07.02.2021 | Не тушите свет: как защитить АСУ ТП от атак с Industroyer и подобным ВПО | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Автор: Андрей Прошин, руководитель направления по развитию бизнеса услуг и сервисов SOC компании «Ростелеком-Солар». “В ночь с 17 на 18 декабря в нескольких районах Киева и прилегающих районах Киевской области произошло отключение электричества...” Так начинается большинство заметок про вызванную кибератакой аварию 2016 года на подстанции “Пивнична” (330 кВ) в украинском селе Новые Петровцы. Исследователи назвали вредоносное ПО, которое использовали хакеры, Industroyer или Crashoverride. Автоматика и оборудование, отвечающее за подачу электроэнергии, оказались недоступны, так как киберпреступники очистили на них всю конфигурацию, лишив операторов возможности управлять системой. К счастью, украинским коллегам, которые на тот момент находились непосредственно на объекте, удалось быстро восстановить работу подстанции за счет ручного управления. Изучив данные, опубликованные по этой атаке, можно сделать несколько важных выводов:
Как хакеры атакуют АСУ ТПАтаки на АСУ ТП отличаются от атак на ИТ-инфраструктуру, хотя и имеют схожие принципы. На данный момент широко используются две методологии для описания действий киберпреступников в промышленных сетях: Первая – Cyber Kill Chain, разработанная компанией Lockheed Martin в 2011 году. Изначально, согласно методологии, кибератака делилась на 7 стадий, но в 2015 года для сегмента АСУ ТП модель была дополнена еще 5 стадиями:
Такое деление позволяет провести анализ атаки, структурировать подход как к применению защитных мер, так и мер по обнаружению и реагированию на возникающие инциденты. Вторая – MITRE ATT&CK, которая уточняет модель Cyber Kill Chain и вводит понятия техник и тактик, используемых киберпреступниками на каждом этапе. Изначально компания Mitre выпустила 3 отдельные модели для разных типов систем: Enterprise (корпоративные сети), Mobile (мобильные технологии) и ICS (АСУ ТП). Но современные промышленные сети строятся с применением стандартных АРМ (автоматизированные рабочие места) инженеров/технологов/операторов и серверов, на которых работает специализированное ПО для управления промышленным оборудованием, контроллерами и сенсорами. Это подразумевает использование Microsoft Windows, Linux OC, SQL-серверов для организации Historian и других компонентов. Таким образом, в АСУ ТП и в корпоративных сегментах злоумышленники используют схожие техники и методы. Поэтому недавно Mitre объявила об объединении модели Enterprise (корпоративной сети) и ICS (АСУ ТП) в новую гибридную матрицу ATT&CK. Рис. 2. Методология MITRE Enterprise + АСУ ТП Далее мы будем использовать обе рассмотренные методологии для детального анализа Industroyer. Как реализована атака IndustroyerОсновные этапы Industroyer можно представить в виде следующей схемы (включая ссылки на техники и тактики, описанные в MITRE): Первичная компрометация заключалась в успешной атаке на ИТ-инфраструктуру компании и дальнейшее закрепление в ней. Скорее всего, первым шагом злоумышленников была целевая фишинговая почтовая рассылка на энергетические компании Украины в начале 2016 года. После этого они обнаружили сервер, который был подключен как к ИТ-, так и к ОТ-сети. Им оказался Data Historian сервер на базе Microsoft Windows Server с запущенным MS SQL-сервисом. Перечисленные шаги привели к следующим последствиями для АСУ ТП:
Действия злоумышленников увенчались успехом благодаря широким возможностям вредоноса Industroyer, который был разработан специально для этой атаки. Схематично его возможности можно представить следующим образом: Упрощенная схема Industroyer, отчет компании Eset
Используя новую гибридную модель MITRE для атак на АСУ ТП, Industroyer можно визуализировать следующим образом: 
Как противостоять IndustroyerКак видно из предыдущего описания, хоть атака и является компонентной, ее сложное исполнение дает специалистам службы ИБ время и возможность детектировать действия хакеров по косвенным признакам, аномалиям в работе сети, хостов и приложений и по сигналам, поступающим с различных средств защиты. Конечно, лучше не допускать проникновение злоумышленников в вашу корпоративную и промышленную сеть, максимально осложнив развитие атаки. Для этого необходимы следующие технические и организационные меры:
Кроме этого, важно своевременно обнаружить и оперативно среагировать на действия киберпреступников. Для этого потребуется SOC и необходимые для его работы системы (SIEM, TIP, EDP/EDR, NAD и другие), которые станут для ИБ-специалистов источниками ценных данных. SIEM при этом должна быть настроена на определение перечисленных последовательностей событий, а SOC подготовлен к детектированию, анализу и реагированию на эти события.
