Kto zmienił konfigurację urządzenia? Kontrola zmian
w systemach bezpieczeństwa technicznego

W systemach bezpieczeństwa technicznego sama sprawność urządzenia nie oznacza jeszcze, że działa ono zgodnie z wymaganiami. Kamera może przekazywać obraz, a platforma VMS pozostawać dostępna, mimo że zmieniły się uprawnienia, parametry komunikacji lub konfiguracja jednego z komponentów.

Dla organizacji zarządzających rozbudowaną infrastrukturą kluczowe są trzy kwestie: znajomość aktualnego stanu środowiska, kontrola wprowadzanych zmian oraz możliwość oceny ich wpływu na pozostałe elementy systemu.

‍

Incydenty pokazują znaczenie dostępu do urządzeń

W listopadzie 2023 r. amerykańska agencja CISA ostrzegła przed atakami na sterowniki przemysłowe Unitronics, wykorzystywane m.in. w sektorze wodociągowym. Wśród zidentyfikowanych problemów znalazły się urządzenia dostępne z Internetu i niewłaściwie zabezpieczone hasła.

W styczniu 2024 r. cyberatak w Muleshoe w Teksasie doprowadził do przepełnienia zbiornika w systemie wodociągowym.

Zdarzenia te dotyczyły sterowników przemysłowych. Pokazują jednak, że dostęp do urządzenia technicznego może umożliwić ingerencję w proces, za który ono odpowiada.

W systemach SBT istotne jest również to, czy wiadomo, jakie zmiany zostały wprowadzone i kto za nie odpowiada. Dotyczy to także kont serwisowych, dostępu zdalnego oraz integracji między poszczególnymi elementami systemu.

Trzy obszary, które warto uporządkować

1. Aktualna ewidencja urządzeń i zależności

Lista urządzeń to dopiero początek. Aby ocenić wpływ zmiany na bezpieczeństwo, trzeba wiedzieć, jaką rolę pełni dany komponent, z czym się komunikuje i kto odpowiada za jego utrzymanie.

W praktyce warto ewidencjonować co najmniej:

• identyfikator urządzenia, lokalizację i funkcję w systemie;
• producenta, model oraz wersję oprogramowania lub firmware’u;
• powiązania z innymi komponentami, np. kamerą, platformą VMS, serwerem lub systemem kontroli dostępu;
• właściciela technicznego i podmiot odpowiedzialny za serwis

Taka ewidencja ułatwia określenie, które elementy należy zweryfikować po wymianie urządzenia, aktualizacji lub zmianie integracji.

Wytyczne CISA dotyczące inwentaryzacji zasobów OT podkreślają znaczenie dokumentowania zasobów, ich zależności i odpowiedzialności za ich utrzymanie. Sama lista urządzeń bez informacji o powiązaniach może nie wystarczyć do oceny skutków zmiany.

2. Kontrola zmian konfiguracji

Wymiana kamery, aktualizacja firmware’u, zmiana uprawnień czy modyfikacja połączenia z VMS to typowe czynności eksploatacyjne. Każda z nich może jednak wpłynąć na inne elementy środowiska.

Dlatego warto wdrożyć prosty, udokumentowany proces zarządzania zmianami, obejmujący:

1. Rejestrację zmiany - co ma zostać zmienione, w jakim celu i przez kogo.

2. Ocenę wpływu - które urządzenia, integracje i funkcje mogą zostać objęte zmianą.

3. Weryfikację po wykonaniu prac - czy urządzenie działa prawidłowo i czy pozostałe komponenty zachowują oczekiwane funkcje.

4. Aktualizację dokumentacji - tak, aby odzwierciedlała rzeczywistą konfigurację po zakończeniu prac.

Zakres weryfikacji powinien zależeć od rodzaju i znaczenia zmiany. W krytycznych środowiskach procedury należy dostosować do wymagań operacyjnych, tak aby same testy nie zakłócały działania infrastruktury.

