Kyberturvallisuus teollisuudessa: uhat ja varotoimet

Riskit ovat suurimmillaan teollisuusympäristöissä, joissa saatat työskennellä kriittisen infrastruktuurin parissa. Haitallisille toimijoille nämä järjestelmät ovat kuin valtavia maalitauluja.

Tässä blogikirjoituksessa tiivistän erilaisia näkökulmia ja haasteita, joita kohtaamme niin yhteiskuntana kuin vastuullisissa teknologia-alan tehtävissä toimivina ammattilaisina. En aio kaunistella tilannetta: synkän kuvan maalaaminen on helppoa. Lopuksi esitän kuitenkin toimia, joilla organisaatiot voivat suojata kriittistä infrastruktuuriaan.

Aloitetaan kuitenkin alusta ja käydään lyhyesti läpi, mitä teollisuuden ohjausjärjestelmiin kuuluu:

3 teollisuuden ohjausjärjestelmiin liittyvää käsitettä

Teollisuuden ohjausjärjestelmien kyberturvallisuudesta ei voi puhua käsittelemättä ensin näitä käsitteitä.

Esineiden internet (IoT)

Tämä on meille kaikille tuttu. Älylaitteet, jotka yhdistyvät verkkoon lähettääkseen tai vastaanottaakseen tietoa ilman, että ne ovat perinteisiä tietokoneita. Televisiot, jääkaapit, kamerat, sensorit…

Näissä laitteissa on usein tietoturvaongelmia. Tyypillisiä esimerkkejä ovat komentoinjektio, heikko tunnistautuminen ja salauksen puute.

Operatiivinen teknologia (OT)

Tällä tarkoitetaan laitteistoa ja ohjelmistoa, jotka saavat aikaan muutoksia teollisten kohteiden suoralla valvonnalla ja/tai ohjauksella. Näitä ovat esimerkiksi:

• ohjelmoitavat logiikkaohjaimet

• valvonta- ja tiedonkeruujärjestelmät (SCADA)

• hajautetut ohjausjärjestelmät

ohjelmoitavat logiikkaohjaimet

valvonta- ja tiedonkeruujärjestelmät (SCADA)

hajautetut ohjausjärjestelmät

Näitä kaikkia käytetään laajasti tehtaiden ohjauslinjoilla ja kriittisessä infrastruktuurissa, kuten jalostamoissa, voimalaitoksissa ja vedenhallintajärjestelmissä. Niistä käytetään joskus nimitystä ”IT ilman kokolattiamattoja”.

Teollinen esineiden internet (IIoT)

Älylaitteet yleistyvät kodeissa ja toimistoissa, mutta ne löytävät tiensä myös teollisuus- ja infrastruktuuriympäristöihin.

Älytehtaiden sensorit ja älylaivojen edge-järjestelmät ovat hyviä esimerkkejä IIoT:stä. Osa Eficoden asiakkaista työskentelee tällaisten ratkaisujen parissa.

IIoT voidaan nähdä OT:n ja IoT:n kohtaamispisteenä: kriittisten järjestelmien käyttöön suunniteltu operatiivinen teknologia yhdistyy etävalvontaan ja -ohjaukseen tarvittavaan verkkoyhteyteen.

Tarkastellaan seuraavaksi näihin käsitteisiin liittyviä nykyisiä kyberturvallisuushaasteita.

Haaste 1: Vanhat järjestelmät törmäävät uusiin

Harvoilla liiketoiminta-alueilla kehityksen, käyttöönottojen ja työkalujen aikajänne on yhtä pitkä kuin kriittisessä infrastruktuurissa.

Esimerkiksi Helsinkiin rakennettiin Suomen ensimmäinen sähköverkko vuonna 1871. Vaikka sitä on varmasti päivitetty merkittävästi sittemmin, käytössä on todennäköisesti paljon yli 20 vuotta vanhaa ohjelmistoa, joka toimii vähintään 30 vuotta vanhalla laitteistolla.

Jos työskentelet energia-alalla, olet hankalassa tilanteessa: sinun on yhdistettävä ja suojattava järjestelmiä, joita ei alun perin koskaan suunniteltu verkotettaviksi.

Kun legacy-järjestelmät yhdistyvät moderneihin järjestelmiin ja IoT törmää nopeasti OT:hen, kriittisen infrastruktuurin teknologiakenttää muuttaa omalaatuinen, Frankensteinia muistuttava siirtymä IIoT:hen.

Haaste 2: Hidas sopeutuminen muutokseen

Kriittisen infrastruktuurin toimialoilla, kuten energia-, terveydenhuolto-, rahoitus- ja lainvalvontasektoreilla, teknologinen muutos etenee yhtä nopeasti kuin muuallakin yhteiskunnassa.

Kun IoT leviää koteihimme – Yhdysvalloissa sen käyttöaste on lähes 42 % – IIoT ottaa paikkansa kriittisen infrastruktuurin maailmassa.

