Киберсигурност в критични сектори: предизвикателства, заплахи и защита

Информатек Дигитал » Ресурси » Киберсигурност в критични сектори: предизвикателства, заплахи и защита

Киберсигурността в критични сектори се превърна в основна грижа за правителствата и бизнеса. Това не е само технически проблем: защитата на тези инфраструктури е от съществено значение за електричеството в домовете ни, водата в крановете ни, парите, с които боравим ежедневно, и здравеопазването, което получаваме. Когато тези системи се повредят поради кибератака, проблемът престава да бъде просто компютърен и се превръща в социален, икономически и дори геополитически.

В Испания има хиляди съоръжения, считани за критична инфраструктура , чието нарушаване може да причини много сериозни щети на страната. В същото време броят и сложността на атаките продължават да нарастват, водени от престъпни групировки, държавни субекти и хибридни кампании, които съчетават цифрови и физически елементи. В този контекст укрепването на киберсигурността на тези сектори вече не е по избор: то е стратегически приоритет.

Какво имаме предвид под критична инфраструктура и стратегически сектори?

Критичната инфраструктура обхваща всички съоръжения, мрежи, системи, услуги и оборудване – физически или виртуални – чиято повреда би оказала пряко влияние върху основното функциониране на държавата и ежедневието на нейните граждани. Това включва енергетика, водоснабдяване, транспорт, здравеопазване, финанси, храни, телекомуникации и основни обществени услуги. Идентифицирането и класифицирането на уязвимостите е ключово за приоритизиране на мерките и ресурсите в тези области.

Испанското законодателство, по-специално Закон 8/2011 относно защитата на критичната инфраструктура , разграничава две ключови понятия: стратегическа инфраструктура и критична инфраструктура. Цялата критична инфраструктура е стратегическа, но не всяка стратегическа инфраструктура става критична.

Стратегическата инфраструктура обхваща широк спектър от съоръжения и мрежи, които поддържат основни услуги, но които в някои случаи биха могли да бъдат заменени или компенсирани с алтернативи. За разлика от това, инфраструктурата се счита за критична, когато нейното функциониране е абсолютно необходимо и няма жизнеспособна алтернатива в разумен срок.

Следователно, критичната инфраструктура е особено чувствителна част от стратегическите инфраструктури: нейното нарушаване би имало сериозно въздействие върху една или повече основни услуги, компрометирайки сигурността, икономиката или социалното благосъстояние.

Закон 8/2011 и разпоредбите за прилагането му определят следните сектори като особено уязвими : публичната администрация, космическата промишленост, ядрената и химическата промишленост, водния цикъл, енергетиката, здравеопазването, информационните и комуникационни технологии, транспорта, хранително-вкусовата промишленост и финансовата и данъчната система, наред с други. Всички тези сектори са все по-зависими от взаимосвързани цифрови системи.

Киберсигурност в критичните инфраструктури: концепция и обхват

Киберсигурността, прилагана към критичната инфраструктура, обхваща набор от политики, технологии, процеси и организационни мерки, насочени към защита на тези съоръжения от цифрови заплахи, включително облачна сигурност . Основната цел е да се гарантира наличността, целостта и поверителността на системите и данните, които поддържат основни услуги.

Това включва защита както на корпоративните информационни системи (ИТ), така и на оперативните среди (ОТ), където се намират промишлени системи за управление (ICS), SCADA, PLC и друго оборудване, което взаимодейства директно с физически процеси, като например управлението на електрическата мрежа, пречиствателни станции за вода, нефтопроводи, рафинерии или железопътни системи.

Ключова характеристика на киберсигурността в критични сектори е конвергенцията на информационните технологии (ИТ) и операционните технологии (ОТ) . В продължение на години те оставаха изолирани: бизнес и обработващи данни системи работеха от едната страна, а индустриални системи за управление от другата, често без директна интернет връзка. Дигитализацията, индустриалният интернет на нещата (IoT) и необходимостта от наблюдение в реално време премахнаха тези бариери.

Тази конвергенция носи ефективност, видимост и централизирани възможности за управление, но също така отваря нови повърхности за атака . Много OT и IoT устройства не са проектирани със стабилни критерии за сигурност, инсталирането на корекции е сложно, а жизнените цикли са дълги. Резултатът е взаимосвързана екосистема, където ИТ пробив може да засегне преди това изолирани индустриални системи.

