Legalább kétezer magyar ipari vezérlőrendszer szabadon elérhető az interneten, ezek közül sok szinte teljesen védtelen, titkosítás és hitelesítés nélkül hozzáférhető, lehallgatható és akár módosítható is. Közel négyszázat már meg is hekkelt valaki, de ennél jóval több eszköz sérülékeny – derül ki a Black Cell új jelentéséből. Összetett okokra vezethető vissza, hogy miért jár még ma is gyerekcipőben az ipari kiberbiztonság, de egyre sürgetőbb a fontos üzemek és a kritikus infrastruktúra védelme, mert egyre gyakrabban kerülnek célkeresztbe.
Hogy a technológiai fejlődés egyre nagyobb biztonsági kockázattal is jár, hatalmas közhely. Az életünk minél több részét kötjük rá az internetre, annál nagyobb támadási felületet adunk a jelszavunkra, bankkártyánkra vadászó kiberbűnözőknek. Abba viszont ritkábban gondolunk bele, hogy nemcsak a személyes életünk függ az internetre kötött eszközöktől, hanem a minket körülvevő világot működtető gépek is egyre ritkábban üzemelnek elszigetelten.
Ilyen ipari vezérlőrendszerek (Industrial Control Systems, ICS) nélkül elképzelhetetlen a gyárak, erőművek termelése, a közműszolgáltatók, tömegközlekedési hálózatok, irodák, lakóépületek üzemeltetése, sőt egyre inkább az otthonaink működése is. Ma már a hagyományosan idesorolt eszközök se csak a szó szoros értelmében vett ipari környezetben találhatók meg, ráadásul az utóbbi néhány évben a Dolgok Internete (IoT) okoskütyüinek elterjedése és az ipari környezetekbe integrálása (Industrial IoT, IIoT) még inkább kiterjesztette az eredeti kategóriát.
Azzal, hogy ezek az eszközök rácsatlakoztak a külvilágra, ugyanúgy sebezhetőbbé váltak, mint a személyes eszközeink – csak bizonyos szempontból még azoknál is sokkal védtelenebbek, mert eredetileg senkinek nem jutott eszébe, hogy egyszer ilyen típusú veszélynek lesznek kitéve.
Az ipari környezetben használt rendszerek világa az OT (Operational Technology), amely kiberbiztonsági szempontból a sokkal nagyobb figyelmet kapó IT elhanyagolt mostohatestvére. Jól jellemzi az OT-eszközök biztonsági állapotát az a hekkerverseny, amelynek az eredményéről nemrég mi is beszámoltunk: januárban a Miamiban rendezett S4 kiberbiztonsági konferencián hirdették meg a Pwn2own kihívást, ahol úgynevezett ipari vezérlőrendszereket támadhattak az etikus hekkerekből álló csapatok – és az összes célpontot különösebb gond nélkül fel is törték.
Egy 2016-os Kaspersky-jelentés [pdf] szerint a vizsgálat idején világszerte több mint 220 ezer ipari megoldás volt elérhető az internetről, 188 ezer eszközön. Ebből közel 173 ezer bizonyult sebezhetőnek, azaz az összes kívülről elérhető eszköz 92 százaléka.
Egy friss felmérés alapján úgy tűnik, a helyzet itthon se sokkal rózsásabb. A Black Cell magyar kiberbiztonsági cég kutatása megállapította, hogy több ezer hazai ipari vezérlőeszköz érhető el szabadon az interneten, ezek nagy része sebezhető is, és több százat már rég meg is hekkeltek.
Ezek az eszközök mindenhol ott vannak a mindennapjainkban is, a panelházak liftjeitől a metrók mozgólépcsőin át a vasúti sínek váltóiig mindent ipari vezérlők irányítanak. Ehhez képest arányaiban, darabszámra kevés az interneten megtalálható eszköz – ez a jó hír. A rossz meg az, hogy még ez is sokkal több, mint amennyinek lennie kéne, mert a teljesen védtelen vagy gyengén védett ipari eszközök komoly támadási felületet jelentenek
– mondta Kocsis Tamás, a Black Cell ipari vezérlők biztonságával foglalkozó üzletágának vezetője, a kutatás szerzője az Indexnek.
