Обратный отсчет времени до Форума по кибербезопасности в Абу-Даби

Защита критически важных объектов национальной инфраструктуры уже давно вызывает серьезную озабоченность у правительств стран этого региона, но всеобъемлющий подход означает, что достижение этой цели больше не ограничивается физической безопасностью. Широкое использование взаимосвязанных сетей и систем управления в национальных секторах нефти, газа, энергетики, водоснабжения и электроснабжения означает, что в настоящее время существует реальная и растущая потребность в укреплении кибербезопасности, о чем свидетельствует постоянно увеличивающееся число международных атак.

Действительно, страны ССАГПЗ, являясь регионом, обеспечивающим большую часть мировой энергетики, рассматривают киберзащиту как одно из приоритетных направлений своего развития. Саудовская Аравия планирует потратить 3,3 млрд долларов на обеспечение безопасности нефтегазовой инфраструктуры, а Катар, Оман, Кувейт и ОАЭ собираются последовать этому примеру в ближайшие годы.

Угроза кибербезопасности для энергетических объектов удивительно широко распространена: она распространяется на коммунальные и распределительные сети, генерацию, переработку и даже бурение и разведку. Большинство специалистов по безопасности сейчас говорят, что если вы считаете, что ваша безопасность не нарушена, то вы просто не обнаружили этого, — говорит профессор Пол Дори, директор CSO Confidential.

Везде, где есть цифровые технологии, существует потенциал киберугроз. Что может меняться в разных отраслях промышленности, так это характер мотивации атаки. У базовых коммунальных предприятий меньше информации, представляющей коммерческую ценность, которую можно украсть, чем у геологоразведочных компаний, претендующих на активы, однако и те, и другие способны вызвать широкомасштабные нарушения, если их деятельность будет остановлена или нарушена в результате атаки на критически важные киберсистемы, такие как промышленные системы управления, — добавляет Дорей.

Правительствам и крупным корпорациям по всему миру следует опасаться растущей киберугрозы, особенно в 2012 году, считают эксперты Лаборатории Касперского. Не только резко возрастет число целевых атак на государственные учреждения и крупные компании, но и, вероятно, более широкий круг организаций примет на себя удар ожидаемого натиска.

В настоящее время большинство инцидентов затрагивает компании и государственные организации, занимающиеся производством оружия, финансовыми операциями, высокотехнологичной и научно-исследовательской деятельностью. В 2012 году под ударом окажутся компании, работающие в сфере добычи природных ресурсов, энергетики и транспорта, а также компании, занимающиеся информационной безопасностью, — предупреждает Александр Гостев, руководитель группы глобальных исследований и анализа Лаборатории Касперского. Атаки охватят большую часть мира, чем когда-либо прежде, выйдя за пределы Западной Европы и США и затронув Восточную Европу, Ближний Восток и Юго-Восточную Азию.

Сообщается, что в 2011 году на Ближнем Востоке более чем на 40 процентов увеличилось количество компьютеров, зараженных вредоносными программами. Угрозу таких вирусов подчеркнуло обнаружение в 2010 году самой изощренной на сегодняшний день кибератаки — Stuxnet. Это был злобный компьютерный червь с высокоспециализированным вредоносным ПО, предназначенным для поражения определенных систем диспетчерского контроля и сбора данных (SCADA) и нарушения их операционной деятельности, причем операторы не должны были знать о таких изменениях.

Сети SCADA широко используются во всех промышленных секторах и обеспечивают предоставление основных услуг и товаров очень эффективным образом, — объясняет д-р Ник Коулз, основатель и организатор Международного форума по обсуждению кибербезопасности энергетического и коммунального секторов на Ближнем Востоке.

Однако изначально они были разработаны для обеспечения максимальной функциональности, при этом безопасности уделялось мало внимания. Поэтому производительность, надежность и безопасность этих очень сложных и взаимосвязанных систем неизменно высоки, но безопасность слаба, что делает их уязвимыми для нарушения обслуживания, перенаправления процессов или манипулирования оперативными данными, что может привести к проблемам общественной безопасности и даже гибели людей, — добавляет Коулз.
Потребность руководства в информации и удаленном контроле в современном энергетическом бизнесе привела к принятию общих сетевых протоколов и подключению многих из этих SCADA и промышленных систем управления (ICS) к корпоративной сети.

Хотя эти изменения привели к преимуществам для бизнеса, они также означают, что безопасность систем управления в еще большей степени подвержена тем же киберугрозам, с которыми сталкиваются корпоративные сети.

Червь Stuxnet продемонстрировал, что он может нанести реальный ущерб общественной безопасности, экономике и окружающей среде. С другой стороны, Stuxnet привлек внимание к повышенным требованиям кибербезопасности для систем ИКС.

