Źródło: Siemens

Wraz z coraz większą cyfryzacją sektora produkcyjnego i infrastruktury krytycznej rośnie zagrożenie atakami na systemy informatyczne ze strony zorganizowanych grup przestępczych. W efekcie spotykamy się z kradzieżą poufnych danych biznesowych, zakłóceniami produkcji i znacznymi stratami finansowymi.

Jak wynika z najnowszego corocznego raportu o zagrożeniach firmy Waterfall Security Solutions gwałtownie rośnie liczba ataków ransomware, powodując poważne zakłócenia w sektorze przemysłowym. Warto przypomnieć, że oprogramowanie ransomware blokuje dostęp do systemu komputerowego lub uniemożliwia odczyt zapisanych danych (często je szyfrując). Następnie żąda się od ofiary ataku okupu za przywrócenie systemu informatycznego do stanu pierwotnego. Jak podano we wspomnianym raporcie, ponad połowa z 68 zarejestrowanych ataków w 2023 r. była wymierzona w produkcję, co skutkowało kosztownymi przestojami. Biorąc pod uwagę, że liczba incydentów niemal podwaja się corocznie, w zakładach produkcyjnych nadal będzie dochodziło do kolejnych przestojów. Wpływ ten obejmował przestoje w produkcji, przestoje w pracy i opóźnienia logistyczne jak podał Rees Machtemes z Waterfall. Biorąc pod uwagę publicznie znane informacje, wszystkie z wyjątkiem jednego z 37 incydentów produkcyjnych były wywołane przez oprogramowanie ransomware.

Największa liczba incydentów dotyczyła Stanów Zjednoczonych, Kanady i Niemiec. Przy czym, kraje te odpowiadają za jedną czwartą światowej produkcji przemysłowej. Raport Waterfall pokazuje, że ataki w cyberprzestrzeni z konsekwencjami w świecie rzeczywistym wzrosły w ciągu ostatniej dekady z kilku incydentów rocznie do liczby dwucyfrowej. Przy czym liczba incydentów rośnie wykładniczo i prawie podwaja się w każdym kolejnym roku. Na przykład w 2023 r. doszło do jednego z najbardziej kosztownych incydentów do tej pory, w którym firma MKS Instruments zawiesiła działalność po ataku, twierdząc, że straciła 200 mln USD. Również opublikowany w sierpniu 2024 r. raport Critical Start ujawnia, że produkcja i produkty przemysłowe były głównymi celami cyberataków w pierwszej połowie 2024 r., z 377 potwierdzonymi incydentami ransomware i wyciekiem bazy danych.

Firma Kaspersky wymienia wśród głównych incydentów dotyczących bezpieczeństwa w przemyśle w pierwszym kwartale 2024 r. między innymi atak na Vartę, niemieckiego producenta akumulatorów dla sektora motoryzacyjnego, przemysłowego i konsumenckiego z 12 lutego. Incydent zakłócił procesy produkcyjne i administracyjne w pięciu zakładach produkcyjnych firmy. Varta zamknęła swoje systemy informatyczne i odłączyła się od Internetu na czas dochodzenia w sprawie incydentu. Natomiast 22 lutego informowano, że dostępność firmy jest nadal ograniczona i nie wiadomo, ile czasu zajmie jej przywrócenie produkcji we wszystkich pięciu globalnych zakładach. Z kolei 20 lutego Continental Aerospace, amerykański producent silników lotniczych, padł ofiarą cyberataku, który zakłócił jego działalność. Niemiecka firma Kampf, produkująca maszyny do cięcia i nawijania, padła 24 lutego ofiarą cyberataku, w którym wykorzystano specjalne oprogramowanie do częściowego zaszyfrowania jej systemów informatycznych. Także niemiecki producent stali i dostawca motoryzacyjny ThyssenKrupp poinformował, że padł ofiarą cyberataku, który dotknął jego dział produkcji karoserii samochodowych.