Persze az is rém kellemetlen, ha valakinek feltörik az emailfiókját vagy ellopják a bankkártyája adatait. De ha egy gyárban áll le a termelés egy támadás miatt, vagy valaki átveszi az irányítást a sífelvonók fölött, az már rövid idő alatt is sokmilliós anyagi kárt és akár emberi sérülést is okozhat. És az se szerencsés helyzet, ha egy áramszolgáltató meghekkelése miatt az ország ötödében elmegy az áram.
A Black Cell tavaly decemberben mérte fel, hány magyarországi ipari eszköz érhető el az internetről, milyen típusú eszközökről van szó, és ezek mennyire védettek a támadások ellen. Ehhez a Shodan nevű keresőt használták, amellyel az internetre kötött eszközök között lehet kutakodni. (Csak a Shodannál némileg tágabban értelmezték az ICS kategóriáját, a klasszikus ipari eszközök mellett például az IIoT területén gyakran használt rendszereket is bevették a merítésbe.) Ez volt az első ilyen jellegű vizsgálat a magyarországi ipari vezérlők és más OT-eszközök biztonságáról.
A felmérés fő megállapítása, hogy
legalább 2013 hazai ipari eszköz érhető el az interneten, ebből 364 már a felmérés idején is meg volt hekkelve, de a többinek a jelentős része is védtelen vagy legalábbis sérülékeny.
Nézzük röviden, mik a legkomolyabb problémák az azonosított ipari eszközökkel:
Az interneten elérhetővé tett ICS/OT eszközök magas fenyegetettség mellett üzemelnek. [...] Nemcsak az üzemi folyamatokra, de a mögöttes infrastruktúrára is kockázatot jelenthetnek. Egy kompromittált eszközről akár a mögöttes hálózat eszközei is hozzáférhetővé válhatnak
– olvasható a jelentésben.
A kockázatok realitását az a több száz eszköz példázza legérzékletesebben, amelyek nem pusztán sebezhetők, hanem a vizsgálat idején már meg is voltak hekkelve. A Lantronix nevű gyártó egyes eszközeiről van szó: az eszközökön futó programverziónak 2012 óta ismert egy sebezhetősége, amelynek a kihasználásával az eszközökből kiolvasható a bejelentkezéshez használt jelszó. Ezt megszerezve aztán a támadó már minden további nélkül be tud lépni a rendszerbe, és kénye-kedve szerint módosítgatni azt.
A Lantronix 449 hazai eszköze érhető el az interneten, ebből 66 legalább frissebb firmware-rel fut, ezért a sérülékenység már nem használható ki rajtuk. 19 eszköz továbbra is sebezhető, de a kiszivárgott jelszavaikhoz egyelőre nem nyúlt senki. A maradék 364 viszont már kompromittálva van: a jelszavukat valamikor valaki megváltoztatta.
Azt nem lehet biztosan tudni, hogy ezeknél a már meghekkelt eszközöknél történt-e konkrét károkozás, de Kocsis Tamás szerint több jel arra utal, hogy inkább csak trollkodás vagy edukatív akció volt a jelszavak megváltoztatása.
Az a probléma, hogy ezek az eszközök azóta is így maradtak, és bármikor lehetne komolyabb kárt is okozni velük. Ráadásul még ahol nem is használták ki a rést, maga a Shodan fedi fel ezeket az eszközöket, és mindig megmutatja, hogy mi az aktuális jelszó rajtuk
– mondta Kocsis.
Fontos megjegyezni, hogy a felfedezett eszközök védtelensége alapvetően nem a gyártók felelőssége, hanem azoké, akik ezeket az eszközöket elavult szoftverrel és esetleg hibása beállítva használják.
Adódik a kérdés, hogy kik ezek az üzemeltetők. Kocsis Tamás szerint a legtöbb esetben a konkrét céget, intézményt nem lehet azonosítani az eszközök mögött, de annyi látszik, hogy a legkülönfélébb piaci cégektől magánemberek otthonain át oktatási intézményekig minden terület érintett. De találtak például komplett naperőművet kikötve az internetre, illetve távhőszolgáltatók, iskolák, családi házak és különféle gyárak eszközei is fellelhetők.
