В современных промышленных компаниях проблема киберинцидентов выходит за пределы кабинетов специалистов по информационной безопасности и становится вопросом, от которого напрямую зависит устойчивость и конкурентоспособность бизнеса. Ведь как показал опыт компаний, которые сталкивались с киберинцидентами, последствия таких инцидентов измеряются прямыми финансовыми потерями для бизнеса, ударом по его репутации, жизнями и здоровьем сотрудников.
По мере происходящей сегодня активной цифровой трансформации предприятий неизбежно повышаются риски кибербезопасности.
Существующие комплексные подходы с обеспечением эшелонированной защиты хороши, но они не в полной мере покрывают аспекты защиты важного класса систем на границе промышленного и ИТ контуров. Речь идет об устройствах промышленного интернета вещей (IIoT). Почему существующих способов защиты недостаточно и как обеспечить повышенную безопасность промышленных IoT-устройств — будет рассмотрено в этой статье.
В рамках происходящей сегодня цифровой трансформации промышленных предприятий происходит глубокое взаимное проникновение (конвергенция) до настоящего времени отдельных миров информационных (IT) и операционных (OT) технологий. Четкой границы между IT и OT средами уже не существует, и она размывается все сильнее.
Современные предприятия стремятся к тому, чтобы проектировать в цифровой среде как само производство, так и производимые на нем изделия, обеспечивать сбор и аналитику данных с производства в режиме реального времени, оптимизировать конфигурации продукта и производства на основе имеющихся данных, обеспечивая петлю обратной связи для оптимизации производства и повышения качества продукции.
Если несколько лет назад шум вокруг темы метавселенной только начинался, то сегодня промышленные гиганты активно движутся в сторону «промышленной метавселенной» (Industrial Metaverse). Согласно недавнему отчету MIT Technology Review и Siemens, к 2030 году рынок вокруг нее вырастет в 10 раз и достигнет 100 млрд долларов.
«Промышленная метавселенная будет представлять собой цифровой мир, который отражает и имитирует реальное оборудование, фабрики, здания, целые города и транспортные системы. Бесшовная интеграция реального и цифрового миров даст людям и компаниям возможность решать реальные проблемы».
Объединение информационных и операционных промышленных систем, конечно, позволяет оптимизировать технологические и бизнес-процессы компании и создает новые возможности для бизнеса, повышая его конкурентоспособность. Однако такая трансформация неизбежно повышает риски кибербезопасности.
Исторически миры ИТ и ОТ развивались параллельно и слабо пересекались. Их подходы к планированию, выработке требований, уровень регуляции, методы тестирования, ввода в эксплуатацию, и, разумеется, подходы к обеспечению безопасности принципиально разные. Поэтому простое объединение систем приводит к тому, что поверхность атаки значительно увеличивается. Становится возможным атаковать ОТ-системы со стороны ИТ-части, и наоборот. Например, промышленное оборудование можно атаковать со стороны ИТ-инфраструктуры и нарушить технологический процесс. Такие случаи на практике происходили уже не раз.
Так, например, в 2022 г. кибератака привела к пожару на сталелитейном заводе в Иране, в одном из цехов разлился расплавленный металл. Предположительно, хакерам удалось взломать систему АСУ ТП.
Комплексная безопасность промышленного предприятия сегодня обеспечивается в парадигме эшелонированной защиты (англ. Defense-in-depth) — подхода, который направлен на создание нескольких слоев контроля безопасности на разных уровнях предприятия. Среди слоев такой защиты могут быть, например:
Однако, один лишь такой подход не в полной мере учитывает происходящие сегодня изменения, а именно, проблему повсеместного использования устройств класса промышленного интернета вещей.
IIoT-устройства сегодня все чаще применяются в различных отраслях промышленности для повышения производительности, улучшения качества продукции, оптимизации производственных процессов.
Пример такого устройства — IIoT-шлюз. Его задача — сбор промышленных данных непосредственно с оборудования и их передача в ИТ-системы (локальные или облачные) для последующей аналитики и принятия на их основе решений.
