הנחיות שפורסמו לאחרונה על ידי ה-FBI (הבולשת הפדרלית) והסוכנות לביטחון סייבר ותשתיות (CISA) מדגישות איום דחוף ומתפתח על סביבות OT. בהודעה משותפת הזהירו הסוכנויות כי גורמי איום המזוהים עם איראן ניצלו באופן פעיל בקרי PLC (בקרים לוגיים מתוכנתים) המחוברים לאינטרנט במגזרי תשתית קריטיים בארה"ב, כולל מערכות מים ושפכים, אנרגיה ומתקנים ממשלתיים. ההודעה, AA26-097A, מדגישה דפוס שגורמים רבים בענף חשדו בו זה מכבר, אך כעת הוא נצפה באירועים בעולם האמיתי: גורמים אלה אינם מסתמכים עוד על פגיעויות בתוכנה או על ניצול פרצות "יום אפס" כדי לפגוע בסביבות תעשייתיות. במקום זאת, הם מנצלים נתיבי גישה לגיטימיים, פרוטוקולים תעשייתיים מקוריים וכלי הנדסה סטנדרטיים כדי לתקשר ישירות עם מערכות בקרה.
נתיבי בקרה חשופים, לא נקודות תורפה
נתיבי בקרה חשופים, ולא פגיעויות שלא תוקנו, הם הסיכון העיקרי לסביבות OT. אסטרטגיות מסורתיות המתמקדות בזיהוי פגיעויות, תיקון מערכות וניטור התנהגות זדונית נותרות חשובות, אך ההודעה האחרונה מבהירה: אם תוקף מצליח להגיע לסביבת ה-OT שלכם, הוא יכול לפעול בתוכה.
במקרים רבים שנצפו, התוקפים הצליחו להתחבר ישירות לבקרי PLC המחוברים לאינטרנט באמצעות יציאות תקשורת תעשייתיות סטנדרטיות כגון 44818, 2222, 102 ו-502. באמצעות תוכנות הנדסיות נפוצות, הם יצרו חיבורים תקפים עם מכשירים אלה ותקשרו איתם כאילו היו מפעילים מורשים.
ההבחנה בין "נגיש" ל"פגיע" מהווה שינוי מהותי. השאלה אינה עוד רק האם מערכת מסוימת פגיעה, אלא האם היא נגישה. אם ניתן לגשת למערכת בקרה דרך הרשת, ניתן להפעיל אותה. ואם ניתן להפעיל אותה, ניתן לשבש את פעולתה.
כיצד מתבצעות מתקפות OT מודרניות
דפוס ההתקפה המתואר באזהרה מתנהל באופן פשוט:
- גישה ראשונית: חשיפת בקרי PLC או מערכות OT לרשתות חיצוניות, בין אם באופן ישיר ובין אם באמצעות ערוצי גישה מרחוק כגון VPN או שרתים מתווכים
- אינטראקציה באמצעות אמצעים לגיטימיים: משם, התוקפים משתמשים בכלים הנדסיים לגיטימיים כגון Studio 5000 Logix Designer כדי ליזום חיבורים למכשיר. שימוש בתחנות עבודה הנדסיות, בכלים של ספקים או בפרוטוקולים מקוריים (למשל, Modbus, EtherNet/IP)
- ביצוע:
- שינוי לוגיקת הבקרה
- העלאה/הורדה של קבצי פרויקט
- הנפקת פקודות לתהליכים פיזיים
- השלכות: שיבושים תפעוליים, סיכוני בטיחות והפסדים כספיים פוטנציאליים
מה שהופך את הגישה הזו ליעילה הוא העובדה שהיא עוקפת אמצעי אבטחה מסורתיים רבים. אין דבר "זדוני" במהותו ברמת הפרוטוקול או הכלי שיפעיל את מנגנון הזיהוי.
אמצעי הבקרה המסורתיים כבר אינם מספיקים
רוב סביבות ה-OT כיום מסתמכות על שילוב של חומות אש, רשתות VPN, אסטרטגיות פילוח ובקרות גישה מרחוק. אף על פי שמדובר באמצעים הכרחיים, יש להם מגבלות מובנות:
- חומות אש תלויות בתצורה נכונה ובניהול נכון של הכללים; הן גם מאפשרות שימוש בפרוטוקולים הנדרשים בהתאם לתכנונן.
