הגנת סייבר על מערכות תפעוליות עם בקרי PLC

מדי שבוע אנחנו מתבשרים על פרסומים לגבי חולשות אבטחה שעלולות לגרם להשבת של הפעילות התפעולית, לנזק למערכות ייצור, ובמקרים קיצוניים גם לסיכון חיי אדם. במקביל לכך, אנחנו מתבשרים על מגוון אירועים שגרמו לנזקים המתוארים, ומכאן כולם מבינים שהסיכון לתקיפות סייבר נגד מערכות תפעוליות עלה, וארגונים צפויים להתעורר לבקרים בהם המערכות שלהם הושבתו ונגרמו להם נזקים.

התקני PLC וגם מערכות שו"ב נדרשים לעמוד בתקן מתאים להגנת סייבר. ייחודו של תקן 62443 ISA-IEC הוא בכך שהוא נותן מענה רחב במגוון נושאים הקשורים לאבטחת הרציפות התפקודית ובטיחות

חברת מחקר סיכוני סייבר Dragos פרסמה לאחרונה מידע על גילוי של נוזקה חדשה שתוקפת מערכות תפעוליות, בשם: FrostyGoop, שיש לה יכולות להתערב בתהליכים תפעוליים במערכות הבקרה וכך לגרום לפגיעה ברציפות התפעולית ונזקים למערכות הייצור.

🔥 Get the latest report on the impact of #FrostyGoop ICS Malware on OT Systems. A MUST-READ for industrial cybersecurity. Learn how to defend against the latest #OTcybersecurity threats. Download today! https://t.co/Yolzjor0ac #ICSsecurity #DragosIntel #DragosPlatform pic.twitter.com/lRPSdYWNLD

— Dragos, Inc. (@DragosInc) August 8, 2024

בנוסף, התבשרנו על פגיעה חמורה במערכות מחשוב למידע וגם למערכות תפעוליות, שנגרמה בעקבות עדכון תוכנה של חברת קראודסטרייק (CrowdStrike).

ללמוד את הסיבות לתקריות הסייבר – ולהפיק לקחים

כדי לא להיגרר אחרי פרסומים על תקיפות סייבר, ללא קשר לגבי התוצאה והנזקים שנגרמו, אנחנו חייבים להבין מה היה התהליך שגרם לאירוע בכל אחד מהמקרים. ללא מתהליך יסודי לא נוכל ללמוד מהאירוע ולא נוכל לשדרג את הגנה על המערכות.

– בחלק גדול מאד מהמקרים יתברר שהאירוע היה נגד מערכות מידע (אירוע מסוג כופרה – Ransomware), והתוצאה כלל לא השפיעה על תפקוד תקין של המערכת התפעוליות. בכל אופן, יהיו אנשים שבשוגג ישייכו את האירוע לארגון תפעולי.

– במקרים נוספים, באחוז קטן, יתברר שהאירוע היה מכוון נגד מערכות מידע אבל התוצאה של התקיפה השפיעה רק באופן עקיף על תפקוד תקין של המערכת התפעולית. שוב, יהיו כאלה שבשוגג ישייכו את האירוע לארגון תפעולי.

– במקרים ממש ספורים שוב יתברר שהאירוע היה מכוון נגד מערכות מידע, אבל התקיפה פרצה את מחסום ההפרדה בין רשת תפעולית ורשת המידע, ונגרם שיבוש או נזק למערכת התפעולית מסוג השבתה, או נזק למכונות ייצור.

– במקרים ממש בודדים יתברר שהאירוע היה מכוון ישירות לפגוע במערכות התפעוליות. תקיפות כאלה מתרחשות בעקבות חדירה פיזית של התוקף למתחם של הארגון, והחדרת כלי תקיפה למערכות התפעולית.