Találkoztak olyan gyárral, amelynek a teljes hűtés-fűtés vezérlése, több gyárcsarnokkal, irodákkal, gyártósorokkal, térképekkel egy az egyben elérhető, bármiféle hekkelés nélkül, mindössze az IP-cím megadásával. Módosítani legalább csak jelszóval lehet, az más kérdés, hogy ez a gyakorlatban mennyire jelent komoly akadályt, de ezt a Black Cell kutatói nyilván már nem próbálták ki. Ahol igazán komoly problémával találkoztak, és az eszközök mögött álló üzemeltetőt sikerült azonosítani, ott jelezték neki a problémát – mondta el Kocsis Tamás.
Az interneten szabadon elérhető ipari vezérlők között nem voltak jellemzők a kritikus infrastruktúrához köthető eszközök, de Kocsis szerint ez az elvárható minimum:
Az ipari vezérlők védelme nyilván nem csak abból áll, hogy kiengedjük-e őket az internetre vagy nem. Az, hogy a kritikus infrastruktúra eszközei nincsenek kint az interneten, jó, de ez a minimum. Ettől függetlenül azt, hogy a kritikus infrastruktúrának a belső védelme milyen állapotban van, nem tudjuk megmondani.
Erre magyar vonatkozásban frissebb nyilvános adatok híján a Hunguard 2015-ös auditja enged következtetni: akkor a vizsgált közműszolgáltatói rendszerek 56 százalékánál találtak magas, 78-nál közepes és 62-nél enyhe kockázatokat külső behatolások tekintetében, és csak a szolgáltatók 5 százaléka bizonyult ellenállónak.
A kritikus infrastruktúrák rendszereinek védelme már csak azért is különösen fontos, mert egyre inkább a kiberhadviselés bevett eszközévé válnak az ilyen jellegű támadások. Elég csak az ukrán áramellátás elleni 2015-ös és 2016-os orosz szabotázsakciókra gondolni, vagy akár az év elején felfokozódott amerikai-iráni konfliktus miatti szakértői jóslatokra arról, hogy az iráni hekkerek előbb-utóbb az amerikai kritikus infrastruktúrát is célba vehetik, pláne miután tavaly több jel is utalt ilyen támadások előkészítésére. A Világgazdasági Fórum (WEF) januári jelentése szerint 2020-ban a globális kockázatok rangsorában ötödik helyen áll a kritikus infrastruktúra elleni kibertámadások veszélye.
A Black Cell jelentése részletezi, hogy az ipari és IIoT vezérlők legismertebb gyártói közül melyiknek hány eszközét találták meg, illetve milyen problémákat azonosítottak náluk. Mi itt a cikkben most csak néhány érdekesebb részletet emelünk ki a fentebb már említett Lantronix-eszközök mellett.
Az ipari rendszerek védelme még mindig gyerekcipőben jár, főleg Magyarországon
– mondta Kocsis Tamás.
A terület viszonylagos védtelenségének történeti, technológiai és jogi okai is vannak.
Természetesen az ipari környezetben mindig is nagyon fontos szempont volt a biztonság. Az angol nyelvben viszont jól látszik egy magyarban elvesző megkülönböztetés: amit mi biztonságnak mondunk, az ott kettéválik a safety és a security szavakra. Ha nagyon minimalistán akarnánk visszaadni a különbséget, talán az épség és a biztonság lenne a két megfelelő fordítás, de a témánk szempontjából szerencsésebb lehet az üzembiztonság-kiberbiztonság felosztás – tehát az eszközök, az emberek és a környezet épségének, illetve a rendszerek bizalmasságának, sértetlenségének és rendelkezésre állásának biztosítása.