В този контекст, стратегиите за отбрана се стремят да предотвратят прекъсвания на услугите, саботаж, шпионаж, манипулиране на процеси и кражба или отвличане на информация, като същевременно поддържат оперативна непрекъснатост и спазване на специфичните за сектора регулаторни и нормативни изисквания.

Основни услуги и нарастваща цифрова уязвимост

На практика всички съвременни основни услуги разчитат на цифрови системи: автоматизирани електроцентрали, интелигентни разпределителни мрежи, пречиствателни станции за вода, летища, пристанища, мрежи на метрото, хиперсвързани болници, банкомати, платформи за онлайн банкиране и електронни данъчни системи.

Тази технологична зависимост има пряко следствие: всяка сериозна кибератака бързо се превръща в осезаем проблем за населението . Тя не остава вътрешен компютърен инцидент; може да остави квартали без ток, да парализира железопътните линии, да прекъсне операциите или да попречи на милиони хора да имат достъп до парите си.

Скорошни примери илюстрират степента на нашата уязвимост. Атаката с ransomware срещу ирландската здравна служба през 2021 г. принуди спирането на клиничните системи и отмяната на прегледи и лечения с часове, създавайки оперативен хаос и застрашавайки безопасността на пациентите. Подобни ситуации са се случвали и в други страни, засягайки болници, вериги за доставки и горивни мрежи. Тези инциденти изискват специализиран анализ на дигиталната криминалистика , за да се разбере техният обхват и да се възстановят операциите.

В Испания данните отразяват значително увеличение на инцидентите, засягащи организации в стратегически сектори. Само за една година процентът на организациите, които са претърпели неоторизиран достъп до системите си, скочи с повече от двадесет процентни пункта, което демонстрира ускоряването на дигиталния риск и необходимостта от критични актуализации и непрекъснато подсилване.

Всичко това обяснява защо защитата на критичната инфраструктура се е превърнала в приоритет както за националната, така и за бизнес сигурността , и защо се насърчават европейски и национални регулаторни рамки, специално насочени към укрепване на нейната устойчивост.

Основни киберзаплахи в критични сектори и инфраструктури

Пейзажът от заплахи около критичната инфраструктура става все по-сложен. Той съчетава киберпрестъпни кампании за финансова изгода , подкрепяни от държавата кибершпионаж и саботажни операции, хакерски атаки и човешки грешки или нарушения на доверието от страна на лица с легитимен достъп.

Един особено важен вид заплаха са напредналите постоянни заплахи (APT) . Това са продължителни, силно целенасочени и организирани операции, често свързани с разузнавателни служби или спонсорирани от държавата групи. Те обикновено се развиват в няколко фази: проникване в мрежата чрез уязвимости или сложен фишинг, странично движение и ескалация на привилегиите и накрая, извличане на чувствителна информация или подготовка за саботаж.

Различни анализи показват, че голяма част от атаките, насочени към критична инфраструктура, са финансово мотивирани , независимо дали чрез изнудване, кражба на интелектуална собственост или измама. Сред най-активните групи са APT28 (Fancy Bear), често свързана с руски интереси; Mustang Panda, свързана с кампании, произхождащи от Китай в Европа и други региони; и APT34 (OILRIG), която се фокусира върху енергийния сектор в Близкия изток.

Междувременно, ransomware се превърна в една от най-опустошителните заплахи за критични сектори. При тези атаки системите се криптират или заключват, докато не бъде платен откуп, често съпроводено със заплаха от изтичане на чувствителни данни. Атаката срещу Colonial Pipeline през 2021 г., която причини прекъсвания на доставките на гориво в части от Съединените щати, е отличен пример за това как една кибератака може да доведе до дълги опашки на бензиностанциите и проблеми с доставките.

Саботажът и шпионажът с геополитически мотиви също са се увеличили. Операторите в енергийния, транспортния и здравния сектор са обект на кампании, целящи дестабилизиране, оказване на натиск или просто получаване на стратегическа информация. Инцидентът със Stuxnet, който засегна центрофуги в иранското ядрено съоръжение Натанз, остава един от най-изследваните случаи на зловреден софтуер, специално проектиран да нарушава физическите промишлени процеси.

Друг съществен рисков фактор са вътрешните заплахи . Те не винаги са от злонамерени служители; много нарушения произтичат от грешки на вътрешен персонал или доставчици, липса на обучение, лоши практики за управление на пароли или небрежност при прилагането на политиките за сигурност.

Веригата за доставки добавя още един слой сложност. Критичната инфраструктура разчита на мрежа от производители, интегратори, компании за поддръжка, доставчици на софтуер и доставчици на облачни услуги. Нападателят може да използва най-слабото звено – например компрометирана актуализация, несигурно предварително конфигурирано устройство или доставчик с лоши практики – за да получи достъп до системата на критичен оператор, без да я атакува директно.

