זו עובדה: לא השקענו די באבטחת סייבר עבור מערכות שו"ב!

במהלך השנים האחרונות לא השקענו את המשאבים הנדרשים להגנת סייבר על מערכות שליטה ובקרה (שו"ב) שמותקנות במפעלים התעשייתיים, מערכות מים ואנרגיה ועוד. לעומת זאת, אותם הארגונים כן השקיעו באבטחת סייבר על מערכות מידע, בעיקר בעקבות אירועים שגרמו דאגה למנהלים.

ישנן סיבות רבות להפליה זו בין מערכות מידע למערכות שו"ב. חלקן מוצדקות ונכונות ולא נבעו בגלל עצלנות של מומחים, חוסר ידע או מחסור בתקציבים עבור הגנת סייבר על מערכות שו"ב.

החדשות הטובות הן כי בשנים האחרונות הוקמו בישראל כ-20 חברות (ועוד רבות בעולם) הממוקדות להגנה על מערכות שו"ב. שינוי זה קורה לנגד עינינו בעיקר כתוצאה ממספר הולך וגדל של תקיפות חמורות ממוקדות על מערכות שו"ב.

כיצד הגענו למצב זה?

צוותי הגנת סייבר על מערכות מידע (Information Technology-IT) ומערכות שו"ב (Industrial Control Systems-ICS), ניגשים לאתגר זה מנקודות מבט שונות.

אנשי מערכות מידע מתמקדים בהגנה על סודיות, שלמות ונגישות למידע (Confidentiality ,Integrity ,Availability-CIA), לעומת אנשי שו"ב שתפקידם להתמקד בבטיחות ואמינות תפעוליים ובקרה על תפוקת הייצור (Safety, Reliability, Productivity-SRP). לכן באופן טבעי אנשי שו"ב מתנגדים לכל שינוי או שדרוג טכנולוגי שעלול לפגוע במטרות אלה (SRP).

גישה שמרנית זו מיושמת גם בכל הקשור לשדרוג תוכנות יישום ומערכות הפעלה, תיקוני תוכנה (patching) ושיפורים בתהליכי ייצור.

על בסיס שנות הניסיון שלי בתחום, אני מספיק אמיץ כדי להזדהות עם גישה שמרנית זו, כי בעבר לא היו פתרונות שנבנו במיוחד עבור מערכות שו"ב, וכל נגיעה במערכת גרמה לסיכון תפעולי ובטיחותי. לכן, מומחים לאבטחת סייבר לא צריכים להיות מופתעים כאשר פוגשים אדם שאומר: "אני האחראי על מערכת השו"ב, ואני לא מאשר שינוי שעלול לגרום לסיכוני בטיחות".

בעוד התקנים עבור מערכות IT מציעות גישות לאיתור נוזקות באמצעות סריקה (active scanning), הפעלת שאילתות (active querying) ועוד, שיטות אלה לא מעשיות לאיתור נוזקות עבור מערכות שו"ב, ועלולות לגרום לקריסה בתפקוד המערכת ונזק תפעולי.

האם ניתן אחרת?

רבים גם שואלים: מהי חומרת הבעיה? הרי אנחנו לא שומעים על תקיפות ממוקדות על מערכות שו"ב בקצב מדאיג. טענה זו נכונה במידה חלקית בלבד, כי תקיפות רבות לא זוכות לפרסום, וגם קשה לדעת אם פגיעתן כבר הוחדרה למערכת וממתינה לפקודת התקיפה (Logic Bomb).

השינוי בגישה שמרנית זו החל לאחר אירוע התקיפה על הכור האירני (Stuxnet 05-2010). למרות שמערכת זו הייתה מבודדת מהאינטרנט ומהעולם החיצוני (Air-Gapped Systems), היא הותקפה ולכן הגישה של ניתוק מוחלט בין מערכות קרסה. לאחר אירוע זה הופיעו דרישות חדשות לתהליכי תחזוקה כגון: top floor to shop floor management, ניתוח ביצעים ועוד, שהובילו לקישור (אומנם מאובטח) בין מערכות השו"ב למערת IT הארגוני.

לאור העובדה כי אמצעי אבטחת סייבר עבור מערכות מידע לא מתאימות עבור מערכות שו"ב, הופיע הצורך באמצעי אבטחה מותאמים במיוחד למערכות שו"ב.

