Mit árul el a felmérés a brit gyártóipari támadásokról

A Guardian által ismertetett új felmérés aggasztó képet fest a brit ipari bázisról: a gyártók közel harmadát érte kibertámadás az elmúlt évben. Még aggasztóbb, hogy a válaszadó cégeknek csupán mintegy fele rendelkezik hivatalos tervvel arra vonatkozóan, hogyan reagáljon egy támadás esetén. A nagyvállalatok folyamatos fenyegetettségről számoltak be, mégis sokan még mindig azok nélkül az alapvető forgatókönyvek nélkül működnek, amelyek korlátozhatnák a károkat és felgyorsíthatnák a helyreállítást.

A kitettség és a felkészültség közötti szakadék itt a valódi történet. Egy dolog elismerni, hogy a támadások gyakoriak; más dolog ténylegesen kiépíteni azokat a folyamatokat, szerepeket és technikai védelmeket, amelyek a gyors reagáláshoz szükségesek. Azok a gyártók, amelyek nem rendelkeznek választervvel, gyakorlatilag egy válság kellős közepén döntenek arról, hogyan reagáljanak egy incidensre, ami éppen akkor vezet a legköltségesebb hibákhoz.

Miért elsődleges célpontok a gyártók a hackerek számára

A brit gyártók kibertámadási kockázata nem véletlenül növekszik. A gyárak és ipari vállalatok kényelmetlen metszéspontban helyezkednek el: értékes szellemi tulajdonnal rendelkeznek, összetett ellátási láncokat működtetnek tucatnyi harmadik fél beszállítóval, és egyre inkább olyan csatlakoztatott üzemviteli technológiákra támaszkodnak, amelyeket eredetileg nem kiberbiztonsági szempontok figyelembevételével terveztek. A régebbi ipari vezérlőrendszerek, az elavult szoftverek, valamint a vállalkozók és mérnökök által használt távoli hozzáférési eszközök foltozott egyvelege mind tágítják a támadási felületet.

A gyártók azért is vonzó célpontok, mert a fennakadásoknak azonnali, látható következményei vannak. Egy zsarolóvírus-támadás, amely leállít egy gyártósort, nemcsak a váltságdíj kifizetése miatt kerül pénzbe; leállítja a szállításokat, megszegi az ellátási szerződéseket, és továbbgyűrűzhet minden downstream vállalkozásra. Ez az erőfölény azt jelenti, hogy a gyártók nagyobb nyomás alatt állnak a gyors fizetésre, ami viszont eleve vonzóbb célpontokká teszi őket.

A támadók abban is jobbak lettek, hogy megkerüljék azokat a védelmeket, amelyekről a cégek feltételezik, hogy megvédik őket. A D1R zsarolóvírus-támadás az ARM ellen hasznos esettanulmányt kínál itt: a felelősséget vállaló csoportnak sikerült kompromittálnia egy jelentős brit technológiai vállalatot annak ellenére, hogy volt kétfaktoros hitelesítés, amelyet sok vállalkozás önmagában elegendő védelemnek tart. Ez az eset emlékeztet arra, hogy semmilyen egyedi védelem, bármennyire is szabványos, nem garantálja a védelmet. A többrétegű védelem fontosabb, mint bármelyik pipa a listán.

A szakadék megszüntetése: VPN-ek, hozzáférés-szabályozás és az incidenskezelés alapjai

A felmérésben leírt kitettség nagy része arra vezethető vissza, hogyan kezelik a távoli hozzáférést és a belső hálózatokat. A gyártóknál gyakran mérnökök, vállalkozók és harmadik fél karbantartó csapatok csatlakoznak belső rendszerekhez az épületen kívülről, néha fogyasztói minőségű eszközöket vagy olyan elavult távoli hozzáférési szoftvereket használva, amelyeket évek óta nem vizsgáltak felül.

A megfelelően konfigurált VPN, szigorú hozzáférés-szabályozással párosítva, az egyik legegyszerűbb módja ennek a kockázatnak a csökkentésére. A VPN-ek titkosítják a távoli felhasználók és a belső rendszerek közötti forgalmat, ami jóval nehezebbé teszi a támadók számára, hogy a bejelentkezés közben elfogják a hitelesítő adatokat vagy munkamenet-adatokat. De a VPN önmagában nem csodafegyver, amint azt az ARM esete is mutatja. Erős hitelesítéssel, hálózatszegmentációval – amely korlátozza, hogy egy betolakodó milyen messzire juthat –, valamint annak rendszeres ellenőrzésével kell együtt alkalmazni, hogy ki milyen hozzáféréssel rendelkezik.

Azok a gyártók, amelyek még mindig lapos hálózatokra támaszkodnak, ahol egyetlen kompromittált fiók egyszerre érheti el a termelési rendszereket, a pénzügyi szoftvereket és az ügyféladatokat, a szegmentációt ne szépészeti kérdésnek, hanem prioritásnak tekintsék. VPN-biztosította távoli hozzáféréssel kombinálva ezek ma már alapvető higiéniai intézkedések, nem pedig csak nagyvállalatoknak fenntartott, fejlett védelmek.

Választerv építése, mielőtt szükség lenne rá

A felmérés talán leghasználhatóbb megállapítása a legegyszerűbb: a gyártóknak csupán a fele rendelkezik incidenskezelési tervvel. Ez azt jelenti, hogy a másik fele egy valódi incidens során rögtönözni kényszerülne, valós időben eldöntve, kit hívjon fel, milyen rendszereket szigeteljen el, és hogyan kommunikáljon az ügyfelekkel és a szabályozókkal.

Egy alapvető választervnek nem kell bonyolultnak lennie. Meg kell határoznia, ki felelős a döntéshozatalért egy incidens során, fel kell sorolnia az érintett rendszerek elkülönítésének technikai lépéseit, és tartalmaznia kell egy kommunikációs tervet a munkatársak, az ügyfelek és – ahol releváns – a szabályozók felé. A terv időszakos tesztelése, akár egy egyszerű szimulációs gyakorlat keretében, ugyanolyan fontos, mint a leírása.

Mit jelent ez Önnek

Ha gyártásban dolgozik, vagy olyan vállalkozást vezet, amely gyártó partnerektől függ, ez a felmérés jelzés arra, hogy ellenőrizze saját kitettségét, ahelyett, hogy azt feltételezné, hogy ez valaki más problémája. Kérdezze meg, hogy a rendszerekbe való távoli hozzáférés biztosított-e VPN-nel és erős hitelesítéssel, hogy a hálózat szegmentált-e, így egyetlen incidens nem terjedhet szét mindenhová, és hogy létezik-e tényleges írásos terv arra az esetre, ha egy támadó bejut. A brit gyártók kibertámadási kockázata, amelyet ez a felmérés leír, nem elvont fogalom; a hétköznapi informatikai döntésekben meglévő hiányosságok tükröződése.

Főbb megállapítások

  • A brit gyártók közel harmadát érte támadás az elmúlt évben, mégis csak a felük rendelkezik választervvel.
  • A gyártók vonzó célpontok az értékes szellemi tulajdon, az összetett ellátási láncok és az elavult üzemviteli technológia miatt.
  • A szabványos védelmek, mint a kétfaktoros hitelesítés, megkerülhetők, amint azt az ARM elleni incidens is mutatta, ezért a többrétegű védelem számít.
  • A VPN-biztosította távoli hozzáférés és a hálózatszegmentáció alapvető védelmek, nem választható extrák.
  • Az írásos, tesztelt incidenskezelési tervnek prioritásnak kell lennie minden olyan gyártó számára, amelyik még nem rendelkezik vele.