IIoT-устройства представляют собой относительно новый и слабо регулируемый с точки зрения информационной безопасности рынок. Большинство IIoT-устройств проектируются с недостаточным вниманием к вопросам информационной безопасности. Подобные устройства часто территориально распределены во время эксплуатации, что делает своевременные обновление и патчинг парка таких устройств затруднительным. Например, есть данные, что прошивка среднестатистического IoT-устройства устарела на 6 лет, а более половины устройств IoT подвержены атакам средней и высокой степени тяжести.
Более того, специфика IIoT-устройств часто не предполагает использования на них каких-то дополнительных (наложенных) средств защиты, например, антивирусов. Причины этого понятны — компактность устройств, небольшие вычислительные ресурсы, сложность поддержки и обслуживания.
При этом, поскольку устройства промышленного интернета вещей имеют доступ к критическим системам, их взлом дает злоумышленникам возможность нарушить функционирование производственного оборудования, даже несмотря на использование продвинутых механизмов эшелонированной защиты.
Для решения описанных проблем у компаний сегодня существует два основных пути.
Оба пути пагубны для бизнеса в долгосрочной перспективе. Необходим иной подход — обеспечить повышенную защищенность критических узлов на границе контуров ОТ-ИТ, которыми являются IIoT-устройства.
Мы в «Лаборатории Касперского» называем такую повышенную защищенность кибериммунитетом. Кибериммунная система устойчива к внешним угрозам за счет того, что она обладает конструктивной безопасностью (англ., Security by Design). Кибериммунная система изначально проектируется так, чтобы ее ключевые ценности были устойчивы при любых обстоятельствах — даже в случае кибератаки. Защитные механизмы кибериммунной системы глубоко интегрированы в ее архитектуру и программный код, а не являются внешними (наложенными) средствами по отношению к изначально небезопасной системе.
Говоря по-простому, кибериммунной системе не нужен антивирус — она защищена на уровне архитектуры. Причем благодаря архитектурным особенностям, защита обеспечивается не только от известных, но и от неизвестных угроз.
Для того, чтобы система была устойчива к киберугрозам, защита должна обеспечиваться не только на уровне прикладного кода, но и на глубоком системном уровне. Могут быть использованы различные ОС, но мы в «Лаборатории Касперского» используем собственную микроядерную операционную систему KasperksyOS, которая воплощает принципы кибериммунитета, что называется, «из коробки».
Для этого и кибериммунная система, и операционная система, которая лежит в ее основе, построены на базе трех ключевых принципов:
Практические исследования специалистов по кибербезопасности «Лаборатории Касперского» показали, что KasperskyOS за счет своих архитектурных особенностей предотвращает подавляющее большинство широко распространенных угроз. При этом важный вклад в безопасность KasperskyOS вносит микроядерная архитектура. В независимом исследовании говорится, что 96% критичных эксплойтов Linux перестанут быть критичными в микроядерной архитектуре, 57% критичных эксплойтов Linux станут иметь низкий уровень критичности, большая часть которых будет устранена полностью в случае верифицированного микроядра, 29% всех эксплойтов Linux будут полностью устранены даже без верифицированного микроядра. Все эти принципы лежат в основе промышленного шлюза Kaspersky IoT Secure Gateway (KISG), обеспечивая его повышенную устойчивость к внешним киберугрозам (рис. 2).
Кибериммунитет — это основа целостного подхода «Лаборатории Касперского» к защите IIoT. Но кроме безопасной по умолчанию архитектуры шлюз имеет в своем арсенале технологии анализа и фильтрации промышленных протоколов с функцией обнаружения и предотвращения вторжений, межсетевой экран, режим однонаправленной передачи данных, технологии безопасной загрузки и обновления, которые усиливают безопасность шлюза.
Часть этой функциональности реализована в KISG с помощью сторонних приложений, которые разрабатываются партнерами «Лаборатории Касперского». Доставка приложений на устройство, их безопасная установка и гарантия аутентичности осуществляется с помощью платформы Kaspersky Appicenter. Платформа также предоставляет все необходимые инструменты для разработки и управления жизненным циклом приложений. Таким образом, конструктивная безопасность не противоречит подходу с использованием наложенных средств защиты — они могут дополнять друг друга.
Для демонстрации практических преимуществ кибериммунного подхода, мы смоделировали атаку на промышленную инфраструктуру.
