Co ujawnia sondaż na temat ataków na brytyjski przemysł produkcyjny

Nowy sondaż opisany przez The Guardian maluje niepokojący obraz brytyjskiej bazy przemysłowej: blisko jedna trzecia producentów została dotknięta cyberatakiem w ciągu ostatniego roku. Jeszcze bardziej niepokojące jest to, że tylko około połowa badanych firm ma formalny plan reagowania na wypadek ataku. Duże firmy opisywały bycie pod ciągłą groźbą, jednak wiele z nich nadal działa bez podstawowych schematów postępowania, które mogłyby ograniczyć szkody i przyspieszyć odbudowę.

Ta przepaść między narażeniem a gotowością jest tutaj kluczową kwestią. Czym innym jest przyznanie, że ataki są częste; czym innym jest faktyczne zbudowanie procesów, ról i technicznych zabezpieczeń potrzebnych do szybkiej reakcji. Producenci, którzy nie mają planu reagowania, de facto decydują o tym, jak zareagować na naruszenie w środku kryzysu, czyli dokładnie wtedy, gdy błędy kosztują najwięcej.

Dlaczego producenci są głównymi celami hakerów

Ryzyko cyberataków na brytyjskich producentów nie rośnie przez przypadek. Fabryki i firmy przemysłowe znajdują się w niewygodnym punkcie przecięcia: posiadają cenną własność intelektualną, zarządzają złożonymi łańcuchami dostaw z dziesiątkami zewnętrznych dostawców i coraz częściej polegają na połączonej technologii operacyjnej, która pierwotnie nie była projektowana z myślą o cyberbezpieczeństwie. Starsze przemysłowe systemy sterowania, przestarzałe oprogramowanie i mozaika narzędzi zdalnego dostępu używanych przez kontrahentów i inżynierów – wszystko to poszerza powierzchnię ataku.

Producenci są również atrakcyjnymi celami, ponieważ zakłócenia mają natychmiastowe, widoczne konsekwencje. Atak ransomware, który zatrzymuje linię produkcyjną, nie tylko kosztuje pieniądze w postaci okupu; wstrzymuje wysyłki, zrywa umowy dostaw i może wywołać efekt domina w każdej firmie znajdującej się niżej w łańcuchu dostaw. Ta dźwignia sprawia, że producenci są bardziej narażeni na presję szybkiej zapłaty, co z kolei czyni ich atrakcyjniejszymi celami w pierwszej kolejności.

Atakujący stali się również lepsi w omijaniu zabezpieczeń, które firmy uważają za skuteczne. Atak ransomware D1R na ARM jest tutaj użytecznym studium przypadku: grupa, która przyznała się do odpowiedzialności, zdołała skompromitować dużą brytyjską firmę technologiczną pomimo obecności uwierzytelniania dwuskładnikowego – zabezpieczenia, które wiele firm uważa za wystarczające samo w sobie. Ten incydent przypomina, że żadne pojedyncze zabezpieczenie, niezależnie od tego, jak standardowe, nie gwarantuje ochrony. Zabezpieczenia warstwowe mają większe znaczenie niż pojedynczy odhaczony punkt.

Zmniejszanie luki: VPN, kontrola dostępu i podstawy reagowania na incydenty

Znaczna część narażenia opisanego w sondażu ma swoje źródło w sposobie zarządzania zdalnym dostępem i sieciami wewnętrznymi. Producenci często pozwalają inżynierom, kontrahentom i zewnętrznym zespołom serwisowym łączyć się z systemami wewnętrznymi spoza budynku, czasami używając narzędzi klasy konsumenckiej lub przestarzałego oprogramowania do zdalnego dostępu, które nie było sprawdzane od lat.

Prawidłowo skonfigurowany VPN, w połączeniu ze ścisłą kontrolą dostępu, jest jednym z najprostszych sposobów na zmniejszenie tego ryzyka. Sieci VPN szyfrują ruch między użytkownikami zdalnymi a systemami wewnętrznymi, znacznie utrudniając atakującym przechwycenie danych uwierzytelniających lub danych sesji na wejściu. Ale sam VPN nie jest srebrną kulą, jak pokazuje przypadek ARM. Musi współistnieć z silnym uwierzytelnianiem, segmentacją sieci, która ogranicza, jak daleko atakujący może się przemieścić, jeśli już się dostanie, oraz regularnymi audytami tego, kto faktycznie ma dostęp do czego.

Dla producentów wciąż polegających na płaskich sieciach, gdzie jedno skompromitowane konto może jednocześnie uzyskać dostęp do systemów produkcyjnych, oprogramowania finansowego i danych klientów, segmentacja powinna być traktowana priorytetowo, a nie jako miły dodatek. W połączeniu ze zdalnym dostępem zabezpieczonym VPN, są to obecnie podstawowe środki higieny, a nie zaawansowane zabezpieczenia zarezerwowane dla dużych przedsiębiorstw.

Budowanie planu reagowania, zanim będzie potrzebny

Najbardziej praktyczny wniosek płynący z sondażu jest prawdopodobnie najprostszy: tylko połowa producentów ma plan reagowania na incydenty. Oznacza to, że druga połowa improwizowałaby podczas rzeczywistego naruszenia, decydując w czasie rzeczywistym, do kogo zadzwonić, które systemy odizolować i jak komunikować się z klientami i organami regulacyjnymi.

Podstawowy plan reagowania nie musi być skomplikowany. Powinien określać, kto jest odpowiedzialny za podejmowanie decyzji podczas incydentu, wymieniać techniczne kroki izolacji dotkniętych systemów i zawierać plan komunikacji dla pracowników, klientów oraz, w stosownych przypadkach, organów regulacyjnych. Okresowe testowanie tego planu, choćby poprzez proste ćwiczenia warsztatowe, ma takie samo znaczenie jak jego spisanie.

Co to oznacza dla Ciebie

Jeśli pracujesz w przemyśle produkcyjnym lub prowadzisz firmę zależną od partnerów produkcyjnych, ten sondaż jest sygnałem, by sprawdzić własne narażenie, zamiast zakładać, że to czyjś problem. Zapytaj, czy zdalny dostęp do twoich systemów jest zabezpieczony przez VPN i silne uwierzytelnianie, czy twoja sieć jest posegmentowana tak, by pojedyncze naruszenie nie mogło rozprzestrzenić się wszędzie, i czy istnieje faktyczny, spisany plan na wypadek, gdyby atakujący dostał się do środka. Ryzyko cyberataków na brytyjskich producentów opisane w tym sondażu nie jest abstrakcyjne; jest odzwierciedleniem luk, które istnieją w zwykłych, codziennych decyzjach IT.

Kluczowe wnioski

  • Blisko jedna trzecia brytyjskich producentów została zaatakowana w ciągu ostatniego roku, jednak tylko połowa ma plan reagowania.
  • Producenci są atrakcyjnymi celami ze względu na cenną własność intelektualną, złożone łańcuchy dostaw i przestarzałe technologie operacyjne.
  • Standardowe zabezpieczenia, takie jak uwierzytelnianie dwuskładnikowe, mogą zostać ominięte, co pokazało naruszenie w ARM, dlatego zabezpieczenia warstwowe mają znaczenie.
  • Zdalny dostęp zabezpieczony VPN i segmentacja sieci to podstawowe zabezpieczenia, a nie opcjonalne dodatki.
  • Spisany, przetestowany plan reagowania na incydenty powinien być priorytetem dla każdego producenta, który jeszcze go nie posiada.