התקנים לאבטחת סייבר על מערכות שו"ב כגון: NERC, Critical Infrastructure Protection-CIP-,North American Electric Reliability Corporation ,99-ISA, ותקנים כגון IEC 62443 International Electrotechnical Commission, נתנו מענה מסוים לצרכים אלה. אבל המציאות הוכיחה, כי כל מי השקיע במימוש תקנים אלה על מערכות קיימות למד כי המלאכה לא פשוטה בעיקר בגלל המבנה של המערכות כפי שתוכננו לפני המודעות לסיכוני סייבר, עם דגש רק על בטיחות ואמינות תפעוליים (SRP).

פתרונות ממוקדות למערכות שו"ב

בעקבות תקיפות סייבר על מערכות שו"ב, הגיע זמן לפעול במרץ וליישם פתרונות הגנת סייבר שהותאמו במיוחד עבור מערכות שו"ב. אין לנו זמן למחקרים בדומה למה שנעשה בעשור האחרון עבור הגנה על מערכות מידע. אנו יכולים ליישם פתרונות גם על פי תורת הסייבר שהופצה על ידי מטה הסייבר ב-2017.

הגנת סייבר יעילה מושגת על ידי מימוש פתרונות בשלושה מישורים:
● הדרכות למודעות לסיכוני סייבר ותרגול לכל העובדים, ברמה המותאמת לכל מחלקה ולכל מגזר.
● כתיבת נהלים מותאמים להגנה עבור הקישור בין מערכות מידע ומערכות שו"ב והטמעתם בתוך הארגון.
● יישום טכנולוגיות מותאמות במיוחד למערכות שו"ב והתקנתם באופן זהיר שלא יוצר סיכוני בטיחות.

האיום על תפקוד מערכות שו"ב הוא אמיתי וכבר כאן – מעבר לאופק. אנחנו נמצאים היום במצב טוב יותר לעומת העבר, וקיימות טכנולוגיות מותאמות עבור מערכות שו"ב.

חשוב להדגיש כי אין פתרון יחיד שמספק מענה מושלם, ולכן נדרש לבחור מספר פתרונות המשולבים במערך הגנה כולל:
● זיהוי התנהגות מערכתית חריגה: systems Anomaly behavior based intrusion detection.
● מערכת שמגבילה את הגישה לאתרים: Authenticated Proxy Access (APA) to remote sites.
● מערכות להעברת נתונים חד-כיווני באופן מוחלט: Unidirectional Security Gateway ,Diode.
● בחינה רציפה של מצב תפעולי בכל חלקי המערכת שו"ב: ICS operation-visibility analysis.
● בחינה של נתונים מעוברים בתוך המערכת: Internal protocol-based communication analysis.
● שימוש בהתקני חומת אש מותאמים במיוחד למערכות שו"ב: ICS-Aware Firewalls.
● מערכות הפרדה "התקן אזור מפורז": Demilitarized Zone (DMZ)-based segmentation.
● מערכות לאיסוף וניתוח ודיווחים: Security Information and Event Management (SIEM).
●  אמצעים לזיהוי מתחברים לא מורשים: Behavior analysis based User Authentication.
● הגבלה קפדנית של אפשרויות של התחברות מרחוק: Remote Access Prevention.
● בחינה מעמיקה של קבצים שמוחדרים לארגון: Data files inspection and sanitizing.
● ועוד מגוון פתרונות מדהימים ומותאמים למערכות שו"ב שמוצעים על ידי חברות בארץ וגם בחו"ל.

סיכום

למומחים בתחום מערכות שו"ב יש את הידע והניסיון הנדרשים על מנת ליישם פתרונות טכנולוגיים. הגנת סייבר על מערכות השו"ב חייבת להיות מטופלת בראש סדר העדיפויות, והעוסקים במלאכה חייבים לקבל את תקציבים הנדרשים.

אם לא נפעל מיידית ובמרץ רב, אותם הארגונים שיותקפו ויינזקו לא יוכלו לטעון כי לא קיימים פתרונות ראויים. רק כך נוכל להיות צעד אחד לפני התוקפים ולמנוע נזקים כתוצאה מהתקיפה הבאה.

נפגש בכנס….

כנס 2017 ICS-Cybersec יערך בישראל בתאריך 13 בנובמבר ב-LAGO. הכנס יכלול הרצאות של ספקים ומשתמשים ויתמקד בסיכונים ובפתרונות לאיומי הסייבר על מערכות שו"ב, מערכות אינטרנט של הדברים, מפעלי ייצור, רשות המים, רשת החשמל ותשתיות חיוניות נוספות. כנס זה יהווה מקום מפגש לבעלי תפקידים, להחלפת דעות וחשיפה לפתרונות חדשים שיגנו על המערכות שו"ב במדינה.