Jako jeden z największych ataków w minionym roku wymienia się ten przeprowadzony na firmę Clorox, dużego amerykańskiego producenta, która poniosła łącznie straty w wysokości 356 mln USD. Atak spowodował wyłączenie wielu zautomatyzowanych systemów, w tym tych, za pomocą których duzi detaliści, tacy jak Walmart i Target, zamawiają produkty. To pokazuje też, w jaki sposób naruszenie w jednej organizacji może zakłócić cały łańcuch dostaw.

Jak się zabezpieczyć?

Zapytaliśmy specjalistów związanych z bezpieczeństwem IT zakładów produkcyjnych, na co dziś zwracać szczególnie uwagę. Jak mówi Artur Nowocień, ekspert ds. Wsparcia technicznego w Siemens Polska, systemy automatyki przemysłowej oparte o sterowniki PLC (Programmable Logic Controllers), choć kojarzone z fabrykami i zakładami produkcyjnymi, stanowią także trzon wielu systemów odpowiedzialnych za dystrybucję energii, produkcję wody pitnej czy gospodarkę ściekami. Tego typu obiekty, przez dyrektywę NIS2 nazywane są kluczowymi i coraz częściej padają celem cyberataków. Zazwyczaj mają one na celu destabilizację infrastruktury danego kraju, często nastawione są także na nielegalne pozyskanie środków finansowych lub wykradzenie danych. Niezależnie od motywacji atakujących, zawsze takie zdarzenie rodzi pytanie – Jak zabezpieczyć systemy automatyki przed cyberatakiem? Jak podkreśla, warto ograniczyć dostęp, aby uchronić system. Środowisko inżynierskie TIA Portal (Totally Integrated Automation) oraz sterowniki PLC z serii SIMATIC S7-1200/1500 wyposażone są w mechanizmy uwierzytelniające działające na wielu poziomach projektu. Planując wdrożenie zabezpieczeń w systemie automatyki przemysłowej, należy przede wszystkim przeanalizować możliwości związane z dostępnymi środkami technicznymi i mechanizmami bezpieczeństwa w stosowanych urządzeniach. A te będą całkiem spore w przypadku nowych generacji sterowników SIMATIC. Począwszy od wersji V17 środowiska TIA Portal, zarówno do narzędzia inżynierskiego, jak i do samych sterowników, wdrożony został szereg usprawnień i funkcjonalności. Dają one inżynierom jeszcze więcej możliwości związanych z utwardzeniem konfiguracji i zabezpieczeniem urządzeń przed nieautoryzowanym dostępem lub cyberatakiem.

Jednym z takich mechanizmów jest możliwość zarządzania uprawnieniami do projektu. Ten może być zabezpieczony za pomocą danych uwierzytelniających, a użytkownicy, którym taki dostęp został przydzielony, mogą być dodatkowo podzieleni na różne grupy dostępowe. Dzięki temu inżynier programujący logikę sterowania nie musi mieć dostępu do konfiguracji sprzętowej bądź projektu WinCC i vice versa! Zgodnie z jednym z zaleceń normy IEC62443, możliwa jest także integracja środowiska TIA Portal z serwerem UMC (User Management Component) i wykorzystanie centralnej bazy użytkowników. Takie podejście zapewnia spójność uprawnień i łatwe zmiany w obrębie całego ekosystemu, np. w przypadku rotacji pracowników. Począwszy od wersji V19, uprawnienia użytkowników mogą być także rozszerzone na dostęp do sterownika czy serwera WWW. Nie ma zatem konieczności konfigurowania ich w każdym z urządzeń z osobna, ale w jednym, centralnym panelu. Właściwe zdefiniowanie poziomów dostępu do sterownika to kolejny z poziomów utwardzania konfiguracji sprzętowej. Wykorzystanie odpowiednio złożonych i skomplikowanych haseł blokujących możliwość zmiany konfiguracji, podglądu programu, edycji bloków czy dostępu z poziomu paneli HMI może skutecznie zablokować niepowołany dostęp do urządzenia, nawet gdy atakujący znajdzie się w tej samej sieci lokalnej. Mechanizmy zabezpieczające przed próbami łamania haseł metodą „brute force” dodatkowo ograniczają metody siłowego sforsowania zabezpieczeń w trakcie trwania cyberataku.

