CISA објави препораки за изолирање на критичните системи за време на сајбер-напади

Владите на Соединетите Американски Држави и Австралија објавија нови насоки со кои ги повикуваат организациите што управуваат со критична инфраструктура однапред да се подготват за изолирање на виталните системи за оперативна технологија (OT) во случај на сајбер-напад или други големи нарушувања.

Документот, насловен „CI Fortify – Совети за изолирање на виталните системи“, е изработен од Американската агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA), Австралискиот центар за сајбер-безбедност (ACSC), ФБИ и нивни меѓународни партнери.

Во него се дадени препораки за исклучување на критичните системи за оперативна технологија (OT) и поврзаните системи од корпоративните мрежи, интернет-достапните системи и другите помалку доверливи мрежи, при што организациите треба да продолжат да ги обезбедуваат основните услуги подолг временски период.

Оперативната технологија (OT) ги опфаќа хардверот и софтверот што се користат за следење и управување со индустриски процеси, како што се постројки за третман на вода, електроенергетски системи, производствени машини, транспортни системи и телекомуникациска инфраструктура.

Според агенциите, државно поддржаните хакерски групи редовно ја напаѓаат критичната инфраструктура со цел шпионажа и воспоставување пристап што подоцна може да се искористи за деструктивни или нарушувачки напади во услови на криза или воен конфликт.

„Сајбер-криминалците продолжуваат опортунистички да ги таргетираат операторите на критична инфраструктура“, се наведува во предупредувањето.

„Чувствителноста на податоците што ги чуваат овие организации, како и важноста на услугите што ги обезбедуваат, ги прави привлечна цел за криминалците кои сакаат да изнудуваат пари преку кражба на податоци или преку ransomware-напади со цел предизвикување прекин или уништување на услугите.“

Заканата од кинеските хакерски групи

Во февруари 2024 година, CISA, ФБИ, NSA и останатите агенции од сојузот Five Eyes предупредија дека кинеската хакерска група Volt Typhoon успеала да компромитира организации од секторите за телекомуникации, енергетика, транспорт и водоснабдување.

Во најмалку една мрежа на критична инфраструктура, хакерите останале незабележани дури пет години. Американските власти предупредија дека тие се подготвуваат за потенцијални саботажи во случај на идна геополитичка криза или вооружен конфликт.

Друга кинеска група, позната како Salt Typhoon, од најмалку 2021 година наваму компромитирала владини, телекомуникациски, транспортни, хотелски и воени мрежи ширум светот.

Оваа група успеала да навлезе во системите на големите американски телекомуникациски компании AT&T, Verizon и Lumen, добивајќи пристап до чувствителни комуникации и системите за законско прислушување што ги користат американските органи за спроведување на законот.

Напаѓачите ги искористиле познатите ранливости во мрежните уреди на периферијата (edge networking devices), а потоа преку компромитираната опрема и доверливите врски се движеле кон други мрежи.

Под удар и водоснабдителните системи

Водната инфраструктура исто така повеќепати била цел на сајбер-напади.

Во октомври 2024 година, компанијата American Water, која обезбедува услуги за водоснабдување и третман на отпадни води за повеќе од 14 милиони луѓе, исклучи дел од своите системи по сајбер-напад.

Во истиот период, постројка за третман на вода во Канзас беше принудена привремено да премине на рачно управување откако нејзините системи беа компромитирани.

Владините агенции исто така предупредија дека проруски хактивистички групи активно бараат незаштитени OT-системи што ги користат водоснабдителните претпријатија и другите организации од критичната инфраструктура, со цел да предизвикаат прекин во нивното работење.

Како треба да се изолираат виталните системи?

Новите препораки на CI Fortify имаат цел организациите однапред да подготват планови за изолација, наместо да се обидуваат да импровизираат додека нападот веќе е во тек.

Агенциите препорачуваат организациите најпрво да утврдат кои системи и мрежи се минимално неопходни за непречено обезбедување на критичните услуги.

Потоа треба детално да се документира секоја врска помеѓу тие системи и:

• корпоративните мрежи,
• услугите за далечински пристап,
• облачните (cloud) околини,
• интернет-достапната инфраструктура,
• добавувачите и изведувачите,
• како и другите оператори на критична инфраструктура.