Мы взяли промышленный контроллер (ПЛК) и подключили его к виртуальному промышленному оборудованию. Далее мы подключили ПЛК в корпоративную сеть через два IoT шлюза: один — под управлением операционной системы с ядром Linux, второй — кибериммунный шлюз под управлением KasperskyOS. Оба шлюза имеют одинаковую уязвимость в стороннем компоненте, который отвечает за передачу данных в корпоративную сеть. Смоделировав этот сценарий, мы имитировали действия злоумышленника, который смог внедриться в корпоративную сеть с помощью ноутбука, планшета или смартфона.
В случае шлюза на базе Linux, у злоумышленника получается проэксплуатировать уязвимость в нем и повлиять на работу промышленного оборудования. В случае кибериммунного шлюза, даже если у злоумышленника удастся проэксплуатировать уязвимость, он не сможет развить атаку за пределы конкретного компонента. Все дело в архитектуре шлюза и операционной системы, которая обеспечивает изоляцию компонентов устройства и контроль взаимодействий между ними.
Таким образом, использование кибериммунного шлюза позволяет внедрить цифровое решение и избежать сопутствующих рисков кибербезопасности.
В условиях цифровой трансформации промышленных предприятий обеспечение комплексной кибербезопасности становится необходимым как никогда. При этом активное распространение устройств промышленного интернета вещей несет дополнительные риски, которые не снижаются даже такими передовыми подходами к защите инфраструктуры, как эшелонированная защита.
Надежно защитить устройства IIoT с помощью одних только традиционных средств безопасности — антивирусного ПО, экранов, средств мониторинга — также не видится возможным.
Единственный выход — встраивать безопасность глубоко в дизайн и архитектуру IIoT-устройств, следуя философии конструктивной безопасности. Кибериммунитет предлагает конкретную методологию реализации этой философии на практике. Шлюз данных Kaspersky IoT Secure Gateway воплощает принципы кибериммунитета, позволяя минимизировать риски кибератак и безопасно интегрировать цифровые технологии в производственные процессы.
В современных промышленных компаниях проблема киберинцидентов выходит за пределы кабинетов специалистов по информационной безопасности и становится вопросом, от которого напрямую зависит устойчивость и конкурентоспособность бизнеса. Ведь как показал опыт компаний, которые сталкивались с киберинцидентами, последствия таких инцидентов измеряются прямыми финансовыми потерями для бизнеса, ударом по его репутации, жизнями и здоровьем сотрудников.
По мере происходящей сегодня активной цифровой трансформации предприятий неизбежно повышаются риски кибербезопасности.
Существующие комплексные подходы с обеспечением эшелонированной защиты хороши, но они не в полной мере покрывают аспекты защиты важного класса систем на границе промышленного и ИТ контуров. Речь идет об устройствах промышленного интернета вещей (IIoT). Почему существующих способов защиты недостаточно и как обеспечить повышенную безопасность промышленных IoT-устройств — будет рассмотрено в этой статье.
В рамках происходящей сегодня цифровой трансформации промышленных предприятий происходит глубокое взаимное проникновение (конвергенция) до настоящего времени отдельных миров информационных (IT) и операционных (OT) технологий. Четкой границы между IT и OT средами уже не существует, и она размывается все сильнее.
Современные предприятия стремятся к тому, чтобы проектировать в цифровой среде как само производство, так и производимые на нем изделия, обеспечивать сбор и аналитику данных с производства в режиме реального времени, оптимизировать конфигурации продукта и производства на основе имеющихся данных, обеспечивая петлю обратной связи для оптимизации производства и повышения качества продукции.
Если несколько лет назад шум вокруг темы метавселенной только начинался, то сегодня промышленные гиганты активно движутся в сторону «промышленной метавселенной» (Industrial Metaverse). Согласно недавнему отчету MIT Technology Review и Siemens, к 2030 году рынок вокруг нее вырастет в 10 раз и достигнет 100 млрд долларов.
«Промышленная метавселенная будет представлять собой цифровой мир, который отражает и имитирует реальное оборудование, фабрики, здания, целые города и транспортные системы. Бесшовная интеграция реального и цифрового миров даст людям и компаниям возможность решать реальные проблемы».