Атаки подобные Industroyer организованы профессиональными злоумышленниками с высокой квалификацией, которые ведут себя максимально незаметно и пытаются избежать детектирования имеющимися средствами ИБ. Для их обнаружения в инфраструктуре рекомендуем, помимо полноценного мониторинга ИТ-сети, подключать и анализировать события с большого количества источников в АСУ ТП, включая:
Это позволит обнаружить мельчайшие ошибки киберпреступников. Чем раньше SOC обнаружит их действия, тем быстрее сможет их нейтрализовать (удалить из сети) и тем меньше потенциальных потерь понесет компания в целом и АСУ ТП, в частности.
То есть SOC должен:
Все три пункта относятся к ИТ- и ОТ-сетям одновременно. Вопрос мониторинга в ИТ-сетях был описан уже не один раз, а вот на теме ОТ стоит остановиться чуть подробнее. Дополним таблицу с техниками, которые были использованы Industroyer, возможными сценариями детектирования и необходимыми источниками событий:
Помимо корректной настройки средств защиты и детектирования, также важна своевременная и квалифицированная реакция на атаку со стороны ИБ-специалиста. Одна из главных трудностей при борьбе с атаками подобными Industroyer заключается в том, что области IТ и ОТ имеют существенные различия. Аналитик должен знать как работают промышленные протоколы, из каких компонентов состоят системы, к чему могут привести те или иные действия злоумышленника, а также иметь общее преставление о технологических процессах в компании. В «Ростелеком-Солар», например, специалисты Solar JSOC проходят обучение на базе стендов, а также повышают свою квалификацию в рамках обмена знаниями и создания базы знаний. Кроме того, в подключении конкретной АСУ ТП к мониторингу всегда принимают участие наши специалисты по защите АСУ ТП, а с существующими заказчиками мы периодически организуем киберучения и Red Teaming.
ЗаключениеАтака Industroyer была нацелена на электроэнергетические компании, но схожие методы и техники злоумышленники могут применять в разных отраслях экономики. Комбинация функций детектирования/реагирования на кибератаки на базе SOC и правильное внедрение технически-организационных мер по защите инфраструктуры позволит значительно снизить вероятность успешного выполнения кибератаки. В частности, SOC должен одновременно видеть и ИТ-инфраструктуру, и производственные сети. Особенно важной задачей является обнаружение атаки на ранних стадиях Cyber Kill Chain, так как в момент уничтожения данных или отправки команд на ПЛК что-либо предпринимать будет уже поздно. Именно поэтому аналитикам SOC должны быть доступны события и логи как с разнообразного ИТ-оборудования/ПО, так и из промышленного сегмента, включая ПЛК, АРМ, прикладное ПО, серверы SCADA и Historian, контроллеры домена, сетевое оборудование, специализированные СЗИ. Мониторинг АСУ ТП имеет свою специфику, однако общие принципы схожи с детектированием атак в ИТ-инфраструктуре. Тем не менее для аналитиков SOC необходимо проводить обучение для понимания общих принципов работы промышленных систем и особенностей применения в них протоколов и технологий.
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Проверить безопасность сайта
