הגנת סייבר על תשתיות קריטיות

אבטחת סייבר עבור מערכות שליטה ובקרה- תפקיד למומחים בתחום, "נדרשת מתודולוגיה ישימה להגנת סייבר על מערכות יצור ותשתיות חיוניות" • ראיון עם דניאל ארנרייך, יועץ מומחה ומרצה לאבטחת סייבר, יו"ר כנס 2019 ICSCYBERSEC

קרדיט ניב קנטור. דניאל ארנרייך בסייברסק 2018
קרדיט ניב קנטור. דניאל ארנרייך בסייברסק 2018
עכשיו באשדוד: דירה החל מ-1.100.000 ש"ח

"אבטחת הסייבר עבור מערכות שליטה ובקרה תעשייתיות (שו"ב) חייבת להיות מדורגת בפסגת המשימות של כל הנהלה בכירה ​​בארגונים שעוסקים בתעשייה, אספקת חשמל ומים, נפט וגז, ביטחון הציבור, תקשורת, תעבורה בערים חכמות ועוד. מערכות שו"ב נחשבות לתשתית קריטית, ולכן יש להגן על מערכות אלה כראוי על מנת להבטיח את הבטיחות ואמינות התפעול  שלהם. כך מסביר דניאל ארנרייךיועץ ומרצה לאבטחת סייבר, יו"ר כנס 2019  ICSCYBERSEC. כדי לעמוד במשימות אלה, ארגונים תעשייתיים חייבים לפעול על פי מתודולוגיה מתועדת למוכנות הקשורה לאירועי סייבר ותגובה מהירה ויעילה כאשר אירוע כזה מתרחש. פעולות אלה מאפשרות להגיב נכון למגוון אירועים העלולים לסכן חיי אנשים, לגרום להשבתה ונזקים וגם לעמוד בדרישות הרגולציה.

כנס אבטחת הסייבר הרביעי 2019  ICSCYBERSEC שיערך במתחם הכנסים LAGO ראשל"צ ב-24/9 בהפקת קבוצת אנשים ומחשבים, יתמקד כמדי שנה בנושא של איומי הסייבר עבור תשתיות חיוניות והצגת פתרונות הגנה אפקטיבית על מערכות שו"ב ומערכות IIoT. בכנס יתקיימו הרצאות על האתגרים העומדים בפני הארגונים וייחשף "ארגז כלים" של פתרונות להתמודדות עם אתגרים אלה. מבין הדוברים בכנס יהיו בכירים ממערך הסייבר הלאומי בישראל, ובנוסף יתקיים פאנל בהשתתפות מומחים בתחום כמו גיל גרוסקופ מנהל מחלקת בקרה ב"מקורות", יעל מור מנהלת מחלקת בקרה ברכבת ישראל ועוד. הכנס מהווה מקום מפגש לבעלי תפקידים בארגונים וספקי פתרונות להחלפת דעות ולחשיפה לפתרונות חדשים שיגנו על המערכות הקריטיות ביותר במדינה.

"בעת התייחסות לסיכוני אבטחת סייבר המופנים למערכות שו"ב שתפקידם לנהל תשתיות קריטיות, חשוב להדגיש כי תקיפת סייבר נגד הארגון עלולה להגיע מכיוונים רבים ובאמצעות מגוון מסלולי חדירה", מפרט ארנרייך. "הבנה מעמיקה של מסלולי התקיפה האפשריים עשויה לסייע בזיהוי מוקדם של פגיעויות במערכת שו"ב של הארגון ולאפשר לפעול מבעוד מועד ובאופן יעיל כדי להפחית סיכונים אלה ולמזער את הנזקים אם אכן תקיפת סייבר תתרחש", הוא מבהיר.

אבטחת סייבר במערכות שו"ב ובמערכות מידע: סיכונים ואתגרים

כידוע, על פי תקן ISO 27001-2013, הנהלת הארגון הבכירה היא  שאחראית להגנת הסייבר עבור מערכות מידע וגם מערכות שו"ב. האמצעים להגנת סייבר עבור מערכות מידע ומערכות שו"ב הם שונים. "על פי הגדרת תפקידם בארגון, המומחים למערכות מידע   אשר נדרשים להתמקצע באבטחת סייבר גם עבור מערכות שליטה ובקרה (שו"ב), חייבים לאמץ מספר עקרונות חשובים על מנת להתמודד ביעילות עם אתגרים המיוחדים הקשורים למערכות שו"ב", אומר ארנרייך.

" כך, למשל, המונח סודיות, שלמות וזמינות Confidentiality-Integrity-Availability CIA)) הקשור בעיקר למידע במערכות IT, יכול להיות תקף גם עבור מערכות שו"ב, אבל המטרה המרכזית עבור מערכות אלה היא התמקדות בבטיחות, אמינות ותפוקה Safety-Reliability-Productivity (SRP) " מפרט ארנרייך. לדוגמה, תהליך של "בדיקת חדירה" למערכת IT עלול לגרום לכיבוי זמני של המערכת, בעוד שביצוע בדיקה דומה במערכות שו"ב עלולה להוביל לתוצאות חמורות בהרבה ובהן קריסה, נזק מכני ואף לסכן אנשים.זאת ועוד, בעוד שהמומחים למערכות IT מעדכנים ומשדרגים את מערכותיהם על נחיות מספקי התוכנה לעתים קרובות, הרי שעבור מערכות שו"ב, פעולה "קלה" זו לא אפשרית מכיוון שכל שינוי או עדכון עלולים להוביל לסיכון לבטיחות ואמינות התפעול של המערכת".  "חשוב להדגיש כי ניתן להשיג הגנת סייבר יעילה באמצעות הקפדה על שלישיית ה-PPT   People – Policies –   Technologies  (אנשים, נהלים וטכנולוגיה) וכן על שלישיית ה- Redundancy-Diversity-Complexity- RDC (יתירות, גיוון ומורכבות) של פתרונות הגנה. בעוד שבמשולש PPT נקדיש את תשומת הלב הגבוהה ביותר להדרכות ותרגול של כל צוותים בארגון, משולש RDC  עוסק בעיקר בפתרונות טכנולוגיים", מציע ארנרייך.

