Bár július 17-én arról értekezett a (feltehetőleg) orosz SECTOR16 aktor csoport, hogy befejezik „áldásos” tevékenységüket, az a hír olyannyira nem volt igaz, hogy már másnap egy hazai fűtésvezérlési környezetet kompromittáltak, illetve most egy másik ipari vezérlőrendszer esett áldozatul a kampányuknak.

A csoport a kampányhoz egyáltalán nem használ szofisztikált módszereket, egyszerűen egy automata bot által felfedezett, és gyenge jelszavakkal védett VNC táveléréseket tartalmazó listán halad végig.

A csoport most is azt írta, hogy nem állítottak el semmit, de természetesen tényleg érdemes belegondolni abba, hogy az ilyen kompromittált hozzáféréseken keresztül valóban bele lehet avatkozni a folyamat – és ezzel a fizikai világ – állapotába.

Miért van egyáltalán VNC távelérés az ilyen HMI és SCADA felületeken?

Nyilván azért, hogy elérjék távolról.

Magával a funkcióval (általánosságban) nem lenne probléma – ha nem lenne kipublikálva az internet felé. Az OT esetében a rendszerek és berendezések távelérési igénye teljesen valós – és nélkülözhetetlen, azonban az OT kiberbiztonság egyik legnagyobb dilemmája a biztonságos távelérés kialakítása, ahol a folyamatos távoli felügyelet és beavatkozási képesség szükséges az üzembiztonság és a folyamatok fenntartásához, ugyanakkor a távelérés nem fenyegeti az üzembiztonságot.

Jelen – illetve a SECTOR16 kampány által kompromittált OT rendszerek - esetében ez utóbbi feltétel nem hogy nem teljesül, hanem a rosszul és felelőtlenül kialakított távelérések súlyosan fenyegetik az OT rendszerek üzembiztonságát.

Ördögtől való a VNC?

Nem.

De ebben a kialakításban az.

A VNC felhasználásának módja az ipari környezetekben rendkívül átgondolatlan és jellemzően teljes mértékben feláldozza a folyamatos távelérés és beavatkozás oltárán a kiberbiztonságot.

Ez egyáltalán nem extrém dolog – az OT infrastruktúrákban az üzembiztonság és a rendelkezésre állás igénye megelőz minden mást – azonban a digitalizációnak és az IT-OT konvergenciának köszönhetően megjelenő kiberbiztonsági problémák már pontosan ezt a két elvárást sértik: az OT még nem volt képes megérteni azt, hogy a kiberbiztonsági események üzembiztonsági eseményeket okozhatnak, azaz a kiberbiztonsági incidensek üzembiztonsági incidenseket válthatnak ki.

A VNC nem ördögtől való, azonban nem lenne szabad az internet felől közvetlenül elérhetővé tenni a VNC hozzáféréseket. Sok esetben a HMI - azaz az ember-gép kapcsolatért felelős visszajelző, kezelő, beavatkozó felületekbe gyárilag van VNC beépítve. El lehet képzelni, hogy egy 8-10 éves eszközbe épített - kiberbiztonsági szempontból elavult - VNC milyen beállítási lehetőségekkel és védelmi képességekkel rendelkezik...

A táveléréseket csak biztonságos csatorna – VPN – kialakítása után lenne szabad csak hozzáférhetővé tenni, vagy legalább az ilyen hozzáféréseket fix IP címhez kellene kötni (ez a minimum).