Транспортният сектор е отличен пример за този риск, като в някои национални доклади е отчетен висок процент инциденти . Атака срещу железопътен или летищен оператор или техни доставчици на технологии може да има каскадни ефекти: прекъсвания на маршрутите, задържане на стоки в пристанища или логистични центрове, недостиг на стоки и значителни финансови загуби.

Освен това, хибридните атаки набират популярност , комбинирайки кибер действия с физически инциденти, за да усилят въздействието си. Частичното спиране на електрозахранването в Украйна през 2015 г., след кибератака срещу електроенергийни компании, и кампаниите за прелитане на дронове над скандинавските летища, които наложиха затварянето на въздушното пространство от съображения за сигурност, са примери за това как дигиталният и физическият свят са преплетени.

Регулаторна рамка, устойчивост и реагиране при инциденти

Защитата на критичната инфраструктура се основава на специфична регулаторна и организационна рамка , която съчетава националното законодателство, европейските директиви и техническите стандарти. В Испания гореспоменатият Закон 8/2011 определя като основна цел защитата на тази инфраструктура от заплахи чрез прилагането на интегрирани мерки, обхващащи както физическа, така и логическа сигурност. Дефинирането на политики и стандарти, като тези, регулиращи многопотребителски и многонаемателни среди, е част от тази рамка.

Една от ключовите концепции е киберустойчивостта , разбирана като способността за предвиждане, устояване, адаптиране и възстановяване от инцидент без загуба или само с ограничена загуба на оперативен капацитет. Специфичните планове за защита (СПЗ) попадат в тази рамка, обхващайки анализ на риска, технически и организационни мерки за сигурност и ясни протоколи за действие в случай на инцидент.

На европейско ниво, Директивата за устойчивост на критичните обекти (CER), приета през 2022 г., засилва целта за намаляване на уязвимостите и подобряване на капацитета за възстановяване след сериозни инциденти, включително хибридни атаки. Тя задължава държавите членки и критичните обекти да приемат конкретни мерки за сигурност, управление на риска и докладване на инциденти.

В Испания INCIBE-CERT (Центърът за реагиране при инциденти в киберсигурността на INCIBE) служи като национален референтен център за управление на киберинциденти. Той предоставя услуги 24/7/365, издава предупреждения за уязвимости и заплахи и координира техническия отговор с публични и частни организации.

Когато инциденти засягат критични оператори в частния сектор, реакцията се координира с Координационната служба по киберсигурност (ОКС) към Министерството на вътрешните работи, която действа като място за срещи между силите за сигурност и различните участващи агенции.

Непрекъснатото наблюдение на системите чрез усъвършенствани технологии за мониторинг позволява откриване на аномално поведение в почти реално време . INCIBE-CERT и други специализирани центрове използват обобщени разузнавателни източници, захранвани от множество сензори и отчети, за да разработват ранни предупреждения и да уведомяват потенциално засегнатите организации за инциденти; анализът на регистрационните файлове е съществена част от този процес.

На практика повечето критични оператори комбинират центрове за операции по сигурност (SOC) с екипи за реагиране при инциденти (CSIRT), съобразени с регулаторните задължения и свързани с официални канали за докладване и координация.

Ключови технически стратегии: сегментиране, мониторинг и контрол на достъпа

В критичната инфраструктура, простото инсталиране на антивирусен софтуер и защитна стена не е достатъчно. Необходимо е да се внедрят многопластови архитектури за сигурност , които минимизират въздействието на потенциално нарушение и ограничават атаката.

Една от най-разпространените практики е сегментирането на мрежата . Това включва разделяне на средата на отделни зони или сегменти, с контрол на достъпа и филтриране на трафика между тях. По този начин, дори ако нападателят успее да получи достъп до една точка, ще му бъде много по-трудно да се движи свободно в останалата част от мрежата.

В индустриална среда е много често срещано да се разчита на модела на Purdue , който организира системите на различни нива, от полево и контролно оборудване до корпоративната мрежа. Между тези нива се установяват индустриални демилитаризирани зони, защитни стени, прокси сървъри и други контролни механизми, за да се предотврати директното излагане на най-чувствителните OT системи на корпоративни мрежи или интернет.