Kolejne działanie to na przykład zabezpieczenie danych w systemie automatyki. Sterowniki SIMATIC z serii S7 1200/1500 pozwalają zabezpieczyć dostęp do danych dzięki ograniczaniu dostępu do bloków i zmiennych. Również wykorzystanie kryptografii asymetrycznej skutecznie zwiększa bezpieczeństwo transmisji danych, także w trakcie konfiguracji i programowania urządzeń. Wraz ze wprowadzeniem wersji V17 wdrożono automatyczne szyfrowanie połączenia pomiędzy sterownikiem i środowiskiem TIA Portal oraz panelami HMI (Human Machine Interface). Wykorzystywana jest w tym celu kryptografia asymetryczna, a klucze prywatne przechowywane w sterowniku mogą być dodatkowo zabezpieczone hasłem. Ograniczanie dostępu do danych może być zrealizowane nie tylko na poziomie komunikacji, ale także samych bloków. Te mogą być zabezpieczone przed odczytem lub modyfikacją dzięki mechanizmom ochrony know-how protect. Artur Nowocień radzi też zadbać o bezpieczeństwo sieci, aby uchronić się przed cyberatakiem. Właściwa segmentacja sieci i ograniczanie dostępu do urządzeń z zewnątrz (np. z poziomu Internetu) może skutecznie ograniczyć to ryzyko. Znaczna liczba ataków na infrastrukturę OT (Operational Technology) nie jest wymierzona w same sterowniki, ale systemy, które są z nimi zintegrowane, np. SCADA (Supervisory Control And Data Acquisition), HMI czy komputery przemysłowe z dodatkowym oprogramowaniem. Dlatego ważne jest właściwe zabezpieczenie sieci przemysłowej i sposobów dostępu do urządzeń polowych. Należy pamiętać także o tym, aby nigdy nie udostępniać interfejsów pod publicznymi adresami IP w Internecie, np. w celu zdalnej diagnostyki czy monitorowania. Najważniejszym ogniwem w łańcuchu bezpieczeństwa zawsze pozostaje człowiek. Większa świadomość pracowników to także łatwiejsza droga do wypracowania odpowiednich procesów i polityk w przedsiębiorstwie, zakładających m.in. regularne wykonywanie kopii zapasowych, prowadzenie cyklicznych audytów czy aktywnego monitoringu podatności w ramach biuletynów takich jak Siemens ProductCERT.

Jak twierdzi Karol Girjat, Business Development Manager w firmie Net Complex, w obliczu nadchodzącego terminu wejścia w życie dyrektywy NIS2 najważniejszym zagadnieniem jest uzyskanie zgodności z jej wymogami. Tymczasem badania przekonują, że na ten moment nadal 25 proc. polskich firm nie wie, że zapisy dyrektywy NIS2 ich dotyczą. Oprócz samej dyrektywy ścisłe wymogi w zakresie bezpieczeństwa narzucają normy takie jak TISAX, ISO27001, a nawet rozporządzenie GDPR. Skuteczne wdrożenie norm chroni organizację przed cyberzagrożeniami i buduje zaufanie u partnerów biznesowych dzięki potwierdzonej zgodności z międzynarodowymi standardami. Nie do przecenienia jest również fakt znacznego ograniczenia ryzyka kar finansowych i przestojów operacyjnych spowodowanych naruszeniami bezpieczeństwa. Jak dodaje Karol Girjat, w związku z wchodzącą w życie wspomnianą dyrektywą, firma koncentruje się na wsparciu procesów uzyskania zgodności u klientów. Partnerom oferuje narzędzia pozwalające w dużej mierze automatyzować poszczególne etapy prac. Korzystając z odpowiednich rozwiązań, czas audytu aktualnej sytuacji można skrócić nawet o 85%, dzięki skutecznemu wykorzystaniu sztucznej inteligencji. Procesy uzyskania i utrzymania wymaganej zgodności obsługują zaawansowane narzędzia do analizy i zarządzania ryzykiem oraz kontroli polityk bezpieczeństwa. Uzyskany w ten sposób poziom przejrzystości i bezpieczeństwa organizacji jest trudny do wypracowania w przypadku ręcznego zarządzania procesami.

