ICS-Sniper zakłóca sterowanie wodociągami bez łamania szyfrowania

Badacze z University of British Columbia pokazali w testach laboratoryjnych, jak ICS-Sniper może zakłócać sterowanie instalacją uzdatniania wody. Metoda wykorzystuje wzorce zaszyfrowanej komunikacji.

.Szyfrowanie ukrywa treść przesyłanych poleceń, ale nie musi zasłaniać rozmiarów wiadomości ani momentów ich wysyłania. Zespół z kanadyjskiej uczelni wykazał, że takie informacje mogą wystarczyć do rozpoznania chwil szczególnie ważnych dla działania instalacji przemysłowej.

Opisany scenariusz dotyczy obiektów korzystających z systemów nadzoru i sterowania umieszczonych w chmurze. Napastnik musi najpierw przejąć router na trasie między zakładem a usługą chmurową. Dopiero taka pozycja pozwala obserwować ruch i blokować wybrane wiadomości.

Badanie wskazuje więc dodatkowy problem w ochronie infrastruktury krytycznej przed cyberatakami: poufność przesyłanych danych nie gwarantuje, że dotrą one na czas.

Wystarczy zakłócić komunikację w odpowiedniej chwili

.Przemysłowe systemy sterowania koordynują pracę pomp, zaworów i innych urządzeń. Poszczególne etapy procesu muszą wymieniać informacje w określonym czasie, aby zachować właściwą kolejność działań.

ICS-Sniper analizuje rozmiary i rytm przesyłania zaszyfrowanych pakietów. Na tej podstawie przewiduje, kiedy mogą pojawić się komunikaty istotne dla zmiany stanu urządzeń. Następnie selektywnie blokuje część ruchu.

Do przeprowadzenia takiego ataku nie trzeba odczytywać poleceń ani włamywać się do wewnętrznej sieci zakładu. Zakłócenie wynika z niedostarczenia wiadomości potrzebnych do skoordynowania procesu. Metoda różni się tym od ataków polegających na przeciążeniu łącza ogromną liczbą żądań.

Opóźnione pompowanie i zbyt długo otwarty zawór

.Zespół sprawdził metodę na dwóch stanowiskach laboratoryjnych odwzorowujących instalację uzdatniania wody SWaT. Jedno korzystało ze sterowników programowych, drugie z rzeczywistych sterowników przemysłowych. W obu przypadkach procesy fizyczne były symulowane.

W jednym ze scenariuszy rozpoczęcie pompowania oczyszczonej wody opóźniło się o około 15 minut. W innym symulowany zawór pozostawał otwarty ponad dziewięć minut dłużej, niż powinien. W rzeczywistym obiekcie podobna sytuacja mogłaby prowadzić do utraty uzdatnionej wody.

Wyniki nie opisują ataku na działające wodociągi. Nie dowodzą również, że metoda pozostaje niewidoczna dla wszystkich zabezpieczeń. Badacze wykazali ograniczenia konkretnych mechanizmów wykrywania wykorzystanych w eksperymentach.

Analizę wzorców komunikacji sprawdzano także na danych dotyczących energetyki. Zakłócenia działania zademonstrowano jednak w modelach instalacji wodnej.

Ochrona musi obejmować ciągłość działania

.Autorzy rozważają utrudnianie analizy ruchu przez zmiany rozmiarów wiadomości i czasu ich wysyłania. Takie rozwiązania muszą zachować wymagania czasowe urządzeń. Kolejnym kierunkiem jest zwiększanie odporności sterowania na przerwy w komunikacji, między innymi przez zapewnienie alternatywnych tras przesyłania danych.

Dla cyberbezpieczeństwa podstawowych usług znaczenie ma zatem zarówno ochrona treści informacji, jak i zdolność instalacji do bezpiecznej pracy podczas zakłóceń sieciowych.

Szymon Ślubowski