Cyberbezpieczeństwo w zakładzie produkcyjnym.
Jak chronić ciągłość produkcji i systemy OT?

1. Zinwentaryzuj urządzenia i ich połączenia.

Wystarczy arkusz: urządzenie, lokalizacja, adres IP, wersja oprogramowania, czy jest kopia programu, czy ma połączenie ze światem zewnętrznym, kto ma dostęp. Ważniejsza od samej listy jest druga kolumna: z czym dane urządzenie się komunikuje i w jakim celu. Czy ten sterownik rzeczywiście potrzebuje połączenia z siecią biurową? Dokąd wysyła dane router w szafie? Czy stoi tam jeszcze drugi modem, zostawiony przez integratora cztery lata temu? Zacznij od jednej linii, tej, której postój kosztuje najwięcej. Nie skanuj pracującej sieci produkcyjnej narzędziami z sieci biurowej, bo starsze sterowniki potrafią się od tego zawiesić; korzystaj z dokumentacji, szaf sterowniczych i konfiguracji przełączników. Sprawdzian jest prosty: w pięć minut powinieneś umieć powiedzieć, ile modemów z kartą SIM stoi w szafach na terenie zakładu.

2. Odzyskaj kontrolę nad dostępem zdalnym.

Zasada brzmi: domyślnie wyłączony, włączany na czas konkretnej pracy. Imienne konta, drugi składnik logowania, zapis każdej sesji. Najlepiej sprawdza się rozwiązanie, w którym sesję fizycznie otwiera pracownik obecny na miejscu, choćby stacyjką w szafie albo zgodą wydaną w portalu. Sam tunel VPN to za mało, ponieważ zwykle otwiera serwisantowi całą sieć. Połączenie lepiej zakończyć na serwerze pośrednim, z którego widać jedno urządzenie i tylko te protokoły, które są potrzebne do zadania. Każdemu dostawcy maszyny zadaj trzy pytania: w jaki sposób się łączycie, kto ma dostęp i czy możemy go wyłączyć. Odpowiedź w rodzaju „TeamViewer jest stale uruchomiony na komputerze maszyny” albo „mamy jeden wspólny login dla wszystkich klientów” to gotowy temat na rozmowę o ryzyku. Osobna sprawa to karty SIM. Prywatna sieć operatora, tak zwany prywatny APN, sama w sobie nie chroni. CERT ustalił na podstawie ankiet, że w Polsce była to często spotykana konfiguracja, w której urządzenia w takiej sieci widzą się nawzajem, i właśnie tą drogą napastnik przeszedł z farmy wiatrowej do elektrociepłowni.

3. Żadne urządzenie sterujące nie może być dostępne z Internetu.

CERT Polska formułuje to kategorycznie: nie wystawiamy do sieci paneli HMI i SCADA, zdalnych pulpitów ani portów protokołów przemysłowych, nawet w trybie tylko do odczytu i nawet z mocnym hasłem. Jeśli dostęp z zewnątrz jest konieczny, prowadzimy go przez VPN z drugim składnikiem logowania. Zarejestruj firmę w bezpłatnym serwisie moje.cert.pl, który pokaże zasoby widoczne z Internetu, także te zapomniane. Jedno zastrzeżenie: router na karcie SIM ma adres operatora komórkowego, więc skan adresów firmy go nie obejmie, a CERT nie ma jak dotrzeć do właściciela. Routery LTE trzeba sprawdzić osobno, pojedynczo.

4. Zmień fabryczne hasła i ustal, gdzie są przechowywane.

Dotyczy paneli, sterowników, przełączników, routerów i falowników z panelem WWW. Historia sterownika RTU560 pokazuje, ile kosztuje konto „Default” zostawione w urządzeniu na stacji. Jest jednak druga strona tej samej monety, dobrze znana każdemu automatykowi: zablokowany hasłem sterownik, do którego o drugiej w nocy nikt nie potrafi znaleźć hasła, zatrzymuje linię równie skutecznie jak atak. Dlatego hasła serwisowe muszą być zdeponowane w menedżerze haseł albo w zaklejonej kopercie w sejfie, z opisaną procedurą wydania i wskazaniem, kto ma do nich dostęp. Nigdy na kartce przyklejonej do panelu.

5. Oddziel sieć produkcyjną od biurowej i od firmowej domeny.

To zadanie do wykonania razem z działem IT albo z integratorem, nie samodzielnie. Minimum to zapora między siecią biurową a produkcyjną i brak bezpośredniego dostępu do Internetu na maszynach; dane do systemów ERP i MES przechodzą przez wydzieloną strefę pośrednią. Sam podział na sieci VLAN nie jest jeszcze granicą bezpieczeństwa: jeżeli ruch między strefami przechodzi swobodnie, podział istnieje tylko na schemacie. Granicę tworzy dopiero zapora albo lista dozwolonych połączeń. Do tego dochodzi kwestia domeny Windows, którą grudniowe ataki pokazały bardzo dosłownie. Sprawdź, czy komputery przy maszynach należą do tej samej domeny co komputery w biurze i czy dzielą z nimi konta administracyjne. Jeżeli tak, przejęcie jednego konta administratora otwiera napastnikowi obie części zakładu naraz.

6. Twórz kopie, które da się odtworzyć.

Programy sterowników, projekty HMI i SCADA, receptury, parametry napędów, programy robotów, konfiguracje przełączników i routerów, obrazy komputerów przemysłowych, do tego wersje i licencje oprogramowania inżynierskiego. Co najmniej jedna kopia poza siecią, żeby nie została zaszyfrowana razem z resztą. W zaatakowanej elektrociepłowni to właśnie posiadane kopie programów skróciły awarię. Samo wykonanie kopii niczego jednak nie gwarantuje, więc odtwarzanie trzeba przećwiczyć, ale na sprzęcie zapasowym albo w zaplanowanym oknie serwisowym, nigdy na pracującej maszynie. Zmierz przy tym czas. Ta liczba jest odpowiedzią na pytanie, które prędzej czy później zada zarząd: ile godzin zajmie nam powrót do produkcji.

7. Zapewnij części zamienne i procedurę pracy ręcznej.

Napastnicy resetowali urządzenia, zmieniali hasła i adresy IP właśnie po to, żeby przedłużyć postój. Zapasowy sterownik, panel, przełącznik czy zasilacz na półce, z opisaną wersją oprogramowania, pozwala wrócić do pracy bez czekania na dostawę. Do tego spisana procedura pracy ręcznej dla najważniejszych linii; amerykańska agencja CISA zalicza utrzymywanie takiej umiejętności do pięciu podstawowych zabezpieczeń systemów OT. Warto pamiętać, jak wyglądało to w Norsk Hydro po ataku w 2019 roku: zakłady przez tygodnie pracowały ręcznie, a do pomocy zgłosili się emerytowani pracownicy, którzy pamiętali, jak prowadzić proces bez komputera.

8. Uporządkuj zasady dla laptopów serwisowych i nośników USB.

Laptop serwisowy bywa najkrótszą drogą do szafy sterowniczej. Był w hotelowej sieci Wi-Fi, w sieciach trzech innych klientów, a potem ktoś podłącza go wprost do przełącznika przy maszynie i omija w ten sposób wszystko, co stoi na brzegu sieci. Osobny komputer do prac przy automatyce, bez poczty i przeglądania Internetu. Nośniki i laptopy firm zewnętrznych sprawdzane przed podłączeniem. Prywatne nośniki USB w szafach sterowniczych i przy panelach powinny być zakazane.