Дополнително, организациите треба однапред да одредат каде овие врски можат да се исклучат или физички да се прекинат, како и да ги земат предвид рачните процедури, можните проблеми во комуникацијата и губењето на надворешни ресурси што може да настанат по изолацијата.

Клучни поими од препораките

Документот препорачува организациите да се запознаат со следните концепти:

• Витални системи (Vital systems) – минималниот OT и придружните системи неопходни за обезбедување критична услуга, како што се управување со водоснабдување, испорака на електрична енергија или функционирање на телекомуникациска мрежа.
• Точка на изолација (Isolation point) – однапред дефинирана локација каде што може да се прекине поврзаноста меѓу критичните и некритичните системи со цел да се спречи ширењето на нападот.
• Физичка изолација (Physical isolation) – целосно исклучување на виталните системи така што тие повеќе нема да делат мрежна или компјутерска инфраструктура со останатите системи. Според CISA, ова претставува најефикасна форма на заштита.
• Постепена изолација (Graduated isolation) – постепено ограничување на пристапот во зависност од нивото на закана, почнувајќи со блокирање на далечинскиот пристап за вработени и добавувачи, па сè до исклучување на корпоративните мрежи и сите надворешни врски.
• Административни мрежни контроли – управување со VLAN-мрежи, листи за контрола на пристап и рутирање. Овие мерки можат привремено да помогнат, но физичката изолација останува крајната цел.
• Data diode – специјализиран уред што дозволува податоците да се движат само во една насока, со што се намалува ризикот од враќање на злонамерен сообраќај кон критичните системи.
• Активности по изолацијата (Post-isolation) – следење на табелите за рутирање, мрежниот сообраќај и системите за детекција на упади за да се потврди дека изолацијата функционира. Исто така, административните сегменти од кои се управува со рутерите, заштитните ѕидови (firewalls) и другата мрежна инфраструктура треба да бидат дополнително заштитени и изолирани од напаѓачите.

Иако физичката изолација обезбедува највисоко ниво на заштита, агенциите признаваат дека таа не е секогаш практична за организации што зависат од интернет-услуги, телекомуникациски оператори, cloud-платформи или географски распределени објекти.

Во такви случаи, операторите треба да ги зајакнат границите на OT-мрежите, да користат посебни или шифрирани комуникациски врски, да ја намалат зависноста од корпоративните системи и да обезбедат можност за брзо обновување на инфраструктурата.

На крај, плановите за изолација треба јасно да определат кој има овластување да ја одобри секоја фаза од изолацијата, кои услови ќе ја активираат, кои системи мора да останат оперативни и како организацијата ќе продолжи да функционира без вообичаената мрежна поврзаност.

Организациите се повикуваат редовно да ја тестираат целосната изолација на своите витални системи, наместо да тестираат само поединечни системи, бидејќи делумните тестирања можеби нема да ги откријат заедничката инфраструктура и другите скриени меѓузависности што би можеле да предизвикаат проблеми кога планот за изолација ќе биде активиран.

Во насоките, исто така, се препорачува да се чува безбедна офлајн или печатена копија од планот за изолација, за тој да остане достапен доколку биде нарушен пристапот до корпоративната мрежа или до серверите за складирање на податоци.

Откако системите ќе бидат изолирани, операторите треба да продолжат да го следат мрежниот сообраќај, информациите за рутирање и системите за управување, со цел да се осигураат дека неовластени или случајни поврзувања не ја воспоставиле повторно комуникацијата меѓу критичните и некритичните мрежи.

Сепак, агенциите предупредуваат дека изолацијата носи и одредени ризици, меѓу кои се:

• заостанување во инсталирањето на безбедносни ажурирања;
• намалена можност за следење и надзор на системите;
• зголемена употреба на преносливи медиуми (USB-уреди и други носачи на податоци) за пренесување информации меѓу изолираните системи.

Поради тоа, организациите треба однапред да се подготват не само за исклучување на виталните системи, туку и за нивно рачно управување, следење и ажурирање додека тие се изолирани, сè до моментот кога ќе може безбедно повторно да се поврзат со останатата инфраструктура.

Извори:

• Bleeping Computer – CISA shares advice on isolating vital systems during cyberattacks Bleeping Computer