Объединение информационных и операционных промышленных систем, конечно, позволяет оптимизировать технологические и бизнес-процессы компании и создает новые возможности для бизнеса, повышая его конкурентоспособность. Однако такая трансформация неизбежно повышает риски кибербезопасности.
Исторически миры ИТ и ОТ развивались параллельно и слабо пересекались. Их подходы к планированию, выработке требований, уровень регуляции, методы тестирования, ввода в эксплуатацию, и, разумеется, подходы к обеспечению безопасности принципиально разные. Поэтому простое объединение систем приводит к тому, что поверхность атаки значительно увеличивается. Становится возможным атаковать ОТ-системы со стороны ИТ-части, и наоборот. Например, промышленное оборудование можно атаковать со стороны ИТ-инфраструктуры и нарушить технологический процесс. Такие случаи на практике происходили уже не раз.
Так, например, в 2022 г. кибератака привела к пожару на сталелитейном заводе в Иране, в одном из цехов разлился расплавленный металл. Предположительно, хакерам удалось взломать систему АСУ ТП.
Комплексная безопасность промышленного предприятия сегодня обеспечивается в парадигме эшелонированной защиты (англ. Defense-in-depth) — подхода, который направлен на создание нескольких слоев контроля безопасности на разных уровнях предприятия. Среди слоев такой защиты могут быть, например:
Однако, один лишь такой подход не в полной мере учитывает происходящие сегодня изменения, а именно, проблему повсеместного использования устройств класса промышленного интернета вещей.
IIoT-устройства сегодня все чаще применяются в различных отраслях промышленности для повышения производительности, улучшения качества продукции, оптимизации производственных процессов.
Пример такого устройства — IIoT-шлюз. Его задача — сбор промышленных данных непосредственно с оборудования и их передача в ИТ-системы (локальные или облачные) для последующей аналитики и принятия на их основе решений.
IIoT-устройства представляют собой относительно новый и слабо регулируемый с точки зрения информационной безопасности рынок. Большинство IIoT-устройств проектируются с недостаточным вниманием к вопросам информационной безопасности. Подобные устройства часто территориально распределены во время эксплуатации, что делает своевременные обновление и патчинг парка таких устройств затруднительным. Например, есть данные, что прошивка среднестатистического IoT-устройства устарела на 6 лет, а более половины устройств IoT подвержены атакам средней и высокой степени тяжести.
Более того, специфика IIoT-устройств часто не предполагает использования на них каких-то дополнительных (наложенных) средств защиты, например, антивирусов. Причины этого понятны — компактность устройств, небольшие вычислительные ресурсы, сложность поддержки и обслуживания.
При этом, поскольку устройства промышленного интернета вещей имеют доступ к критическим системам, их взлом дает злоумышленникам возможность нарушить функционирование производственного оборудования, даже несмотря на использование продвинутых механизмов эшелонированной защиты.
Для решения описанных проблем у компаний сегодня существует два основных пути.
Оба пути пагубны для бизнеса в долгосрочной перспективе. Необходим иной подход — обеспечить повышенную защищенность критических узлов на границе контуров ОТ-ИТ, которыми являются IIoT-устройства.
Мы в «Лаборатории Касперского» называем такую повышенную защищенность кибериммунитетом. Кибериммунная система устойчива к внешним угрозам за счет того, что она обладает конструктивной безопасностью (англ., Security by Design). Кибериммунная система изначально проектируется так, чтобы ее ключевые ценности были устойчивы при любых обстоятельствах — даже в случае кибератаки. Защитные механизмы кибериммунной системы глубоко интегрированы в ее архитектуру и программный код, а не являются внешними (наложенными) средствами по отношению к изначально небезопасной системе.
Говоря по-простому, кибериммунной системе не нужен антивирус — она защищена на уровне архитектуры. Причем благодаря архитектурным особенностям, защита обеспечивается не только от известных, но и от неизвестных угроз.
Для того, чтобы система была устойчива к киберугрозам, защита должна обеспечиваться не только на уровне прикладного кода, но и на глубоком системном уровне. Могут быть использованы различные ОС, но мы в «Лаборатории Касперского» используем собственную микроядерную операционную систему KasperksyOS, которая воплощает принципы кибериммунитета, что называется, «из коробки».
