«Екатерина Рудина, Kaspersky ICS CERT: «Мы выстраиваем систему защиты предприятий критической инфраструктуры, опираясь на множество факторов»
По ее словам, кибериммунные решения — устойчивы и способны противостоять любым видам атак
Проблема уязвимости присуща всем цифровым технологиям. Но если с защитой корпоративных сетей, предназначенных для обмена информацией, и в которых функционируют привычные нам бизнес-приложения, все более-менее понятно, то промышленные системы имеют свою специфику. Стандартные технологии защиты применимы в них далеко не всегда, а уязвимости «живут» годами, а иногда и десятилетиями.
Можно ли защитить от кибератак такие объекты, как АЭС, еще на этапе строительства, и какие решения для безопасности должны применяться на промышленных предприятиях в интервью BFM.ru рассказала руководитель группы аналитиков по информационной безопасности Kaspersky ICS CERT Екатерина Рудина.
Насколько реальной сегодня выглядит вероятность кибератак на объекты критической инфраструктуры — например, АЭС?
Екатерина Рудина: Уязвимостей в системах критической инфраструктуры довольно много, и их подверженность кибератакам довольно высока. Эта проблема актуальна. У нас есть список подобных инцидентов, и некоторым из них около двух десятков лет или даже более. Самый старый случай компрометации АЭС, который я могу вспомнить, — атака червя SQL Slammer в 2003 году. Тогда этот червь вывел из строя большую часть информационной инфраструктуры Южной Кореи. Чуть позднее SQL Slammer инфицировал АЭС Дэвис-Бесс вследствие неаккуратности подрядчика, что привело к проблемам в промышленном сегменте этой станции. Еще один пример уязвимости, не связанный с атакой, — отказ второго реактора АЭС Хатч, расположенной на юго-востоке США, в 2008 году. Там случился сбой из-за некорректного обновления сервера, которое привело к ряду отказов и, в конце-концов, к остановке реактора. Радиационная безопасность не была на тот момент под угрозой, но простой стоил оператору АЭС более миллиона долларов в сутки — электроэнергию приходилось покупать у других поставщиков, и, естественно, это был существенный ущерб.То есть, в этом случае речь шла о нарушении бизнес-процессов?
Екатерина Рудина: Именно, зачастую считается, что атака на объект критической инфраструктуры, скажем, АЭС, приведет к нарушению ядерной безопасности, радиационной безопасности. Естественно, это важно, и кибербезопасность должна способствовать улучшению общего состояния безопасности АЭС. Но помимо этого, есть и другие цели безопасности — такие как готовность АЭС, ее способность вырабатывать нужное количество электроэнергии. Нарушение этой цели ведет к существенному ущербу. Еще одна возможная цель атаки — нарушение конфиденциальности, возможная утечка неких данных. Или нарушение функционирования процессов, не затрагивающих ядерную и радиационную безопасность, но важных для работы станции. Все это необходимо учитывать, хотя, разумеется, первейшей целью является общее состояние безопасности станции.Почему возникают такие уязвимости?
Екатерина Рудина: Это проблема современных информационных, компьютерных, коммуникационных технологий. Но когда мы говорим, например, про корпоративные сети, которые предназначены только для обмена информацией, в них проблема с уязвимостями практически преодолена (точнее, есть процессы и ресурсы для борьбы с уязвимостями). Потому что вопросы кибербезопасности тут решаются довольно давно. Если же говорить про системы промышленной автоматизации, реализация тех же технологий в них имеет свою специфику. К примеру, нужно работать на малоресурсных устройствах, которые имеют меньшую мощность, меньшие вычислительные возможности. Поэтому требуются некие новые программные модули, чтобы обеспечивать те же самые функции. И мы видим, что в программном коде этих решений возникают те же самые ошибки, те же уязвимости, которые мы наблюдали 20 и более лет назад. Пару лет назад был обнаружен комплект уязвимостей в коммуникационных протоколах, предназначенных для использования в системах промышленной автоматизации в интернете вещей. Комплект назвали очень просто — AMNESIA, потому что всплыли все знакомые ранее ошибки.Как с подобной «амнезией» и новыми уязвимостями бороться?
Екатерина Рудина: Для борьбы с имеющимися уязвимостями на объектах промышленной автоматизации или в системах интернета вещей, прежде всего необходимо эти уязвимости найти. И мы как глобальный центр компетенций «Лаборатории Касперского» как раз подобной работой занимаемся: находим уязвимости и ставим в известность производителей решений в соответствии с принципами ответственного раскрытия уязвимостей. Итак, мы их находим, устраняем и в дальнейшем применяем защиту. Это стратегия «тушения пожаров», и она должна применяться, чтобы избежать немедленного ущерба. Но вообще, правильный путь, конечно, в том, чтобы делать системы безопасными в силу их дизайна. Чтобы уязвимости в принципе не могли быть использованы для нанесения существенного ущерба.
Это значит, что мы выстраиваем систему защиты при помощи множества средств, так, что если одно из них будет преодолено нарушителем, другое станет барьером. Так строились средневековые замки: охрана на дальних подступах, ров вокруг замка, толстая наружная стена, множество маленьких комнат внутри. Так должна строиться современная система защиты: даже если злоумышленнику удастся преодолеть периметр, ущерб будет ограничен некоей зоной безопасности. Мы разделяем всю структуру критического объекта на набор зон безопасности так, чтобы нарушитель оставался внутри одной зоны и не имел возможность скомпрометировать другие системы.Но если говорить о предприятиях, которые существуют годы, десятки лет, такой подход уже неприменим?
Екатерина Рудина: Действительно, мы не можем заменить всю инфраструктуру имеющихся предприятий. Но на таких предприятиях вполне применима комплексная стратегия. Поначалу нужно «потушить пожары», то есть избавиться от критических уязвимостей — понять, где самые тонкие места и сделать локальные укрепления, чтобы защититься от возможной атаки. Затем нужны современные защитные решения, входящие, например, в экосистему Kaspersky OT CyberSecurity. Это защитные технологии, протестированные производителями АСУ ТП, предназначенные именно для использования в промышленных инфраструктурах. Сейчас мы производим, решения для защиты серверов и промышленных рабочих станций, системы мониторинга промышленной сети и анализа трафика, которые не могут негативно повлиять на работу промышленной системы, что очень важно. И уже после применения всех этих мер, можно запланировать инфраструктурные исправления — это долгосрочная задача, но в конце-концов инфраструктура объекта станет более укрепленной.Если инфраструктура изначально создана конструктивно безопасной и устойчивой, она будет защищена на 100%?
Екатерина Рудина: Мы стремимся к тому, чтобы решения были, как мы говорим, кибериммунными — то есть, устойчивыми и умеющими противостоять любым видам атак. Однако на настоящий момент все же требуется использование защитных решений — просто потому, что ландшафт угроз непрерывно меняется. Мы, в Kaspersky ICS CERT, постоянно отслеживаем угрозы, направленные на промышленные предприятия. В этом году, например, увеличилось число атак и намеренных попыток нарушить работу критической инфраструктуры. Время от времени появляются принципиально новые киберугрозы — пусть это происходит раз в несколько лет, но необходимо учитывать их возможность. Поэтому в определенных точках критической инфраструктуры нужно обеспечить мониторинг угроз и своевременное реагирование — это такой полный цикл безопасности. При этом конструктивная безопасность означает, что защитные решения будут обходиться предприятию дешевле, их потребуется меньше.