В результате атаки Stuxnet, которая оказала глубокое влияние на кибербезопасность, страны опубликовали национальные киберстратегии и программы, чтобы регулировать и уточнять риски и угрозы безопасности. Примером межправительственного сотрудничества являются недавние совместные учения США и ЕС по кибербезопасности, направленные на защиту от потенциальных атак.

Киберугрозы отнюдь не ограничиваются проблемой Stuxnet. Вирус Night Dragon привлек внимание к способности таких вирусов похищать очень чувствительную конкурентную информацию, особенно у нефтегазовых компаний. В настоящее время на смену им приходит новый тип цифровой инфекции — Advanced Persistent Threat (APT). Эти вирусы могут загружаться и распространяться в IT/ICS-системах без какого-либо немедленного заметного воздействия и собирать разведывательные данные в течение длительного периода времени без обнаружения.

Атаки Night Dragon осуществляются путем методичного и постепенного проникновения в целевую инфраструктуру. Используя несколько точек в Китае, злоумышленники Night Dragon использовали командные и контрольные серверы на купленных хостингах в США и взломанные серверы в Нидерландах для атак на мировые нефтяные, газовые и нефтехимические компании, а также на отдельных лиц и руководителей в Казахстане, Тайване, Греции и США с целью получения служебной и очень конфиденциальной информации.

В качестве основных оперативных методов злоумышленники использовали различные хакерские инструменты, в том числе разработанные и настроенные в частном порядке RAT, которые предоставляли злоумышленникам все возможности удаленного администрирования. RAT выполняют функции, аналогичные Citrix или Microsoft Windows Terminal Services, позволяя удаленному пользователю полностью контролировать пораженную систему.

Совсем недавно на Ближнем Востоке появился еще один новый вирус, Duqu, который потенциально отличается от своих предшественников тем, что собирает разведывательные данные, такие как проектная документация и активы систем ICS, например, для планирования будущей кибератаки.

Если Stuxnet стал тревожным сигналом для промышленности, то Duqu — еще одно доказательство серьезности атак. Таким образом, можно констатировать экспоненциальный рост кибератак со стороны все более сложных вредоносных программ, и для борьбы с такими угрозами необходимы надежные, но простые в применении технологии кибербезопасности, постоянное, последовательное и обновленное обучение в этой области, расширение государственно-частного партнерства и продуманные стандарты кибербезопасности, которым промышленность может легко следовать, чтобы действительно защитить промышленные предприятия и активы.

Масштаб мотивации, которая может стоять за кибератакой на энергетическую инфраструктуру страны, очень широк. На первом месте в сознании людей, конечно же, другие национальные государства, преступники, террористы, хакеры и даже недовольные сотрудники, — объясняет Джастин Лоу, эксперт по интеллектуальной энергетике из PA Consulting Group.

Это затрудняет защиту от кибератак, поскольку злоумышленник может находиться в любой точке мира и даже быть сотрудником организации, на которую оказывается воздействие, — добавляет он.

Несмотря на огромное разнообразие происхождения агрессоров, Эрик Байрес, технический директор и вице-президент по проектированию компании Tofino Security, Belden Inc и главный мировой авторитет в области безопасности ИКС, говорит, что зачастую реальные опасности упускаются из виду. Люди склонны фокусироваться на террористах и хакерах, но в настоящее время преступные группы являются более вероятными агрессорами. Существует множество финансовых мотивов. Влияние на производство конкурента, короткие продажи акций компании, в которой произошел инцидент, связанный с производством, экологией или безопасностью, или вымогательство денег под угрозой срыва — все это потенциально выгодные действия для преступной группы.

Эти же мотивы могут быть привлекательны для национальных государств или политических групп. Однако, в отличие от террористов или спонсируемых государством диверсий, которые, как правило, сопровождаются насилием и склонны к зрелищности, Дорей отмечает, что если злоумышленники не признаются в совершении атаки, жертвам приходится нелегко в судебной экспертизе, которая может вывести на невольного сообщника (например, чей-то компьютер, принадлежащий ботнету) в той же степени, что и на настоящего преступника.

Однако хорошая разведывательная работа говорит нам о том, что злоумышленники делятся на три группы по мотивам и возможностям: Государственные деятели — занимаются экономическим шпионажем, возможно, также проводят разведку на предмет возможности нарушения работы критически важной национальной инфраструктуры. Во-вторых, организованная преступность, которая обычно ищет возможности для мошенничества или кражи информации. И, наконец, иктивисты — отдельные лица или организации, часто протестующие против политической, экономической, социальной или экологической деятельности компаний и правительств. Сюда входят как высокосвязанные и способные злоумышленники, так и целый ряд технически неискушенных и неопытных атакующих, — говорит Дорей.