Natomiast jeśli chodzi o i inwestycje w sprzęt, oprogramowanie itp. To jak uważa Karol Girjat mimo rosnącej świadomości cyberzagrożeń, poziom podstawowej cyberhigieny wśród pracowników jest relatywnie niski. W związku z tym firma rekomenduje regularne szkolenie załogi w tym zakresie. Z drugiej strony, warto podkreślić, że skuteczne rozwiązania to przede wszystkim rozwiązania skalowalne i elastyczne. Coraz większą popularnością cieszą się wirtualne rozwiązania UTM firmy np. WatchGuard, będące dobrą alternatywą dla urządzeń fizycznych. Bezpieczeństwo warto uzupełnić usługami MDR rozszerzającymi możliwości już zaimplementowanej architektury. Celem usług MDR jest identyfikacja, analiza i neutralizacja zagrożeń w czasie rzeczywistym i te zadania powierzane są zewnętrznym dostawcom, dzięki czemu organizacja nie musi poświęcać dodatkowych sił i środków na rozbudowę i utrzymywanie własnego działu cyberbezpieczeństwa. Kluczowym zadaniem organizacji jest podpięcie własnego systemu do systemów usługodawcy. Do wykonania tego zadania warto wybrać rzetelnego i sprawdzonego partnera, który może wykazać się stosowną certyfikacją i doświadczeniem.

Cyfryzacja umożliwia gromadzenie danych produkcyjnych. Polega na usługach opartych na chmurze, co równocześnie pozwala na wykorzystanie zaawansowanych funkcji sztucznej inteligencji. To podstawa, jeśli chce się realizować wzrost produkcji i produktywności zgodnie z założeniami czwartej i piątej rewolucji przemysłowej. Z drugiej strony otwiera to kolejne obszary dla ryzyka, jeśli chodzi o cyberbezpieczeństwo. Łącząc zasoby z chmurą, otwiera się własne zamknięte środowisko produkcyjne. Dlatego specjaliści zalecają szczególne zwrócenie uwagi na przestarzały sprzęt lub oprogramowanie, niezabezpieczone konfiguracje sieci lub brak świadomości ryzyka u pracowników. Jak zatem uchronić na przykład system automatyki przed cyberatakiem? Na tak postawione pytanie Artur Nowocień nie ma jednoznacznej odpowiedzi, bo nigdy nie będziemy w pełni bezpieczni. Wdrażając jednak odpowiednie mechanizmy i procedury, możemy skutecznie zwiększyć poziom ochrony przed cyberatakiem. Kluczowe w tej kwestii są trzy aspekty: integralność systemu automatyki (utwardzona konfiguracja urządzeń), właściwie skonstruowana sieć przemysłowa (segmentacja i stosowanie zabezpieczeń sieciowych) oraz polityki i procedury na poziomie zakładu (w tym szkolenia i cykliczne audyty). Wszystko to składa się na ogólną koncepcję zabezpieczania systemów zwaną Defense in Depth. Zakłada ona wdrażanie zabezpieczeń na wielu poziomach (w myśl zasady „na cebulkę”), budując w ten sposób tarczę ochronną. Cyberbezpieczeństwo to nie produkt, a proces wymagający ciągłej weryfikacji i dostosowania systemów do bieżących zagrożeń. Dopiero taka ścieżka może pozwolić nam skutecznie ochronić system automatyki przemysłowej przed cyberatakami, podkreśla Artur Nowocień. Na pewno warto skorzystać z takich rad.

Autor: Bohdan Szafrański