Az előző posztokban (itt, itt és itt) a május 12-ei elnöki rendelet, valamint az ezzel foglalkozó CSIS esemény volt a téma. Ennek Anne Neuberger, a nemzetbiztonsági tanácsadó kibernetikai és új technológiákért felelős helyettese volt a vendége. Az elnöki rendelet 3. szakasza, valamint Neuberger is hangsúllyal foglalkozott a Zero Trust Architecture-rel (ZTA), mint a követendő legjobb biztonsági gyakorlatok egyikével.
Bár a ZTA régóta ismert biztonsági megközelítés, de ilyen intenzíven még soha nem vált beszédtémává. Mondhatni hype van körülötte. Ezt lehántva próbáljuk meg objektíven értékelni a ZTA lehetséges szerepét, különös tekintettel a (villamosenergetikai) ICS-ekre:
- A kibertér közelmúltbeli történései kétségtelenül felvetik a jelenlegi kibervédelmi paradigma – mélységében tagolt, szegmentált, erős határvédelemmel ellátott, a támadónak a „körbekerített területre” való bejutását megakadályozni hivatott védelem – meghaladásának szükségességét. A támadók minden eddiginél „kreatívabb” bejutási technikáira tekintettel (lásd pl. SolarWinds/Orion eset) egyre inkább abból kell kiindulni, hogy bármely, a „kerítésen belülre” bármilyen módon bekerült/bekerülő hw/sw rendszerelem hordozhat kockázatot, azaz „senkiben” nem lehet megbízni. Ez az új megközelítés paradigmaváltást jelent.
- Az ICS-ek esetében
különös – szélső esetben emberéletekben mérhető – jelentősége van a „security” és „safety” képességek folyamatosan kiegyensúlyozott és magas szintjének.
- Az újtípusú támadások miatt csökkenő mértékű „security” a „safety” megengedhetetlen csökkenésével is járhat. A kívánatos szint csak a „security” szintjének helyreállításával biztosítható. Nem lebecsülve az IT rendszerek fontosságát, az OT rendszerekben valóban szó szerint létfontosságú lehet az egyes rendszerelemek – és ezzel a rendszer egészének – megbízható működése. A ZTA mindezek biztosításának lehet egyik alkalmas módszere.
- A tétre leginkább a Szaúd-arábiai olajfinomító elleni 2017. évi támadás figyelmeztet. A Schneider Electric Triconex SIS (Safety Instrumented System) rendszerében malware-t fedeztek fel. Az elemzés szerint a támadók egy nulladik napi sérülékenységet kihasználva juttattak egy RAT (Remote Access Trojan) kártevőt SIS rendszerbe. Ez volt a „safety” rendszert érintő első ismert támadás.
- Bár a támadó a malware-t ebben az esetben még „hagyományosan”, a határvédelmet „kicselezve” juttatta be, de rossz belegondolni, ha pl. valamely supply chain sérülékenységet kihasználva a SIS, avagy annak valamely alkotóeleme a támadó számára bejutást biztosítható backdoorral kerül telepítésre, avagy ennek valamely szoftver-frissítése nyomán sikerül backdoort nyitnia. A ZTA ilyen jellegű támadások kezelésének lehet alkalmas eszköze.
- Sok más ipari technológiához hasonlóan a villamosenergetikában is létfontosságú a SCADA-ba beérkező jelzések és mérések, valamint az onnan a felügyelt technológiába történő kezelői beavatkozások garantált megbízhatósága. Márpedig ez kizárólag megbízható rendszerelemekkel és rendszerekkel biztosítható. És bár vannak olyan nézetek, amelyek szerint a ZTA-nak inkább a SCADA-kban lehet létjogosultsága, de a leírtak alapján meglepő lenne, ha ZTA „elkerülné” az ICS-ek „security”, majd „safety” rendszereit.
Bár az elnöki rendelet a ZTA esetében nem nevesít IT és/vagy OT érintettséget, de bevezetés során elkerülhetetlen lesz az OT-sajátosságok mérlegelése.
És hogy ezzel a témával miért célszerű nekünk is foglalkozni?
Nos,
ha az ZTA az amerikai fejlemények, szabályozások miatt elterjed, akkor a globális cégek más piacain is meg fog jelenni. Erre a hazai környezetnek is fel kell készülnie.
A villamosenergetikában igen hosszú – akár 15 év – az ICS-ek élettartama, azaz bármely változtatás hatása csak ennyi idő múlva „megy át” maradéktalanul a rendszeren. Minél később kezdődik meg a bevezetése, annál később tud érvényesülni annak komplex, védő hatása.
Szerintetek a ZTA nálunk meg fog-e jelenni és ha igen, akkor mikor és hol?
* Forrás: ICS cyber security blog
Szívesen vesszük a fentiekkel akár egyetértő, akár azokkal vitatkozó üzeneteket. Ezekre pl. újabb posztban reagálva akár érdemi szakmai eszmecsere is megindulhat.