Как уже говорилось выше, подавляющее большинство систем управления не создавалось с учетом требований безопасности. Внедрение и распространение стандартизированных ИТ-систем и ИТ-сетей в промышленных системах управления сделало возможность кибератак еще более актуальной.

Как никогда остро стоит вопрос надежного и бесперебойного, предсказуемого энергоснабжения для государств Ближнего Востока и их потребителей. С учетом роста управления активами и производственных ожиданий важность внедрения интеллектуальных систем, способных обеспечить это, требует технологий, которые многие рассматривают как основную уязвимость для кибератак.

Это происходит в условиях, когда многие существующие запасы нефти и газа сокращаются или уже находятся в стадии сокращения, а новые запасы становится все труднее находить, разрабатывать и добывать. Эти изменения приводят к созданию более сложной, интегрированной энергетической инфраструктуры с большей зависимостью от информационных технологий, технологий эксплуатации и связи, — объясняет Лоу. В результате эта развивающаяся энергетическая инфраструктура становится более уязвимой для проблем кибербезопасности.

Повышение эффективности и увеличение объемов производства на объектах энергетики стимулирует более широкое внедрение цифровых технологий. Вместе с этими изменениями возникает дополнительная угроза кибернетических атак, поэтому необходимо понимать, какие данные E&P существуют, куда они должны поступать и где находятся риски безопасности, чтобы обеспечить безопасность внедрения DOF.
Одновременно с потребностью в более интегрированных ИТ резко возросли риски кибербезопасности. В настоящее время широко известны инциденты безопасности, затрагивающие нефтяные, газовые, электроэнергетические и водопроводные компании и инфраструктуры. За последние несколько лет изощренность этих атак возросла, и теперь всем энергетическим компаниям пора определить и оценить риски и способы их устранения, — добавляет он.

Уязвимые места в энергетическом бизнесе очень реальны, добавляет Байрес. Есть реальные слабости. Системы, развернутые в энергетическом секторе, никогда не создавались для обеспечения безопасности — они создавались для обеспечения безопасности, надежности и продуктивности. К сожалению, за последний год хакеры обнаружили это, и список известных уязвимостей продуктов увеличился, — предупреждает он.

Конечно, сбои в компьютерных системах могут происходить и происходят случайно, но ими следует управлять отдельно от стратегии кибербезопасности, подчеркивает Дорей.

Инцидент безопасности происходит в результате преднамеренного злого умысла, и для него необходимы механизмы защиты и обнаружения, призванные опередить преднамеренного противника — это не относится к ошибкам, и именно поэтому управление рисками безопасности не распространяется автоматически на проблемы безопасности.

Некоторые атаки безопасности (например, распространение вирусов) распространяются на системы, которые злоумышленник не собирался атаковать, и многие промышленные системы управления пострадали от такого рода побочного ущерба, а не были преднамеренно атакованы. Случайно или нет, но защита систем ICS от непреднамеренного распространения все равно имеет ключевое значение, — добавляет он.
Несмотря на огромное количество угроз, эксперты в основном согласны с подходом, необходимым для предотвращения катастрофы, будь то коммерческая, экологическая или иная.

Самое первое, с чего следует начать, — это провести анализ рисков, чтобы точно определить, что является наихудшим сценарием для конкретного плана или компании, — говорит Байрес. Затем компаниям необходимо разработать стратегии по снижению рисков, чтобы эти сценарии никогда не произошли. Например, в нефтегазовой промышленности интегрированная система безопасности (SIS) является последней линией обороны против крупной технологической аварии. К сожалению, эти системы часто защищены лишь слабо, если вообще защищены, поэтому их защита должна быть приоритетной.

В промышленных системах управления основными слабыми местами являются связи с другими деловыми, промышленными или инженерными системами и даже с Интернетом. Во многих случаях эти системы изначально не проектировались с учетом требований кибербезопасности, поэтому слабые места в системах контроля доступа и устойчивости коммуникаций можно легко найти и использовать. Ситуация усугубляется тем, что обновление или исправление этих систем для устранения известных слабых мест может быть логистически затруднено в производственных условиях.

Важно также понимать, что даже при изоляции систем все равно существуют риски — атаки все равно могут быть осуществлены отдельными лицами или путем намеренной установки или случайной передачи вредоносного кода в эти системы, — говорит Лоу.
Общепринятый подход к обеспечению безопасности заключается в защите соединений между системами, но зачастую сами системы остаются уязвимыми за этими защищенными соединениями. Уязвимость основных систем — это реальная проблема, поскольку очень сложно управлять текущей безопасностью этих систем, — добавляет он.

