του Μιχάλη Κούκου 

Όταν μια επιχείρηση δέχεται κυβερνοεπίθεση, ένα από τα πρώτα ερωτήματα είναι πόσο γρήγορα θα αποκατασταθούν τα συστήματά της. Υπάρχουν διαθέσιμα αντίγραφα ασφαλείας; Μπορούν να επανέλθουν οι διακομιστές (servers); Πότε θα αποκατασταθεί η πρόσβαση στις εφαρμογές; Στις ενεργειακές υποδομές όμως υπάρχει ένα ακόμη ερώτημα, συχνά σημαντικότερο: ακόμη κι αν επαναφέρουμε τα συστήματα, είμαστε βέβαιοι ότι η εγκατάσταση μπορεί να λειτουργήσει ξανά με ασφάλεια;

Η διαφορά αυτή είναι καθοριστική. Σε ένα τυπικό περιβάλλον Πληροφορικής (Information Technology, IT), η αποκατάσταση επικεντρώνεται κυρίως στην επαναφορά δεδομένων, εφαρμογών και υπηρεσιών. Στα περιβάλλοντα Επιχειρησιακής Τεχνολογίας (Operational Technology, OT), τα ψηφιακά συστήματα συνδέονται άμεσα με τον φυσικό εξοπλισμό και τις διεργασίες που ελέγχουν. Ένα σύστημα εποπτικού ελέγχου (SCADA) δεν είναι απλώς μια εφαρμογή. Είναι μέρος της λειτουργίας μιας εγκατάστασης, που δίνει στους χειριστές εικόνα και δυνατότητα ελέγχου.

Ας υποθέσουμε ότι μια επίθεση επηρεάζει το SCADA ενός υποσταθμού ή ενός σταθμού παραγωγής. Η τεχνική ομάδα διαθέτει αντίγραφο ασφαλείας και καταφέρνει να επαναφέρει τον διακομιστή. Το λειτουργικό σύστημα εκκινεί, η εφαρμογή ανοίγει, οι οθόνες εμφανίζονται κανονικά. Έχει αποκατασταθεί η εγκατάσταση; Όχι απαραίτητα. Πρέπει πρώτα να επιβεβαιωθεί ότι οι επικοινωνίες με τον εξοπλισμό πεδίου λειτουργούν σωστά, ότι οι ενδείξεις στους χειριστές ανταποκρίνονται στην πραγματική κατάσταση της εγκατάστασης και ότι οι εντολές ελέγχου είναι αξιόπιστες. Μια οθόνη που εμφανίζεται κανονικά δεν εγγυάται ότι τα δεδομένα της είναι σωστά ή ενημερωμένα. Η επιστροφή μιας εφαρμογής σε λειτουργία δεν ισοδυναμεί με την αποκατάσταση της εμπιστοσύνης σε όσα αυτή παρακολουθεί και ελέγχει.

Υπάρχει και μια λιγότερο ορατή δυσκολία. Πολλές εγκαταστάσεις διαθέτουν αντίγραφα των διακομιστών τους, αλλά τι συμβαίνει με τον υπόλοιπο εξοπλισμό αυτοματισμού; Υπάρχουν πρόσφατα και επαληθευμένα αντίγραφα των προγραμμάτων των προγραμματιζόμενων λογικών ελεγκτών (PLC), των ρυθμίσεων των συσκευών προστασίας και της παραμετροποίησης των βιομηχανικών δικτύων; Και, ακόμη σημαντικότερο, αντιστοιχούν αυτά τα αντίγραφα στην τελευταία εγκεκριμένη κατάσταση της εγκατάστασης; Σε ένα περιβάλλον με συνεχείς συντηρήσεις και επεκτάσεις, ένα παλιό αρχείο μπορεί να μην περιλαμβάνει κρίσιμες αλλαγές, και η επαναφορά του να δημιουργήσει νέα προβλήματα ακόμη κι αν είναι τεχνικά άθικτο. Το κρίσιμο ερώτημα δεν είναι μόνο αν υπάρχει αντίγραφο, αλλά αν υπάρχει το σωστό αντίγραφο και αν μπορούμε να το χρησιμοποιήσουμε με ασφάλεια.

Η αποκατάσταση γίνεται ακόμη πιο σύνθετη όταν δεν γνωρίζουμε με βεβαιότητα τι έχει επηρεαστεί. Ένας διακομιστής μπορεί να έχει επανεγκατασταθεί από αξιόπιστο αντίγραφο, αλλά έχουν ελεγχθεί οι αλλαγές στις ρυθμίσεις; Έχουν επιβεβαιωθεί οι λογαριασμοί πρόσβασης; Υπάρχει εμπιστοσύνη ότι η επαναφορά δεν θα επαναφέρει μαζί και την αιτία του προβλήματος; Η αξιολόγηση αυτή, στο OT, επεκτείνεται και πέρα από τα ψηφιακά συστήματα: πριν επανέλθει μια εγκατάσταση στην κανονική της λειτουργία, πρέπει να είναι γνωστή η πραγματική κατάσταση του εξοπλισμού και να επιβεβαιώνεται ότι οι λειτουργίες ελέγχου και προστασίας είναι διαθέσιμες.