על ארבעה תרחישי תקיפה דיברה תורת הסייבר

ארנרייך מונה ארבעה תרחישי התקפת סייבר קריטיים:

התרחיש הראשון מתייחס לגורם האנושי. "לעתים קרובות מהנדסי בקרה וקבלני משנה שעוסקים בתחום, מתנהגים בחוסר מקצועיות כאשר הם מתכננים את מבנה המערכת ורשת התקשורת הפנימית עבור מערכת שו"ב", מסביר ארנרייך. "מצב זה יוצר סיכוני סייבר חמורים או חולשות במערכת הבקרה, המאפשרים לתוקפים לחדור לרשת. מבין הדוגמאות של חולשות המאפשרות תקיפה לארגון: אי-שמירה על סודיות של אמצעי אבטחה כגון סיסמאות והרשאות גישה למערכת, פיקוח רשלני על שרשרת האספקה ​​וקבלני משנה שברשותם נמצא מידע חסוי, ביצוע עדכוני תוכנה ושינויים במערכת ללא הרשאה של גורם מוסמך בארגון, ולבסוף מחסור בכוח אדם מקצועי שמביא לכך שארגונים נאלצים לאפשר גישה מרחוק למערכות שלהם וגם מאפשרים לאנשי שירות חיצוניים להשתמש במחשב התחזוקה שלהם שעלול להיות מודבק בנזקה ללא ידעתם", הוא מפרט.

התרחיש השני לתקיפת סייבר נובע מהגנה לא מספקת על מערכת שו"ב. כידוע, מערכות השו"ב רבות בעולם משתמשות בחומרה ובתוכנה מדורות קודמים, נמצאים בשימוש יותר מ 20 שנים, ועקב כך לא ניתן לשדרג ולעדכן עבורם את התוכנה להשגת אבטחת סייבר ברמה הנדרשת. בנוסף מפרט ארנרייך, כי בין הסיבות לכך שמערכות שו"ב בארגונים אינם מוגנות כראוי היא העובדה שלא קיימת הפרדת נאותה בין מסלולי תקשרת רשת  בין אזורי מחשוב IT אשר מחובר עולם החיצוני, לבין מערכות שו"ב, ולכן אלה חשופות לתקיפה דרך רשת האינטרנט.

פתרון משלים לבעיה זו יכול להגיע מכיוון של שדרוג ההגנה הפיזית באמצעות התקנת מצלמות אבטחה, סיורים באזורים נגישים לזרים וכיו"ב, אבל זה לא מתקיים ברב המקרים. כמובן בהערה זו לא נכללים ארגונים ביטחוניים ואלה שבהם פועלות תשתיות חיוניות כי שם יש הקפדה ראויה על הביטחון.

התרחיש השלישי מתייחס למצב בו מערכות שו"ב לא מוגנת בפני פגיעויות בתהליך. "מערכות שו"ב נבנו בעבר למטרות חשובות כדי להבטיח פעולה בטוחה, אמינה ותפוקה גבוהה בתהליכי הייצור וסיכוני סייבר והגנת סייבר לא נכללו בין הדרישות. חבלה אפשרית בתהליכי שו"ב עשויה להוביל להשבתה, נזק ואף לסכן חייהם של אנשים. דוגמאות של פגיעויות שעלולות להפוך את המערכת למסוכנת מבחינה של בטיחות, כוללות התקנה של עדכונים ושדרוגי תוכנה שלא נבדקו באופן מסודר על פי נהלים, היעדר "הגנה שכבתית" שתגן מפני חדירה זדונית למערכת, וצורך בתחזוקה מרחוק על ידי ספק שרות חיצוני שמאפשרת גישה לא מוגנת למערכות שו"ב.

תרחיש רביעי מתאר מצב בו מערכות שו"ב לא מוגנות בפני חדירה דרך רשת התקשורת. "בעוד שהפגיעויות הקשורות למערכות מידע עשויות להוביל את המערכת  לדליפת מידע או חסימת גישה על ידי משתמשים, פגיעויות הקשורות לרשת התקשורת עשויות להוביל לתקיפה על מערכת השו"ב על ידי גורם זדוני שמתחבר למערכת בזהות של אדם מורשה. תוקפי סייבר מיומנים עשויים להתחבר לליבה של מערכת שו"ב דרך חיבורים אלחוטיים החשופים לאינטרנט או נגישים מאזורים מרוחקים, ואף ממדינות זרות. ישנן מספר שיטות לתקיפת סייבר דרך רשת התקשורת, ביניהן פגיעה בתקשורת עם לקוחות על ידי תקיפה מסוג  DDoS (Distributed Denial of Service), תקיפה מסוג MitM (Man in the Middle) שבאמצעותה התוקף מאזין לתקשורת לצורך של איסוף מידע ואף יוצר הודאות מזויפות. גישה זדונית לרשת הבקרה דרך קטע ברשת שלא הוצפן, או גישה באמצעות חיבור של רכיב זדוני עלולה לאפשר השבתה, נזר למערכות ואף לסכן אנשים.

השארת תגובה