Hétfőn (szeptember 21-én) publikálta a NIST a 800-82 Special Publication szabványának Rev. 4 frissítéséből az első publikus, kiadásra szánt verzióját nyilvános véleményezésre. A véleményezési időszak november 30-ig tart és a 800-82 Rev. 4 weboldalán lehet az új verziót és az észrevételeket gyűjtő sablon XLSX fájlt is elérni: https://csrc.nist.gov/pubs/sp/800/82/r4/ipd
Két nappal később, 23-án jelent meg az FBI és a DHS CISA közös publikációja, amiben ICS/OT rendszereket integrátorként telepítő, üzemeltető és támogató szervezetek által az ipari szervezetek és kritikus infrastruktúra üzemeltetők számára jelentett kockázatokra igyekeznek felhívni a figyelmet.
Ez a téma sajnos egyáltalán nem új (már a 2013-as Havex ICS malware is nagyon jól megmutatta, mennyire komoly fenyegetést jelentenek a kritikus infrastruktúrák számára az ICS/OT ellátási láncokat célzó támadások) és ezen a helyzeten a tavaly december 29-i, lengyel villamosenergia-rendszer elleni támadás során a gyártóvállalat M365 felhős tárhelyéről ellopott ICS/OT releváns dokumentumok sem valószínű, hogy javítottak. Ennek véleményem szerint az az oka, hogy a támadók által ellopott dokumentumokban szinte biztos, hogy szerepel az akkor áldozattá vált cég ICS/OT gyártóinak/integrátorainak nem csak a cégneve, de valószínűleg a dokumentumokat készítő mérnökök neve is, amivel egészen könnyűvé teszi a támadók számára a következő célpontjaik kijelölését. Ha pedig egy ipari szervezet rendszereiben hónapokig képesek voltak a támadók jelen lenni anélkül, hogy felfedezték volna, vajon egy kisebb (vagy akár nagyobb) gyártó és még inkább egy integrátor cég mennyire lesz képes megelőzni vagy időben észlelni egy ilyen kaliberű támadást? Ha pedig egy ilyen szolgáltató cégtől tudnak adatokat szerezni az ügyfeleikről (nem is beszélve egy Havex- vagy Solarwinds-szerű támadásról, amikor nem csak információkat lopnak, hanem binárisokat is képesek lehetnek backdoor-okkal vagy malware-rel preparálni), akkor már az ügyfelek fenyegetettségi szintje is jelentősen megnő, hiszen a támadók nem nulláról, hanem pontos információk birtokában kezdhetik meg a felkészülést a támadás (ICS Cyber Kill Chain szerinti) első fázisára.
Érzésem szerint hasonló gondolatmenet mentén született a fent említett FBI-DHS CISA publikáció, ami példaként egy tavaly március-áprilisi, amerikai OT integrátor elleni támadást említenek, ennek során egy "külföldinek" nevezett támadó jutott be az integrátor cég hálózatába és keresett ügyfél- és SCADA rendszerhez köthető adatokat és legalább 9 ZIP fájlba gyűjtött vagy 800 olyan, ügyfél rendszerekkel kapcsolatos dokumentumot, amik megfeleltek a keresési feltételeiknek.
A publikáció tanácsokat ad a beszállítók jelentette kockázatok felmérésére, olyan kérdések megválaszolását javasolva, mint például:
- Milyen adatainkhoz férhet hozzá vagy tárolhatja a beszállító/integrátor?
- Hol tárolják ezeket az adatokat? (A dokumentum külön hangsúlyozza a külföldi beszállítók/integrátorok esetén, hogy ezek az adatok elhagyhatják, az USA területét, ez ugye az EU-s szervezetek esetén is létező probléma.)
- Az adatokon túl talán még fontosabb kérdés, hogy a külső partnernek van-e távoli hozzáférése az ICS/OT rendszereinkhez üzemeltetési/támogatási feladatok ellátásához?
- Talán a legfontosabb kérdés, hogy a szervezetünk tud-e üzemelni az adott beszállító/integrátor nélkül abban az esetben, ha már tudjuk, hogy a partner bármelyik rendszerét kompromittálták?
A kockázatok csökkentésére javasolatokat is megfogalmaztak az FBI és a DHS CISA szakértői, amik között hatalmas újdonság nincs, ezeket a biztonsági kontrollokat lassan már bő egy évtizede látom/olvasom különböző cikkekben és útmutatókban. Valahol erősen lehangoló, hogy ennyi év után még mindig ott tartunk, hogy ilyen (szerintem eléggé alapvető) dolgokat kell újra és újra hangsúlyozni.
