצורך ומאידך מציג את הסיכון, תורם בהיבטים של שיח וסינרגיה של גורמי הגנת הסייבר בארגון עם גורמי המחשוב ומאפשר אפיון בקרות בשיטתיות ורציונל ברור. 

לשם הדוגמא נבחן צורך תפעולי לפתיחת יכולת תמיכת ספק מרחוק לעדכוני תוכנה ותקלות למערכות ה- OT התפעוליות בארגון. כעת ברור כי יכולת זו עשויה להגדיל את משטח התקיפה בערוצים העיקריים הבאים: סיכונים הנובעים מגורמים עוינים בתווך (MITM) הממתינים או ממפים קישוריות זו לאינטרנט (באמצעות יכולות וכלים כדוגמת Shodan), ניצול ומניפולציה לצורכי שיטוי (התחזות לחברת תוכנה) , איומים שיכולים להגיע גם מצד משתמש הקצה בחברה הנותנת תמיכה ועוד. 

אומנות ניהול הסיכונים, המענה האבטחתי והבקרות נמדדת בין היתר באיזון אל מול חווית המשתמש במזעור השפעות פונקציונאליות, נוחות משתמש, וזמן עבודה. מכאן, שככול שנוסיף בקרות אנו עלולים ליצור מורכבות טכנולוגית וסרבול תהליכי עבודה. 

לפיכך, בחירת הבקרות צריכה לכוון לבקרות חזקות ורוחביות – באופן ששילובם יאפשר כיסוי אבטחתי למס' איומים. לשיטה זו אם שולב מנגנון MFA לתהליך הזיהוי הרי שנתנו מענה רוחבי למס' איומים שהוצגו בתרחישי התקיפה לאירוע זה. מובן הוא שיש לשלב בקרות לערוצים מאובטחים ומוצפנים, לשאוף כי החיבור לא יתבצע ישירות לסביבת התפעול (החלופה לכך היא סביבה יעודית שממנה יימשכו העדכונים או אליה יחוברו הרכיבים והבקרים התקולים), וביטול שימוש אפליקציות ותוכנות לא רלוונטיות בסביבה זו (לדוגמא דוא"ל חיצוני). שילוב יכולת הקלטה לאורך תהליך התמיכה (לצורך תיעוד ויכולת תחקור), מניעת יכולת של כתיבה ושינויי לוגיקה לא מבוקרים לבקרים וכמובן ניתוק של הסביבה מרשת האינטרנט לאחר החיבור היזום שהתבצע לרשת לצורך תמיכה וטיפול בתקלות. 

בין המקורות:  trendmicro.com   ics-cert.kaspersky.com

אור שלום –  מומחה לאבטחה וסייבר ויועץ למשרדיי ממשלה, תעשיות ביטחוניות והמשק. בעל תואר שני ובעל הסמכות אזרחיות וממלכתיות בעולמות אבטחת המידע והסייבר. עוסק בפיתוח עסקי לחברות בתחומי הסייבר ומוביל תוכניות סייבר מקצועיות לגופים שונים במשק, הסקטור האזרחי הביטחוני התעשיות והאקדמיה.