Egy átlagos hétfő reggelen egy gyártóvállalat irodájában az egyik munkatárs megnyit egy e-mailt. Első pillantásra semmi nem ad okot gyanakvásra. Az üzenet látszólag egy jól ismert beszállítótól érkezett: arra kéri a címzettet, hogy ellenőrizzen egy dokumentumot, és ehhez egy bejelentkezési linket is küld.

Elég egyetlen kattintás

A támadók ma már nem közvetlenül a gyártósorokat veszik célba. Tudják, hogy a legegyszerűbb bejutási utat az emberi tényező és az informatikai rendszerek (IT) jelentik, különösen azért, mert az IT rendszerek és az üzemeltetési technológiai (OT) infrastruktúrák egyre szorosabban kapcsolódnak egymáshoz. Egy felhőszolgáltatásban kompromittált felhasználói fiók, vagy a vállalati VPN-hez, illetve az e-mail-rendszerhez megszerzett hozzáférés belépési pontot jelenthet számukra az úgynevezett Purdue-modell legfelső szintjén. A modell a vállalati IT-rendszereket és az üzemeltetési technológiákat (OT) egymástól jól elkülönülő, hierarchikus szintekre osztja.

Ez elősegíti a hálózat megfelelő szegmentálását, a rendszerek biztonságosabb működését és az adatáramlás szigorú ellenőrzését. Miután a támadó bejutott az informatikai rendszerbe, gyakran már nincs szüksége további „hackertrükkökre”. Hitelesített, jogosult felhasználóként jelentkezik be. Csendben figyeli a kommunikációt, feltérképezi a környezetet, és kivár. Néha napokig, máskor hetekig. A türelem napjaink egyik legveszélyesebb támadói eszköze. A támadó ezután fokozatosan halad az alsóbb rendszerszintek felé.

Hozzáférhet a megosztott meghajtókon tárolt érzékeny adatokhoz, valamint a vállalat működése szempontjából kulcsfontosságú rendszerekhez, például a termeléstervezést, a logisztikát vagy a karbantartást támogató ERP- és MES-megoldásokhoz. A támadás következményei ezen a ponton válnak érzékelhetővé. Gyakori forgatókönyv a zsarolóvírus-támadás (ransomware): a támadó titkosítja az adatokat, a működés leáll, a vállalat pedig igyekszik visszaállítani az információkat és mielőbb helyreállítani a termeléstervezéshez szükséges rendszereket. Mindez azonban akár csak a mellékhatása lehet egy nagyobb szabású támadásnak.

Amikor elmosódik a határ az IT és az OT között

A tapasztaltabb támadók az „IT-szakaszt” elsősorban hídfőállásként használják. Ha a hálózat szegmentálása hiányos, ha megosztott hozzáférések működnek, vagy a távoli kapcsolatok nem kellően védettek, megnyílhat az út az üzemeltetési technológiák, vagyis az OT-rendszerek felé. Ennek kivédésére az ABB Reference Architecture a hálózati szintek biztonságos elkülönítéséhez ad iránymutatást, míg az ABB Secure Remote Platform a távoli hozzáférések biztonságos és ellenőrzött kezelését támogatja.

A tapasztaltabb támadók az „IT-szakaszt” elsősorban hídfőállásként használják

A támadás jellege azon a szinten változik meg gyökeresen, ahol a SCADA irányítórendszerek és az üzemi adatbázisok működnek. Itt már nem az adatok gyors titkosítása a cél. Éppen ellenkezőleg: a támadó igyekszik észrevétlen maradni. Általánosan használt rendszergazdai eszközöket alkalmaz, például PowerShellt, távoli felügyeleti megoldásokat vagy egyedi szkripteket. Ezek közül első pillantásra egyik sem ad okot riadalomra. A gyakran „living off the land” néven emlegetett módszer éppen azért alattomos, mert a meglévő rendszerezközöket használja ki, így nem tűnik rosszindulatú támadásnak.