Euroopan komissiossa energia-alan tietoturvatyötä johtavan tohtori Stephan Lechnerin mukaan kyberturvallisuus toimii kuin juoksumaton turvakaiteet. Vauhdin kasvaessa kyberturvallisuus pitää meidät oikealla tiellä. Energia-ala selvittää yhä, miten todelliset hyökkäykset tunnistetaan kattavasti ja miten niihin reagoidaan.

Tämä johtuu siitä, että kriittisen infrastruktuurin toimialat ovat perinteisesti suhtautuneet muutokseen varauksella. Ne ovat sopeutuneet hitaasti niitä tukevaa teknologiaa koskeviin edistysaskeliin, mikä on johtanut nyt näkyväksi muuttuvaan kyberturvallisuusvajeeseen.

Karun tosiasia on, että kriittinen infrastruktuuri, kuten terveydenhuolto ja energia-ala, on haavoittuvaa ja siihen on jo kohdistunut hyökkäyksiä:

• WannaCry-kiristyshaittaohjelman hyökkäys Yhdistyneen kuningaskunnan sairaaloihin

• Ukrainan miehitystä edeltäneet infrastruktuuriin kohdistuneet kyberhyökkäykset

WannaCry-kiristyshaittaohjelman hyökkäys Yhdistyneen kuningaskunnan sairaaloihin

Ukrainan miehitystä edeltäneet infrastruktuuriin kohdistuneet kyberhyökkäykset

Kun yhä useammat näistä kriittisistä järjestelmistä siirtyvät verkkoon, hyökkäyspinta-ala vain kasvaa.

Lyhyesti: kriittiseen infrastruktuuriin on hyökätty. Se on jatkossakin kohteena. Ja jossain vaiheessa siihen myös murtaudutaan.

Haaste 3: Kokemusta puuttuu

Kokemusta ei yksinkertaisesti voi korvata millään. Sotapelit, teoreettiset hyökkäysmallit ja skenaariot eivät vedä vertoja todelliselle hyökkäykselle.

Tämä käy masentavan selvästi ilmi Venäjän hyökättyä Ukrainaan. Jos haluat tietää, kuka torjuu Venäjän kyberaggressiota parhaiten, katso Ukrainaa. Toisin kuin muut maat, Ukraina ei järjestä simulaatioita eikä luo skenaarioita, vaan kohtaa tällaisten hyökkäysten todellisuuden päivittäin.

IoT- ja teollisuuden ohjausjärjestelmien osaamis- ja kokemuskuilun kurominen umpeen on ratkaisevaa, jotta hyökkääjien kehityksen edellä voidaan pysyä tulevina vuosina.

Emme ole vielä saavuttaneet käännekohtaa, jossa kyberaggressio olisi tavallisia hyökkäyksiä yleisempi tapa lamauttaa kriittistä infrastruktuuria. Kasvuvauhdin perusteella se kuitenkin tapahtuu nopeammin kuin odotamme.

Miten IIoT-uhat lisääntyvät

IoT-laitteet kiinnostavat hakkereita yhä enemmän kahdesta pääsyystä:

IoT-laitteita on kaikkialla

Niitä on yhä enemmän kodeissa, työpaikoilla, älyjääkaapeissa, älytelevisioissa, älykodeissa ja älytehtaissa… Niiden ulottuvuus kasvaa vuosi vuodelta, ja IoT-laitteiden käyttöönotot ovat jo alkaneet ylittää muiden kuin IoT-laitteiden käyttöönotot. Odotamme tämän trendin vahvistuvan tulevina vuosina.

IoT-laitteista tulee tehokkaampia

IoT-laitteet olivat aiemmin pieniä ja melko tehottomia. Niissä oli vain vähimmäisresurssit, pienet prosessorit ja vähän tallennustilaa.

Mutta nykyään tämä ei enää pidä paikkaansa. 

On olemassa esimerkiksi Jetson TX2:n kaltaisia laitteita. TX2 on suunniteltu tuomaan tekoälysovellukset reunaympäristöihin, ja siinä on 256-ytiminen NVIDIA Pascal -arkkitehtuuri sekä 8 Gt muistia. Siksi se soveltuu esimerkiksi kryptovaluuttojen louhintaan. Vaikka viimeaikaiset kryptovaluuttojen romahdukset ovatkin saattaneet hetkellisesti lieventää ongelmaa, laskentateholle on muitakin käyttötarkoituksia.

IoT-laitteet yleistyvät jatkuvasti erityisesti yhdellä kriittisellä toimialalla:

Terveydenhuollossa. Terveydenhuolto investoi voimakkaasti IoT-ratkaisuihin: 86 % terveydenhuollon organisaatioista käyttää jonkinlaisia IoT-pohjaisia diagnostiikkatyökaluja. Vuonna 2021 uhkia havaittiin potilastietojärjestelmissä, defibrillaattorien hallintajärjestelmissä ja tekoälypohjaisissa diagnostiikkajärjestelmissä.

Tämä on yksi tärkeimmistä alueista, joilla kyberturvallisuusuhat voivat vaikuttaa ihmishenkiin.