Надграждайки върху тази основа, много организации отиват още една крачка напред с микросегментацията , която добавя още по-детайлни контроли, например на ниво приложение или работен процес. Тази стратегия е особено полезна в критични инфраструктури със стари системи, които са трудни за коригиране, където зоната, достъпна от други сегменти, е сведена до минимум.

Мониторингът и ранното откриване допълват картината. Организациите внедряват инструменти за непрекъснато наблюдение, системи за откриване и предотвратяване на прониквания (IDS/IPS) , анализ на мрежовия трафик и решения за анализ на поведението на потребителите и обектите (UEBA), способни да идентифицират аномални модели, които се изплъзват на традиционните контроли, базирани на сигнатури.

Изкуственият интелект започва да играе водеща роля в тези центрове за сигурност, като прави възможно откриването на фини отклонения в нормалното поведение на OT и IT системите, съпоставянето на събития в големи обеми от данни и генерирането на по-точни предупреждения, намалявайки шума и броя на фалшивите положителни резултати.

И накрая, надеждните контроли за достъп – включително многофакторно удостоверяване, стриктно управление на привилегиите, разделение на задълженията и цялостно регистриране на дейностите – са от съществено значение за минимизиране на риска, свързан с вътрешни потребители, сервизни акаунти и отдалечен достъп на доставчици, заедно с добрите практики за сигурност на системите и сървърите.

Човешки фактор, култура на безопасност и сътрудничество

Много сериозни инциденти показват, че най-слабото звено си остава човешкият фактор . Кликване върху фишинг имейл , повторно използвана парола, некриптиран лаптоп или лошо управление на привилегирован достъп могат да отворят вратата за атака, която в крайна сметка засяга критична услуга.

Следователно, освен технологиите, организациите, управляващи критична инфраструктура, се нуждаят от солидни програми за обучение и повишаване на осведомеността за целия си персонал, включително мениджъри, техници, персонал на завода и екипи за поддръжка. Не става въпрос само за предлагане на спорадични курсове, а за изграждане на истинска култура на безопасност.

Това включва интегриране на управлението на риска за киберсигурността в бизнес процесите и ежедневните операции , определяне на ясни отговорности, редовен преглед на политиките и процедурите и насърчаване на възможността за докладване на всяко подозрително поведение без страх от ответни мерки.

Сътрудничеството между вътрешните отдели – ИТ, ОТ, оперативни, правни, отдел „Съответствие“ и човешки ресурси – също е от решаващо значение. В исторически план екипите по информационни технологии и мениджърите на промишлени предприятия са работили в почти отделни светове, но дигиталната конвергенция изисква координирано управление на риска.

В критични сектори сътрудничеството с публичните органи и регулаторните органи е също толкова важно . Някои регулаторни рамки изискват докладване на инциденти в рамките на определени срокове, споделяне на информация за заплахи и координиране на планове за действие с министерства, сили за сигурност или специализирани агенции.

Това съвместно усилие позволява повишаване на нивото на защита на цялата екосистема , тъй като информацията за атака, открита в една компания, може да се използва за предотвратяване на инциденти в други организации в същия сектор или в свързани инфраструктури.

Нови предизвикателства: изкуствен интелект, автоматизирани данни и квантови изчисления

Настоящата дигитална революция въвежда както нови защитни инструменти, така и нови вектори за атака . Изкуственият интелект, усъвършенстваната автоматизация и, в не толкова далечното бъдеще, квантовите изчисления, коренно променят начина, по който се разбира киберсигурността в критични сектори.

От една страна, защитният изкуствен интелект позволява анализ на огромни обеми от оперативни и защитни данни, откриване на необичайни модели в реално време и задействане на автоматизирани реакции, като например изолиране на компрометиран възел, преконфигуриране на мрежа или динамично регулиране на политиките за достъп.

Генеративният ИИ може да помогне за синтезирането на информация за заплахи и разработването на сложни правила за откриване, докато агентният ИИ е способен да планира и изпълнява автономни действия в предварително дефинирани рамки, за да поддържа непрекъснатост на услугите при инциденти.

Въпреки това, същите тези възможности се използват и в офанзивна посока. Нападателите вече използват изкуствен интелект, за да оптимизират фишинг кампании , да генерират по-уклончив зловреден софтуер, да откриват уязвимости и да автоматизират странично движение в сложни мрежи. Освен това, моделите с изкуствен интелект, използвани от критичните инфраструктури, могат самите те да станат мишени: атаки срещу данни за обучение, манипулиране на алгоритми, инжектиране на злонамерени данни или промяна на резултатите могат да доведат до грешни решения в автоматизирани процеси.