3. Dostęp administracyjny i serwisowy

Konta serwisowe oraz zdalny dostęp są często niezbędne do utrzymania systemów. Wymagają jednak kontroli, szczególnie gdy z urządzeniami pracują różne zespoły, integratorzy i dostawcy.

Warto okresowo sprawdzać:

• czy aktywne konta mają przypisanych właścicieli;
• czy uprawnienia odpowiadają aktualnym obowiązkom użytkowników;
• czy dostęp zdalny jest ograniczony do uzasadnionych potrzeb;
• czy można ustalić, kto i kiedy korzystał z dostępu administracyjnego;
• czy konta i dostęp przyznane na czas prac serwisowych są odpowiednio obsługiwane po ich zakończeniu.

W tym obszarze znaczenie ma polityka dostępu, a także możliwość jej sprawdzenia i egzekwowania w praktyce.

‍

VMS: dlaczego sprawdzenie obrazu nie wystarcza?

W środowisku monitoringu wizyjnego poprawny obraz na stanowisku operatora potwierdza jedynie część działania systemu.

Po wymianie kamery lub zmianie konfiguracji warto również zweryfikować, czy urządzenie komunikuje się z właściwą platformą VMS, czy zachowano wymagane uprawnienia, czy dostępne są oczekiwane funkcje i czy zmiana nie wpłynęła na inne integracje.

W rozbudowanych instalacjach istotne jest także ustalenie, które komponenty są zależne od danego urządzenia. Pozwala to zaplanować zakres testów po zmianie zamiast ograniczać odbiór prac do sprawdzenia pojedynczej funkcji.

To szczególnie ważne tam, gdzie systemy bezpieczeństwa technicznego stanowią część większej infrastruktury, a ich działanie zależy od współpracy wielu urządzeń i platform.

‍

Od czego zacząć?

Dobrym pierwszym krokiem jest wybór kilku istotnych urządzeń i sprawdzenie, czy można dla nich ustalić aktualną konfigurację, historię zmian, odpowiedzialność za utrzymanie oraz zależności od pozostałych komponentów.

Taki przegląd pomaga wskazać braki w dokumentacji i procesach, a następnie ustalić priorytety dalszych działań. Metody zbierania informacji należy dobrać do specyfiki środowiska - w szczególności w systemach OT niektóre formy aktywnego skanowania mogą wiązać się z ryzykiem zakłócenia pracy urządzeń.

‍

Checklista bezpieczeństwa SBT

Przygotowaliśmy praktyczną checklistę obejmującą sześć obszarów: ewidencję urządzeń, zarządzanie zmianami, dostęp i uprawnienia, VMS i integracje, aktualizacje i podatności oraz odpowiedzialność i reakcję na incydenty.

Materiał może posłużyć do uporządkowania wewnętrznej rozmowy, wstępnego przeglądu dokumentacji i wskazania obszarów wymagających dalszej weryfikacji.

[Pobierz checklistę bezpieczeństwa SBT (PDF)]

^{Checklista ma charakter informacyjny i pomocniczy. Nie stanowi audytu ani potwierdzenia poziomu bezpieczeństwa systemu.}

‍

Cyberbezpieczeństwo systemów technicznych - prace squareTec

Cyberbezpieczeństwo systemów bezpieczeństwa technicznego jest również obszarem prac badawczo-rozwojowych squareTec.
W ramach projektu PERUN rozwijamy SENTRIGRADE - Inteligentną Platformę Cyberbezpieczeństwa Systemów Bezpieczeństwa Technicznego.

‍

Jeśli odpowiadasz za bezpieczeństwo obiektu, utrzymanie infrastruktury lub systemy SBT i chcesz omówić wyzwania związane z ich integracją i cyberbezpieczeństwem, zapraszamy do kontaktu z zespołem squareTec.

‍

squareTec - integracja systemów i cyberbezpieczeństwo.