Az ICS rendszerek biztonsága nagyjából a Stuxnet óta téma az IT biztonsági szakmában. Bár sokan (különösen az ICS rendszerek üzemeltetői) még ma sem szívesen ismerik el nyilvánosan, hogy a különböző ipari IT rendszerek biztonsága bizony a gyengétől a katasztrofálisig terjed. A mai posztban a PLC-k gyenge biztonságának okait fogom (legalább részben) áttekinteni.
Történetileg a az első PLC-k kifejlesztése és üzembe helyezése az 1960-as évek elejére tehető. Ekkoriban kezdett elterjedni az a megoldás, hogy a különböző reléket PLC-kre cserélték. Ennek több oka is volt, a relék paneljeit nehéz volt módosítani, nem lehetett hatékonyan karbantartani és komoly kihívás volt a különböző problémákat diagnosztizálni, a már beazonosított hibák javítása pedig még ennél is nehezebb volt.
Bár a PLC-k ma már számos iparágban nélkülözhetetlen eszközök, a '60-as években először a különböző gyártósorok automatizálása során kerültek a relék helyére, majd innen terjedtek el a legkülönbözőbb iparágakban. Eleinte a PLC-k egy teljesen izolált környezetben működtek és csak a 70-es évek közepén, a kommunikációs eszközök rohamos fejlődésével kezdődött meg az összekapcsolásuk más eszközökkel. A különböző PLC-felhasználó vállalatok gyorsan ráébredtek, hogy a PLC-kből kapott adatok mennyire hasznosak tudnak lenni a folyamatok hatékonyságának és pontosságának monitorozásában és az összekapcsolt PLC-k jelentősen segítették a munkafolyamatok biztonságának (safety) és a rendszer megbízható működésének fejlesztését is.
Ahogy a PLC-ket használó vállalatok nőttek és az informatika fejlődött, úgy jelentek meg az újabb és újabb ipari és vállalati rendszerek, amiknek az összekapcsolása fontos üzleti/műszaki igényként jelentkezett (pl. a termelő vállalatok költség-optimalizálása miatt elengedhetetlen volt, hogy egy helyen lássák a termelési adatokat, a megrendeléseket és a beszállítóktól érkező alkatrészek beérkezésének ütemezését, stb.), hogy a PLC-ket olyan rendszerekkel is összekapcsolják, amelyekhez korábban nem készültek interfészek sem.
Ahogy arról korábban már írtam, a PLC-knek, mint minden ICS rendszernek, a normál IT rendszereknél sokkal (nem ritkán 5-6-szor) hosszabb az élettartama, egyáltalán nem ritka a 15-20 éve működő ICS rendszer, amin időközben csak kisebb fejlesztéseket hajtottak végre, esetleg egyszer volt operációs rendszer és/vagy adatbázis verzió-váltás (termelő vállalatoknál még ma sem ritkaság, hogy Windows NT 4.0 alapú rendszer vezérli a gyártósorokat). A PLC-k esetében még ennél is hosszabb lehet az élettartam, hiszen erősen célrendszerként lettek megalkotva, az alapvető követelmények pedig nem vagy nem nagyon változtak az évtizedek során. Azonban a több évtizedes eszközök azt is magukban hordozzák, hogy az erőforrások 10-20 évvel ezelőtt a mainak a töredékét sem érték el (ha belegondolunk, hogy 1999-ben még 300-800 MHz-es CPU-kat és 64-256 MB memóriát használó számítógépekkel dolgoztunk, el lehet képzelni, hogy a 20-25 éves PLC-kben milyen microprocesszor és mennyi memória lehet). Emiatt (különösen a régi PLC-k esetén) az utólagos funkcióbővítések nem vagy csak nagyon korlátozottan lehetséges.
20-25 évvel ezelőtt a kiberbiztonság az ICS rendszerek esetében ismeretlen témának számított. Ha valaki mégis szóba hozta, annak minden esetben kész válasszal szolgáltak, mely szerint az ICS rendszerek hálózata az egyéb hálózati zónák felől nem elérhető, így nincs ok az aggodalomra - ma már persze világos, hogy ez az állítás már a 90-es években sem állta meg a helyét, de akkor legalább az ICS rendszereknek még nem volt közvetlen vagy közvetett módon Internet-kapcsolata. Ezekből a (tév)hitekből merítve erőt, a legtöbb PLC- (és ICS-) felhasználó cég és szakember bátran támogatta az ipari rendszerek összekapcsolását más rendszerekkel. Ahol valaki (jellemzően a régi vágású ICS-üzemeltetők) ellenezte volna az ilyen összekapcsolásokat, ott az ő ellenállásukat az üzleti igények vagy jogszabályi előírások emlegetésével söpörték félre a döntéshozók (akik jellemzően üzleti vagy jogalkotói területről érkeztek és természetesen közük nem volt az ICS üzemeltetés vagy biztonság témájához).
Hogyan lehetne biztonságosabb PLC-ket létrehozni?
Már többször írtam róla, hogy az ICS rendszerek biztonságát véleményem szerint az emberi gondolkodáson és hozzáálláson keresztül lehetne a leginkább hatékony módon fejleszteni, a PLC-k esetén ezt elsősorban két csoport speciális biztonságtudatossági képzésén keresztül lehet elérni.
Elsőként a tervezésben és fejlesztésben résztvevő szakembereknek kéne a funkcionális követelmények mellett a biztonsági szempontokat is beépíteni a PLC-tervezés és fejlesztés folyamatába. A tervezést egy kockázatelemzéssel lenne célszerű kezdeni. Ennek során többek között fel kéne mérni a PLC-knél alkalmazott különböző hozzáférési módszerek és eszközök alkalmazása jelentette kockázatokat és a túl nagy kockázatokat jelentő tényezők (pl. Telnet, RSH, rexec, stb.) használatát el kell vetni vagy olyan kontrollokat kell a használatukkal kapcsolatban beépíteni a PLC-kbe, amelyekkel az ilyen hozzáférések kockázatai elfogadható szintre csökkenthetőek.
A fejlesztőknek és az üzemeltetőknek is el kell sajátítaniuk az "ellenség fejével gondolkodás" képességét, azt is végig kell gondolniuk, hogy ők maguk hogyan szereznének jogosultságot a saját rendszerükben, ha a szabályos módszereket és útvonalakat nem használhatnák. Ezzel nyilván nem sikerülne nullára csökkenteni egy támadó lehetőségeit a PLC kompromittálására, de a leginkább kézenfekvő és egyszerű támadási vektorok nagy valószínűsséggel ilyen módon megszüntethetőek lesznek.
Természetesen egyetlen megoldási lehetőség sem fogja varázsütésre megoldani az ICS biztonsági problémákat, ahogy az IT biztonságban sincs olyan csodafegyver, aminek megvásárlása/kifejlesztése egy csapás megszüntetné az adatlopásokat. Az ICS rendszerek biztonságát csak a megfelelő biztonsági eszközök (technikai eszközök, szabályzatok, biztonságtudatossági képzések és modern, a biztonsági szempontokat is megfelelő szinten kezelő fejlesztési és üzemeltetési eljárások, ICS biztonsági szabványok) egyidejű alkalmazásával lehet az elvárt szintre emelni, majd ezt a szintet fenntartani.