לאחר השלמה של בירור מקיף, חובה עלינו לברר איזה רכיב או אמצעי הגנה במערכת כשל ואיפשר את האירוע, שבעקבותיו נגרמו נזק בטיחותי או השבתה של רציפות תפקודית. לא מעט אנשים יאשימו בשוגג את הבקר או מערכת המחשוב, שלא הצליחו להתגונן. כאן חשוב לציין כי אין להאשים את הבקר באירוע, כיוון שבקרי PLC תוכננו ונבנו במטרה להבטיח פעולה בטוחה ואמינה ותהליך תפעולי יעיל (SRP – ר"ת Safety Reliability Performance). לכן, מרבית הבקרים בעולם לא כוללים אמצעים מתקדמים שנועדו להגן על המערכות מפני תקיפות סייבר.

התפקיד של הגנת סייבר מוטל על מתכנני המערכות, שנדרשים לשלב פתרונות הגנה ברמת המערכת התפעולית והגנה בפני חדירה לרשת הבקרה. חשוב לציין כאן בברור שאם תוקף חדר לרשת הבקרה בדרך כלשהי, כחלק מתהליך תקיפה, בסבירות גבוהה לא ניתן לעצור את הנזק. לכן, אנחנו חייבים להתמקד בחמישה מסלולי הגנה בלתי תלויים זה בזה:

• מערכות בקרה חייבות להיות מוגנות בפני גישה פיזית של אדם לא מורשה, שעלול לבצע חבלה במערכת.
• להטמיע הפרדת רשתות באמצעים יעילים, על מנת למנוע מעבר של כלי התקיפה בין האזורים.
• להטמיע מערכות ניטור מסוג (IDS – ר"ת Intrusion Detection System), כדי לגלות אירועים בהקדם.
• להשתמש בהתקני בקרה מיצרנים שעברו הסמכה על פי תקן 62443 ISA-IEC פרקים 4-1 & 4-2.
• לבצע הדרכות לעובדים בכל הרמות, על מנת שיוכלו להגיב במהירות וביעילות לכל סוג של אירוע.

מערכות בקרה בארגונים תפעוליים, אשר תוכננו נכון, חייבות לכלול אמצעים להתגוננות והקטנת הסיכונים שתקיפה תתרחש.

התקני PLC וגם מערכות שו"ב נדרשים לעמוד בתקן מתאים להגנת סייבר. ייחודו של תקן 62443 ISA-IEC הוא בכך שהוא נותן מענה רחב במגוון נושאים הקשורים לאבטחת הרציפות התפקודית ובטיחות. בקרי PLC ומחשבי HMI נדרשים לעמוד בתקן 4-1 וגם 4-2. מערכות בקרה חייבות להשתמש בהתקנים שעמדו בתקנים אלה, ובנוסף להיות מתוכננות על פי המלצות בפרק 2-4, ולהבדק על פי תקן זה בפרקים 3-3 וגם 3-2.

כדי להימנע מאירועים כמו אירוע קראודסטרייק, תהליכי עדכון במערכות (Patching and Updates) נדרשים להתבצע לפי פרק 2-3.

ארגונים שיפעילו על פי המלצות אלה, וישתמשו ברכיבים שאושרו על פי תקן זה, יבטיחו כי המערכות שלהם יעבדו באופן תקין באופן בטוח ואמין.

כותב המאמר הוא פעיל בחברת SCCE, יועץ, מרצה לאבטחת סייבר למערכות שליטה ובקרה (שו"ב) וגם חבר במספר ועדות תקינה ISA 62443, הכותבות פרקים חדשים ועדכניים בנושא אבטחת סייבר. בנוסף, הכותב הוא יו"ר הכנס השנתי ICS CyberSec⁹ 2025, המאורגן על ידי אנשים ומחשבים.

כנס ICS CyberSec⁹ הקרוב יארח מרצים מישראל ומחו"ל ויתקיים בלאגו ראשל"צ, ב-8 בינואר 2025. להרשמה ופרטים נוספים – לחצו כאן.