Mindig a rendelkezésre állás kapja a prioritást az ipari vezérlőknél, a bizalmasság kérdése háttérbe szorul. Egy mozgólépcső-vezérlő védelme nem arról szól jelenleg, hogy a hekker ne tudja megállítani vagy felgyorsítani, hanem arról, hogy ne romoljon el működés közben, és ne essenek le róla az emberek
– érzékeltette a különbséget Kocsis Tamás.
Ennek a történeti előzménye, hogy amikor az ipari rendszereket a hetvenes években elkezdték kiépíteni, úgy tervezték őket, hogy önállóan vagy maximum egy fizikailag kapcsolódó, zárt hálózaton működjenek megbízhatóan. Akkoriban még fel se merült, hogy egyszer majd valamilyen nagyobb, nyíltabb hálózatba is be kell kapcsolódniuk, ezért nem is volt szempont, hogy a külső hozzáféréstől kelljen védeni őket. Ezért amikor a távoli eszközök közötti kommunikáció először felmerült, még ez is bármiféle hitelesítés és titkosítás nélkül folyt. Idővel frissültek a protokollok, bekerültek új védelmi funkciók, de ezek jellemzően nagyon lassan szivárognak le a gyakorlati használat szintjére.
Ennek az attitűdök lassú változása mellett az is az oka, hogy technológiailag sem olyan egyszerű frissíteni egy ipari OT-rendszert, mint egy irodai IT-infrastruktúrát: a folyamatos rendelkezésre állás igénye miatt nem lehet csak úgy leállítani a rendszereket, amíg feltelepítik rájuk az új firmware- és szoftververziókat, illetve az sem biztos, hogy a régin futó vezérlőprogramok képesek lesznek az új verzión is futni. Ugyanígy a klasszikus IT-biztonsági megoldások se működnek egy az egyben, egy antivírus program például túlságosan nagy hatással lehet egy OT-rendszer működésére – lelassítja, belenyúl az adatforgalomba, blokkol egyes elemeket, stb –, ami az üzembiztonság szempontjából túl nagy áldozatot követelne.
A másik probléma az eszközök életciklusában keresendő. Ha veszünk egy számítógépet, jellemzően 3-5 éves életciklussal számolunk, ennyi idő után kell újat venni. Ezzel szemben az ipari vezérlés világában a húszéves eszközöknél már elkezdhetünk azok gondolkodni, hogy vajon ezt valamikor majd mire fogjuk lecserélni
– mondta Kocsis Tamás.
Ennek a hosszú élettartamnak a mellékhatásai a kompatibilitási problémák. Hiába jön ki egy frissítés, és hiába lenne még alkalom is telepíteni, ha olyan régi az – egyébként továbbra is üzembiztosan működő – ipari vezérlő, hogy egyszerűen nem fog már rajta futni az új verzió.
Végül pedig az is az ipari kiberbiztonság fejlődését hátráltatja, hogy a szabályozási környezet sincs felkészülve rá, mert a belső biztonsági szabályzatokat és eljárásrendeket nagyrészt az IT-ra írják, nem az OT-re.
A technológiai fejlődés következtében a két terület mára gyakorlatilag összenőtt, hiszen az OT-s szakemberek tulajdonképpen szakosodott IT-mérnökök, mégis a mai napig éles ellentét feszül a két oldal képviselői között. Az OT-sek gyakran úgy érzik, hogy az IT-s és IT-biztonsági szakemberek nem értik meg az OT-terület működését, az IT pedig a biztonság degradálását rója fel az OT-nak – mondta Kocsis. Szerinte a mai kiberbiztonsági előírások és szabályzatok túlságosan az IT-ra vannak optimalizálva, és az arra vonatkozó követelményeket akarják az OT-ra is rákényszeríteni, míg egy ideális szabályozásnak figyelembe kellene vennie az ipari környezetre jellemző működési sajátosságokat:
Amit lehet implementálni az IT-s szabályokból, azt valóban végre kell hajtani OT-s környezetben is, amit meg nem lehet, arra ki kell találni egyéb megoldást, amivel azt a sérülékenységet vagy hiányosságot, amire az adott szabályt hozták, kontrollálni lehet.
(Címlap és borítókép illusztráció: szarvas / Index)