Для этого и кибериммунная система, и операционная система, которая лежит в ее основе, построены на базе трех ключевых принципов:
Практические исследования специалистов по кибербезопасности «Лаборатории Касперского» показали, что KasperskyOS за счет своих архитектурных особенностей предотвращает подавляющее большинство широко распространенных угроз. При этом важный вклад в безопасность KasperskyOS вносит микроядерная архитектура. В независимом исследовании говорится, что 96% критичных эксплойтов Linux перестанут быть критичными в микроядерной архитектуре, 57% критичных эксплойтов Linux станут иметь низкий уровень критичности, большая часть которых будет устранена полностью в случае верифицированного микроядра, 29% всех эксплойтов Linux будут полностью устранены даже без верифицированного микроядра. Все эти принципы лежат в основе промышленного шлюза Kaspersky IoT Secure Gateway (KISG), обеспечивая его повышенную устойчивость к внешним киберугрозам (рис. 2).
Кибериммунитет — это основа целостного подхода «Лаборатории Касперского» к защите IIoT. Но кроме безопасной по умолчанию архитектуры шлюз имеет в своем арсенале технологии анализа и фильтрации промышленных протоколов с функцией обнаружения и предотвращения вторжений, межсетевой экран, режим однонаправленной передачи данных, технологии безопасной загрузки и обновления, которые усиливают безопасность шлюза.
Часть этой функциональности реализована в KISG с помощью сторонних приложений, которые разрабатываются партнерами «Лаборатории Касперского». Доставка приложений на устройство, их безопасная установка и гарантия аутентичности осуществляется с помощью платформы Kaspersky Appicenter. Платформа также предоставляет все необходимые инструменты для разработки и управления жизненным циклом приложений. Таким образом, конструктивная безопасность не противоречит подходу с использованием наложенных средств защиты — они могут дополнять друг друга.
Для демонстрации практических преимуществ кибериммунного подхода, мы смоделировали атаку на промышленную инфраструктуру.
Мы взяли промышленный контроллер (ПЛК) и подключили его к виртуальному промышленному оборудованию. Далее мы подключили ПЛК в корпоративную сеть через два IoT шлюза: один — под управлением операционной системы с ядром Linux, второй — кибериммунный шлюз под управлением KasperskyOS. Оба шлюза имеют одинаковую уязвимость в стороннем компоненте, который отвечает за передачу данных в корпоративную сеть. Смоделировав этот сценарий, мы имитировали действия злоумышленника, который смог внедриться в корпоративную сеть с помощью ноутбука, планшета или смартфона.
В случае шлюза на базе Linux, у злоумышленника получается проэксплуатировать уязвимость в нем и повлиять на работу промышленного оборудования. В случае кибериммунного шлюза, даже если у злоумышленника удастся проэксплуатировать уязвимость, он не сможет развить атаку за пределы конкретного компонента. Все дело в архитектуре шлюза и операционной системы, которая обеспечивает изоляцию компонентов устройства и контроль взаимодействий между ними.
Таким образом, использование кибериммунного шлюза позволяет внедрить цифровое решение и избежать сопутствующих рисков кибербезопасности.
В условиях цифровой трансформации промышленных предприятий обеспечение комплексной кибербезопасности становится необходимым как никогда. При этом активное распространение устройств промышленного интернета вещей несет дополнительные риски, которые не снижаются даже такими передовыми подходами к защите инфраструктуры, как эшелонированная защита.
Надежно защитить устройства IIoT с помощью одних только традиционных средств безопасности — антивирусного ПО, экранов, средств мониторинга — также не видится возможным.
Единственный выход — встраивать безопасность глубоко в дизайн и архитектуру IIoT-устройств, следуя философии конструктивной безопасности. Кибериммунитет предлагает конкретную методологию реализации этой философии на практике. Шлюз данных Kaspersky IoT Secure Gateway воплощает принципы кибериммунитета, позволяя минимизировать риски кибератак и безопасно интегрировать цифровые технологии в производственные процессы.