Следователно, защитата на системите с изкуствен интелект изисква специфични мерки : осигуряване на целостта и поверителността на данните за обучение, наблюдение на изводите и резултатите от моделите за откриване на аномалии, установяване на строг контрол на достъпа до среди за разработка и внедряване и непрекъснат преглед на моделите за евентуална манипулация.

Успоредно с това, квантовите изчисления представляват фундаментално предизвикателство в средносрочен и дългосрочен план. Много от криптографските алгоритми, които се използват в момента, биха могли да бъдат компрометирани от достатъчно мощни квантови компютри. Въпреки че все още не е налично универсално оборудване, способно да разбива стандартната криптография в производство, различни оценки поставят този риск в рамките на следващите едно или две десетилетия.

Тази перспектива е движещата сила на стратегията „събирай сега, декриптирай по-късно“ : нападателите съхраняват криптирани данни днес с очакването да могат да ги декриптират, когато квантовата технология узрее. За критичните инфраструктури, които обработват чувствителна информация с дълъг живот, този подход представлява значителен риск.

В отговор на това нараства интересът към постквантовата криптография – набор от алгоритми за криптиране и подписване, предназначени да издържат на атаки от бъдещи квантови компютри. Много организации вече започват да оценяват и планират миграции към тези системи, осъзнавайки, че това не е преход, който може да се осъществи за една нощ.

Тези технологични промени водят и до по-динамични модели за сигурност, като например микросегментация, базирана на поведение , която непрекъснато коригира политиките за филтриране според контекста, или подходи с нулево доверие, които приемат, че никоя връзка не е надеждна по подразбиране и изискват непрекъсната проверка на самоличността и контекста, дори в самата вътрешна мрежа.

Възможности за сигурност и случаи на употреба в ключови сектори

За да работи всичко горепосочено на практика, критичните инфраструктури трябва да разработят добре интегриран набор от възможности за сигурност . Една от най-важните е унифицирана видимост в OT и IT среди, с ясни инвентаризации на активите, карти на зависимостите и централизирано наблюдение.

Тази видимост формира основата за възможностите за откриване на заплахи в реално време , подкрепени от системи за корелация на събития, анализ на трафика, откриване на прониквания и все по-често усъвършенстван поведенчески анализ. Това позволява идентифицирането на неоторизиран достъп, необичайни модели на употреба, комуникация с домейни за командване и контрол и опити за ескалация на привилегиите.

Също толкова важни са функциите за автоматизирано реагиране , способни да прилагат контрамерки без човешка намеса при откриване на сериозен инцидент: изолиране на устройства, блокиране на акаунти, сегментиране при спешни случаи, връщане към предишни конфигурации и др. В среди, където всяка минута е от значение, тази скорост може да е от решаващо значение.

В енергийния сектор например много компании са внедрили специализирани OT SOC, които интегрират SCADA системен мониторинг с анализ на индустриалния мрежов трафик. Тези центрове успешно блокират опити за саботаж, насочени към прекъсване на електрозахранването, благодарение на ранното откриване на неоторизиран достъп до системите за управление.

В транспорта, особено в авиацията и железопътния транспорт, защитата на сигнализацията, контрола на движението и комуникационните системи е от решаващо значение. Разширеното сегментиране в зони с висока сигурност , свързани само чрез строго контролирани шлюзове, е предотвратило прониквания в корпоративните мрежи, които да засегнат операционните системи, които управляват пътническия трафик и безопасността.

Междувременно секторът на здравеопазването е подложен на нарастващ натиск, тъй като здравните данни са особено ценни на черния пазар. Болниците и здравните мрежи се фокусират както върху засилване на обучението на персонала срещу фишинг и рансъмуер, така и върху внедряването на цялостно криптиране за информация за пациентите, както и планове за архивиране и възстановяване, които позволяват бързо възстановяване на медицински досиета и диагностични системи.

Във всички тези сектори комбинацията от съвременни технологии, зрели процеси за управление на риска и съвестен персонал прави разликата между уязвима инфраструктура и такава, способна да издържи, да се възстанови и да продължи да предоставя основни услуги дори при най-лошия сценарий на кибератака.

Настоящата реалност показва, че киберсигурността в критични сектори вече не може да се разглежда като еднократен проект или просто като регулаторно изискване: тя изисква непрекъсната, многоизмерна и координирана стратегия, където технологиите, процесите, хората и публично-частното сътрудничество се обединяват, за да се запазят в безопасност стълбовете, които поддържат функционирането на нашето общество.