Σημασία έχει και η σειρά της επαναφοράς. Σε μια σύνθετη εγκατάσταση, τα συστήματα δεν μπορούν να επανέλθουν με τυχαία σειρά. Πρέπει πρώτα να επιβεβαιωθεί η κατάσταση του εξοπλισμού και να αποκατασταθούν οι απαραίτητες λειτουργίες ελέγχου, προστασίας και εποπτείας, με βάση τις εξαρτήσεις και τις απαιτήσεις της εγκατάστασης. Οι χειριστές χρειάζονται αξιόπιστη εικόνα της διεργασίας πριν προχωρήσουν σε ενέργειες που μπορεί να επηρεάσουν τη λειτουργία της. Μια αποκατάσταση χωρίς σαφή σειρά και χωρίς επαλήθευση σε κάθε βήμα μπορεί να δημιουργήσει νέα προβλήματα αντί να λύσει τα υπάρχοντα.

Εξίσου δύσκολες είναι οι αποφάσεις όσο το περιστατικό βρίσκεται ακόμη σε εξέλιξη. Αν εντοπιστεί ύποπτη δραστηριότητα σε ένα σύστημα, η απομόνωσή του μπορεί να περιορίσει την εξάπλωση. Τι συμβαίνει όμως αν το σύστημα αυτό υποστηρίζει μια κρίσιμη λειτουργία; Μπορεί η εγκατάσταση να συνεχίσει με περιορισμένη παρακολούθηση; Υπάρχει εναλλακτικός τρόπος λειτουργίας ή απαιτείται ελεγχόμενη διακοπή; Μια ενέργεια σωστή από πλευράς κυβερνοασφάλειας μπορεί να δημιουργήσει επιχειρησιακό κίνδυνο αν εφαρμοστεί χωρίς να ληφθούν υπόψη οι συνθήκες της εγκατάστασης. Γι' αυτό οι αποφάσεις απομόνωσης και επαναφοράς πρέπει να βασίζονται τόσο στην τεχνική αξιολόγηση του περιστατικού όσο και στις απαιτήσεις ασφαλούς λειτουργίας.

Υπάρχει, τέλος, και ο παράγοντας του χρόνου. Η αποκατάσταση μπορεί να εξαρτάται από εξειδικευμένο προσωπικό, συγκεκριμένο λογισμικό μηχανικού, διαθέσιμα ανταλλακτικά ή την υποστήριξη του κατασκευαστή. Ένας παλιός ελεγκτής μπορεί να μην αντικαθίσταται άμεσα, μια εφαρμογή μπορεί να απαιτεί συγκεκριμένη έκδοση λειτουργικού ή ειδική άδεια χρήσης. Αυτές οι εξαρτήσεις δεν έχουν πάντοτε αποτυπωθεί επαρκώς και συχνά αναδεικνύονται όταν χρειάζεται πραγματικά να αποκατασταθεί η λειτουργία. Γι' αυτό και η προετοιμασία δεν εξαντλείται στην ύπαρξη ενός σχεδίου ανάκαμψης (Disaster Recovery Plan). Χρειάζεται να γνωρίζουμε ποια συστήματα είναι κρίσιμα, από ποια εξαρτώνται, ποια αρχεία απαιτούνται για την επαναφορά τους και με ποια σειρά μπορούν να αποκατασταθούν. Χρειάζεται επίσης να έχει επιβεβαιωθεί στην πράξη ότι οι διαδικασίες είναι εφαρμόσιμες χωρίς να τίθεται σε κίνδυνο η λειτουργία της εγκατάστασης.

Η πραγματική ανθεκτικότητα μιας ενεργειακής υποδομής φαίνεται, τελικά, στην ικανότητά της να επανέρχεται μετά από ένα σοβαρό περιστατικό. Όχι απλώς να εκκινεί ξανά τους υπολογιστές της, αλλά να ανακτά τον έλεγχο των συστημάτων της, να επιβεβαιώνει την αξιοπιστία των πληροφοριών της και να επαναφέρει σταδιακά την κανονική λειτουργία. Γιατί στις ενεργειακές υποδομές, η αποκατάσταση δεν τελειώνει όταν επανέλθει το SCADA. Τελειώνει όταν μπορούμε να εμπιστευτούμε ξανά τη λειτουργία της εγκατάστασης.

Μιχάλης Κούκος - Μηχανικός Αυτοματισμού

OT Security | ICS/SCADA | Critical Infrastructure

https://gr.linkedin.com/in/michalis-koukos-greece

Πηγή: https://energypress.gr/