Mindez a modern ipari hálózatok egyik legnagyobb kihívására is rávilágít: az IT és az OT közötti határvonal már nem különül el egyértelműen. Az eredetileg fizikalilag és logikailag elkülönített rendszereket ma a hatékonyabb működés, a valós idejű adatmegosztás vagy a távoli felügyelet érdekében összekapcsolják. A támadók pontosan ezt a konvergenciát használják ki. Amikor a támadás eléri az operátori munkaállomásokat, a helyzet drámaian megváltozik.

A technológiai folyamatok felügyeletére szolgáló HMI-képernyők a manipuláció közvetlen eszközeivé válhatnak. A támadó módosíthatja a konfigurációkat, a képernyőkön megjelenő információkat, vagy hozzáférési adatokat szerezhet meg. Bizonyos esetekben az operátor a képernyőn továbbra is azt látja, hogy „minden rendben”, miközben a fizikai valóságban teljesen más folyamatok zajlanak. Ez már nem egy hagyományos informatikai incidens, hanem a technológiai folyamatok közvetlen irányításába való beavatkozás kezdete. A valódi célpont ugyanis még egy szinttel lejjebb található.

Fizikai következmények: amikor a támadás katasztrófához vezet

Az ipari PLC-vezérlők és az adatgyűjtésre használt RTU-eszközök még ma is gyakran olyan gyártóspecifikus protokollokon keresztül kommunikálnak egymással, amelyeket a tervezésükkor még nem a mai kiberbiztonsági elvárásokra méreteztek. Hiányzik a megfelelő hitelesítés és a titkosítás. Ha a támadó hozzáfér ezekhez az eszközökhöz, közvetlenül küldhet nekik utasításokat. Vagy ami ennél is veszélyesebb: felülírhatja azokat a saját vezérlési logikájával.

Az ipari kibertámadás nem egyetlen esemény, hanem egy összetett folyamat

A támadás ezzel olyan szakaszba lép, amely már nem kezelhető kizárólag informatikai eszközökkel. A PLC-ben módosított program észrevétlenül megváltoztathatja a technológia működését: lelassíthatja a folyamatot, túlterhelheti a berendezést, vagy olyan kritikus állapotot idézhet elő, amely fizikai károsodáshoz vezet. A lánc legvégén a fizikai világ áll: szelepek, turbinák, szállítószalagok és komplex vegyipari folyamatok.

Ha a támadó képes manipulálni az érzékelőket vagy a beállításokat, hamis mérési adatokat jeleníthet meg az operátorok számára. A rendszer normál működési állapotot jelez, miközben a tényleges folyamat és veszélyesen eltér a biztonságos paraméterektől. Ezen a ponton következhetnek be a legsúlyosabb károk, amelyek nemcsak jelentős pénzügyi és termelési veszteségekkel járhatnak, hanem mindenekelőtt az üzembiztonságot és a környezetet is közvetlenül veszélyeztetik.

Egyetlen lánc. Egyetlen rés. Súlyos következmények.

Az ipari kibertámadás nem egyetlen esemény, hanem egy összetett folyamat, amely adathalászattal (phishing) vagy kompromittált felhasználói fiókkal indul, és a Purdue-modell egyes rétegein végighaladva éri el a fizikai világot. Az OT-biztonság ezért nem korlátozódhat a PLC-k vagy a hálózat védelmére: a felhőtől a fizikai folyamatokig a teljes környezetet át kell látni. A hazai gyártó- és feldolgozóiparban tapasztalható gyors digitalizáció és az európai uniós kiberbiztonsági elvárások (pl. NIS2) fényében ez a megközelítés a magyar vállalatok számára is elengedhetetlen.

„A magyarországi iparvállalatok esetében ma már nem az a kérdés, hogy éri-e őket kiberbiztonsági incidens, hanem az, hogy mikor és mennyire felkészülten éri őket” – mutat rá Ujfaludi Tamás, az ABB Magyarország Automatizálási üzletágának szakembere. „A védekezés alapja a kockázatok felismerése, az információ- és üzembiztonsági kultúra kialakítása, valamint a munkatársak biztonságtudatosságának erősítése. A támadások ugyanis ma már nem feltétlenül a gyártócsarnokban, hanem akár egyetlen kattintással kezdődnek, ezért a védekezés sem lehet kizárólag a kiberbiztonsági szakemberek feladata.”

| Illusztrációk: Adobe Stock