Näin suojaudut kyberhyökkäyksiltä teollisuusympäristössä

Jos toimit teollisuuden ohjausjärjestelmien parissa ja haluat arvioida kyberturvallisuutesi tasoa, kysy itseltäsi seuraavat kolme kysymystä.

Miten hoidat salauksen?

Huomattava osa IIoT-ympäristöissä tallennettavasta ja siirrettävästä datasta on salaamatonta. Oletko miettinyt, miten hallitset datan tallennuksen? 

• Onko data salattu? Jos on, käytetäänkö vahvaa salausta ja noudatetaanko parhaita käytäntöjä?

• Entä tiedonsiirto? Käytätkö TLS:ää tai muuta salausta, kun data liikkuu?

Onko data salattu? Jos on, käytetäänkö vahvaa salausta ja noudatetaanko parhaita käytäntöjä?

Entä tiedonsiirto? Käytätkö TLS:ää tai muuta salausta, kun data liikkuu?

Miten monitoroit hajautettuja IIoT-laitteitasi?

Yksi IIoT:n suurimmista heikkouksista on laitteiden fyysinen hajautuminen. Laitteita ei voida suojata perinteiseen tapaan lukittuun palvelinkaappiin. Ne on usein sijoitettava helposti saavutettaville alueille.

Kysy itseltäsi: 

• Miten monitoroit itse laitteita? 

• Pystytkö tunnistamaan, jos laite lakkaa toimimasta tai jos sitä peukaloidaan fyysisesti? 

• Tiedätkö, mitä prosesseja laitteessasi on käynnissä? 

• Pystytkö tunnistamaan haitallisen prosessin, joka liittää IIoT-laitteesi bottiverkkoon?

Miten monitoroit itse laitteita? 

Pystytkö tunnistamaan, jos laite lakkaa toimimasta tai jos sitä peukaloidaan fyysisesti? 

Tiedätkö, mitä prosesseja laitteessasi on käynnissä? 

Pystytkö tunnistamaan haitallisen prosessin, joka liittää IIoT-laitteesi bottiverkkoon?

Kuinka hyvin tunnet verkkosi?

IIoT kärsii perinteisen infrastruktuurin puutteesta monella tavalla. Tavalliset laitteet, kuten palvelimet, yhdistetään verkkoihin tietyillä tavoilla, tietyillä kaapeloinneilla suojattuihin laitteisiin, kaikki lukittujen ovien takana.

IIoT-laitteet voivat sijaita hajallaan paikoissa, joihin perinteistä kaapelointia voi olla vaikea vetää, joten langaton yhteys on päivän sana. Tämä kuitenkin laajentaa hyökkäyspintaa monella tavalla. Siksi:

• Miten verkkonne käyttöä on rajoitettu?

• Käytättekö fyysisiin MAC-osoitteisiin perustuvaa sallittujen laitteiden listausta?

• Onko verkko, johon IoT-laitteenne yhdistyvät, tarkoitettu nimenomaan tähän käyttöön, vai yhdistyvätkö ne yleiskäyttöisiin tukiasemiin?

• Tunnistautuvatko käyttäjät salasanalla vai jonkinlaisella varmenteeseen perustuvalla tunnistautumisella?

• Valvotteko tähän verkkoon yhdistettyjä aktiivisia laitteita?

• Voitteko poistaa tuntemattomat ja luvattomat laitteet?

Miten verkkonne käyttöä on rajoitettu?

Käytättekö fyysisiin MAC-osoitteisiin perustuvaa sallittujen laitteiden listausta?

Onko verkko, johon IoT-laitteenne yhdistyvät, tarkoitettu nimenomaan tähän käyttöön, vai yhdistyvätkö ne yleiskäyttöisiin tukiasemiin?

Tunnistautuvatko käyttäjät salasanalla vai jonkinlaisella varmenteeseen perustuvalla tunnistautumisella?

Valvotteko tähän verkkoon yhdistettyjä aktiivisia laitteita?

Voitteko poistaa tuntemattomat ja luvattomat laitteet?

Yhteenveto

IIoT:n kyberturvallisuus on vasta alkutekijöissään. Kuluttaja- ja teollisuuden IoT-laitteissa on usein yksinkertaisia hyökkäysvektoreita, jotka olisivat esteenä vakiintuneemmissa, perinteisissä järjestelmissä.

Kun IIoT laajenee kriittisen teollisuuden alueille, kuten terveydenhuoltoon tai sähköverkkojen ohjausjärjestelmiin, toimittajat, jotka eivät sisällytä kyberturvallisuutta keskeisiin periaatteisiinsa, voivat myöhemmin huomata jäävänsä jälkeen.

Mikä olisikaan parempi tapa päättää tämä kuin seuraava Institute for the Futuren Richard Adlerin lainaus: ”Jatkuvista tietoturvaongelmista huolimatta IoT leviää, ja ihmiset tulevat yhä riippuvaisemmiksi siitä. Tietomurtojen kustannuksiin suhtaudutaan kuten auto-onnettomuuksien aiheuttamiin menetyksiin, jotka eivät ole saaneet kovinkaan monia ihmisiä luopumaan ajamisesta.”