- רשתות VPN וגישה מרחוק מסתמכות על תקינות פרטי הזיהוי
- מערכות זיהוי/ניטור פועלות לאחר שהגישה כבר הוקמה
בתרחישים שהוצגו על ידי CISA, התוקפים לא נדרשו לעקוף את אמצעי ההגנה הללו במובן המקובל של המילה. הם פשוט ניצלו את הגישה שהייתה קיימת ממילא.
לכן ההנחיה שמה דגש רב על צמצום חשיפה מיותרת והידוק פילוח הרשת.
שילוב בין פילוח לבידוד דטרמיניסטי
פילוח הוא זה מכבר שיטת עבודה מומלצת, אך לא כל סוגי הפילוח זהים.
פילוח לוגי, המופעל באמצעות תוכנה ומדיניות, יכול להפחית את הסיכון אך אינו מבטל אותו. הגדרות שגויות, חשיפת פרטי הזדהות או נתיבי גישה עקיפים עלולים עדיין ליצור קישוריות בלתי מכוונת בין סביבות ה-IT וה-OT.
בסביבות בעלות סיכון גבוה יש צורך בבידוד דטרמיניסטי.
ביטול נתיב התקיפה באמצעות תקשורת חד-כיוונית
גישה איתנה יותר היא לבטל לחלוטין את האפשרות לגישה נכנסת.
דיודות נתונים מאפשרות תקשורת חד-כיוונית מבוססת חומרה בין רשתות. הדבר מאפשר לנתוני תפעול לזרום החוצה מסביבת הבקרה לצורכי ניטור, ניתוח או עמידה בדרישות תאימות, תוך שהופך את זרימתם של נתונים, פקודות או חיבורים חזרה לסביבה לבלתי אפשרית מבחינה טכנית.
בהקשר של דפוסי התקיפה שתוארו על ידי CISA, יש לכך השפעה ישירה:
- אין פקודות מרחוק שמגיעות ל-PLC
- אף כלי הנדסי אינו יכול להתחבר מרשתות חיצוניות
- תוכנות זדוניות או תעבורה בלתי מורשית אינן יכולות לחדור לסביבת הבקרה
זה לא עניין של זיהוי או חסימת פעילות זדונית. מדובר בביטול הנתיב לחלוטין.
התאמה להמלצות ה-CISA
ההנחיות של CISA למניעת נזקים מדגישות שלוש פעולות מרכזיות:
- הסרת נכסי OT מחשיפה ישירה לאינטרנט
- חיזוק ההפרדה בין רשתות ה-IT לרשתות ה-OT
- הגבלת ובקרת גישה מרחוק
ארכיטקטורות תקשורת חד-כיווניות מיישמות המלצות אלה ברמת אבטחה גבוהה יותר, בכך שהן מבטיחות שמערכות בקרה קריטיות לא יהיו נגישות, גם אם רשתות במעלה הזרם נפגעו.
חשיבה מחודשת על OT Security: מהגנה לתכנון
ההנחיה AA26-097A טוענת כי הנחות היסוד ההגנתיות חייבות להתפתח בהתאם לאיומים שעליהם הן מתמודדות. אם התוקפים כבר אינם נדרשים לנצל פרצות אבטחה, אין די בהתמקדות בזיהוי ובמניעה בלבד. יש להעביר את העדיפות לאמצעי בקרה ארכיטקטוניים המסירים קטגוריות שלמות של סיכונים. הפיכת מערכות OT לבלתי נגישות מרשתות חיצוניות היא אמצעי בקרה כזה.
מתן עדיפות לביטחון
ההודעה האחרונה של CISA מדגישה מציאות שארגונים כבר אינם יכולים להתעלם ממנה:
- חשיפה שווה לסיכון בסביבות OT
- ככל שתוקפים מנצלים יותר ויותר גישה לגיטימית ופונקציונליות מובנית, ההגנה היעילה ביותר אינה רק ניטור משופר או מדיניות מחמירה יותר, אלא ביטול מוחלט של קישוריות מיותרת.
- תכנון סביבות OT כך שיהיו בלתי נגישות מעצם טיבן כבר אינו רק נוהג מומלץ תיאורטי. זה הופך לדרישה מעשית להבטחת חוסן תפעולי.
