A mai posztban folytatom a múlt héten elkezdett gondolatot az ICS rendszerek általános biztonsági problémáiról.
Üzemeltetés kontra biztonság
ICS rendszerek esetén a klasszikus CIA-modell nagyon jelentősen el tud és el is szokott tolódni a rendelkezésre állás felé. Ez nem csoda, hiszen a ICS rendszerek jellemzően olyan kritikus infrastruktúra-elemek központi folyamatvezérléséért felelnek, amelyek esetében nem engedhető meg a legkisebb üzemzavar vagy szolgáltatás-kiesés sem, sőt, nagyon gyakran egy ilyen, üzembiztonsági incidens akár személyi sérüléshez is vezethet. Mindezekt végiggondolva belátható, hogy a ICS rendszerek esetén a rendelkezésre állás valóban kiemelt fontosságú szempont és ezért van az, hogy a ICS rendszerek üzemeltetőit hosszú évtizedek óta úgy képezik, hogy a rendelkezésre állási mutatók az egyik (ha nem a) legfontosabb mutatószáma legyen a rendszereik működésének értékelése során.
Azonban pont emiatt az üzemeltetők jellemzően újabb akadályát jelentik a ICS rendszerek biztonságosabbá tételének. A legtöbb ICS rendszer üzemeltető a fentiekben leírtak miatt mind a mai napig csak és kizárólag a rendszerek rendelkezésre állására koncentrál és ezt szem előtt tartva az esetek igen jelentős hányadában elvetik a hibajavítások telepítésének és az éppen éles konfiguráció módosításának a lehetőségét is. Még rosszabb a helyzet amiatt, hogy a ICS rendszert üzemeltetők többsége meggyőződéssel vallja, hogy az általa üzemeltetett rendszer már azért sem lehet célpontja sikeres támadásnak, mert csak az ért hozzá, akinek ez feladata, akinek pedig nincs dolga az adott ICS rendszerrel, annak esélye sincs átlátni és megérteni a működését, így pedig nem képes sikeres támadást indítani ellene (ezzel a tévhittel kapcsolatban mindenkinek szeretettel ajánlom Marina Krotofil előadásait).
Ugyanez a tévhit az oka egy másik biztonsági hiányosságnak. A legtöbb ICS rendszer esetén a hálózatbiztonság, a határvédelem és a végponti védelem nincs olyan szinten, mint az átlagos vállalati hálózatok és rendszerek esetén. Többnyire azzal érvelnek a ICS rendszereket üzemeltető informatikusok, hogy nincs szükség ilyen eszközökre és intézkedésekre, hiszen a ICS rendszerek nincsenek összekapcsolva semmilyen más rendszerrel vagy hálózattal. Ez a tévhit még abból az időből ered, amikor a vállalati informatika gyerekcipőben járt, azonban mióta az IT az élet és a vállalati mindennapok elválaszthatatlan része lett, üzleti vagy technológiai okok miatt szinte minden ICS rendszernek van valamilyen szintű kapcsolata az egyéb, vállalaton belüli informatikai rendszerekkel. Ilyen formán pedig ezek a rendszerek igenis támadhatóvá válnak pl. az Internet vagy a vállalat irodai WiFi hálózata felől.
Fejlesztés kontra biztonság
Azok számára, akik IT biztonsággal foglalkoznak, nem újdonság, hogy a fejlesztők jellemzően nem a biztonság szem előtt tartásával készítik a különböző szoftvereket. Ennek számos oka lehet, az érdektelenségtől az időhiányon át a hozzá nem értésig és ez alól nem jelentenek kivételt a ICS rendszerek sem. A ICS fejlesztők (hasonlóan az üzemeltetőkhöz) hosszú ideig abban a tévhitben éltek, hogy nem szükséges biztonságos protokollokat alkalmazva biztonságra törekedniük a fejlesztés során, hiszen a rendszer működését úgyis csak azok értik, akiknek érteniük kell és egyébként sem fér hozzá senki illetéktelen az általuk írt kódot futtató rendszerekhez. Ehhez társult még az a probléma, hogy (jellemzően költséghatékonysági okokból) a ICS fejlesztők egyre gyakrabban használnak különböző széles körben ismert és használt megoldásokat, amiknek a hibái is széles körben ismertté válnak, szinte azonnal (ilyenek voltak többek között a Heartbleed és a Shellshock néven elhíresült sérülékenységek, amik bizony számos ICS rendszert is érintettek).
A ICS-felhasználók jelentette biztonsági probléma
Minden informatikai rendszer esetén a felhasználó jelenti az egyik legkomolyabb biztonsági kockázatot, nincs ez másként a ICS rendszerek esetén sem. A legtöbb ICS rendszer esetén a felhasználó informatikai és informatikai biztonsági tudása és képességei nem haladják meg az átlag felhasználó szintjét. Feladataikhoz ez többnyire nem is szükséges, az adott ICS rendszert a feladataik elvégzéséhez szükséges mértékben ismerik, azonban pont ez vezethet ahhoz, hogy rajtuk keresztül könnyen lehet kompromittálni az adott rendszert (ez történt a Stuxnet esetében is).
