Azzal, hogy az elmúlt egy hétben megint a világ egyik legfontosabb témájává vált az amerikai-iráni viszony és feszültség, engem is megkerestek azzal a kérdéssel, hogy ennek lehet-e hatása a kritikus infrastruktúrák illetve más ICS rendszerek kiberbiztonságára. Ahogy a hírekben olvasható volt, többen számítottak arra, hogy Szulejmáni tábornok halálát az irániak nem (vagy nem csak) fizikai támadásokkal próbálják majd megbosszulni, hanem a kibertérben is támadásokat indítanak egyes amerikai kritikus infrastruktúra elemek ellen. Olyannyira komoly fenyegetésként kezelték/kezelik ezt a lehetőséget, hogy konkrétan tudok olyan európai közműszolgáltatóról, ahol ennek nyomán magasabb szintre emelték a készenlétet.

Mivel sok időm erre a posztra sajnos nincs, ezért csak két dologra térnék ki részletesebben:

1. Az iráni bosszúhadjárat gyakorlatilag már az Irakban található, amerikai haderő által is használt légibázisok elleni rakétatámadások előtt megindult, de amerikai kormányzati szervek (pl. a Federal Depository Library Program) weboldalai ellen indított deface-támadások valószínűleg inkább írhatóak az iráni hazafias hackerek számlájára, mint az iráni hátterű APT-csoportokéra (amikből szintén akad néhány, pl. a Magnallium/APT33).

Az ilyen támadások véleményem szerint, bár nyilván problémát jelentenek, egy ország szempontjából nem minősülnek komoly támadásnak, inkább arra jók, hogy a másik oldal (ebben az esetben Irán) fel tudjon mutatni valamilyen gyors és kockázatmentes választ, ami javítja a morált és minimálisan megfelel a tömegek feltüzelt bosszúvágyának).

2. A kritikus infrastruktúrák/ICS rendszerek elleni támadások szerintem nem valószínű, hogy (ha egyáltalán lesznek) az elkövetkező napokban fognak bekövetkezni. Egy ICS rendszer elleni támadás (az eddig tapasztalatok alapján) minden esetben hosszú hónapok előkészítő munkáját igénylik (emlékeztetőül, az ICS Cyber Kill Chain két fázisa külön-külön is több hetes, hónapos műveleteket jelenthetnek), ezért én két forgatókönyvet tudok elképzelni. Az első szerint az iráni APT-csoportok már hosszabb ideje hozzáféréseket szereztek egyes amerikai kritikus infrastruktúrák rendszereihez és ezeket felhasználva nagyon gyorsan képesek megszervezni és kivitelezni az ICS rendszerek (és/vagy az általuk vezérelt fizikai folyamatok) elleni támadásokat. A második forgatókönyv pedig az, hogy most kezdik el célzottan felderíteni az általuk fontosnak tartott és támadni kívánt rendszereket, ebben az esetben azonban hónapok vagy akár évek múlva számíthatunk komolyabb zavarokat okozó eseményekre. Én személy szerint inkább ez utóbbira számítok.

Ahogy Magyarországon, úgy az USA-ban is sok helyen cikkeztek a témáról a sajtóban, a SecurityWeek cikkében nyolc szakértő (a CyberX, a Dragos, a Nozomi Networks, a CrowdStrike, a Claroty, a Synopsys CyRC és a Lastline munkatársait) véleményét foglalja össze.