Ключевой областью, на которой следует сосредоточиться, являются новые проекты, в которых внедряются новые системы и технологии. Очень важно, чтобы риски кибербезопасности были выявлены и устранены в рамках этих проектов, так как установка системы безопасности позже будет дорогостоящей и менее эффективной, чем ее правильное обеспечение с самого начала.

В местной отрасли разведки и добычи есть понимание рисков и необходимости скоординированной стратегии безопасности, однако пересечение обязанностей между инженерами проектов и старшими менеджерами может привести к путанице в том, с чего лучше начать.

Дорей говорит, что самая большая проблема управления промышленными системами управления — это пропасть между знаниями в области безопасности, обычно имеющимися у ИТ-службы, и глубокими инженерными знаниями и знаниями в области промышленного управления, которыми обладают инженеры и технологические специалисты предприятия.

Некоторые решения в области ИТ-безопасности хорошо работают в среде ICS, а другие — катастрофичны. Приоритетным направлением должно стать обеспечение перекрестной подготовки команд, обладающих знаниями в области гибридной безопасности и ICS. Поставщики систем безопасности также должны значительно улучшить свое понимание и создавать промышленные решения по безопасности. Несколько ключевых поставщиков понимают требования, но большинство предлагают стандартные ИТ-решения, которые могут даже создать проблемы безопасности, а не решить их, — предупреждает он.

Проблемы безопасности весьма значительны, и не существует решения серебряной пули для кибербезопасности ни в корпоративной среде, ни в промышленной операционной среде.

Постоянно разрабатываются новые технологические решения, многие из которых очень полезны для обеспечения безопасности систем. Однако многие организации, естественно, фокусируются на технологиях как на основном методе борьбы с рисками безопасности. Лучшим средством защиты является понимание риска и создание культуры безопасности в организации для его устранения. В конечном итоге безопасность организаций зависит от людей, процессов и технологий, — объясняет Лоу.

Одна из самых эффективных мер защиты, в которую может инвестировать организация, — это готовность к обнаружению и реагированию на инциденты безопасности. Это может быть проще, чем разработка некоторых прагматичных процедур, и может быть более ценным, чем трата значительных средств на новейшие технологические решения в области безопасности, — добавляет он.

Кроме того, переход к беспроводным технологиям, который всегда вызывал у отрасли вопросы, связанные с безопасностью, на самом деле может способствовать переходу компаний, занимающихся разведкой и добычей, на более безопасную территорию.

Откровенно говоря, большинство беспроводных систем, которые я вижу, лучше проводных с точки зрения безопасности. Люди видят слово беспроводной и сразу же спрашивают себя: Что мне нужно сделать с безопасностью? При использовании проводных систем безопасность никогда не приходит им в голову, — утверждает Байрес.

Несмотря на то, что беспроводные сети могут создавать потенциальные риски для безопасности сетей и объектов, разработано множество безопасных беспроводных решений.

Компании, внедряющие беспроводные решения в промышленной среде, должны делать это только после тщательной оценки рисков и разрабатывать беспроводное решение с учетом выявленных рисков, — объясняет Лоу. Их следует регулярно пересматривать и принимать необходимые меры для поддержания уровня безопасности в условиях меняющегося ландшафта угроз и рисков.

Многие местные энергетические компании только начинают осознавать риски кибербезопасности. Однако это признание стимулирует стремление к решению, изучению и противодействию будущим угрозам.

Предстоящий Международный форум в Абу-Даби, посвященный вопросам кибербезопасности энергетического и коммунального секторов на Ближнем Востоке, является доказательством того, что игроки энергетического и коммунального секторов во всем регионе серьезно относятся к этой угрозе.

Участие ведущих специалистов в области кибербезопасности и их коллег из местных энергетических и коммунальных компаний означает, что лидеры местного бизнеса осознают необходимость быстрого, но планомерного внедрения системы кибербезопасности.

Энергетическая отрасль Ближнего Востока имеет огромное значение для реализации чаяний стран Персидского залива, а также для стабильности и общего благополучия мировой экономической системы. Угроза устраняется, но нефтегазовая отрасль и ее партнеры из коммунальных служб не могут оставаться в раздумьях. Действия, соответствующие благим намерениям, сейчас столь же важны, как и вызов.

Не пропустите:

Международный форум по кибербезопасности в Абу-Даби
.Когда: 21 — 24 мая 2012 года
Где: Hilton Abu Dhabi
.Сайт: www.csuae.org

На форуме будут рассмотрены потребности бизнеса в кибербезопасности, угрозы, с которыми сталкиваются ИТ и промышленные системы управления (ICS), и лучшие практики для повышения безопасности. Будет рассказано о надлежащем использовании стандартов, о том, как реагировать на инциденты кибербезопасности, о человеческих и проектных аспектах кибербезопасности. Форум включает в себя углубленный семинар по вопросам безопасности SCADA и ICS