Γράφει η Μαρίσια Στουραϊτη, κοινωνιολόγος και ψυχολόγος
Φαντάσου ένα εργοστάσιο στο οποίο οι μηχανές λειτουργούν κανονικά, οι αισθητήρες καταγράφουν δεδομένα και οι χειριστές παρακολουθούν την παραγωγή από τις οθόνες τους. Τι θα συνέβαινε αν κάποιος κατάφερνε να παρέμβει ψηφιακά σε αυτή τη διαδικασία; Θα επρόκειτο απλώς για ένα πρόβλημα υπολογιστών ή θα μπορούσε να τεθεί σε κίνδυνο ο εξοπλισμός, η ασφάλεια των εργαζομένων, ακόμη και η λειτουργία μιας ολόκληρης εγκατάστασης;
Μια κυβερνοεπίθεση μπορεί να ξεπεράσει τα όρια του ψηφιακού κόσμου και να προκαλέσει συνέπειες στον φυσικό. Καθώς εργοστάσια, ενεργειακά δίκτυα, μεταφορές κατασκευαστικές εταιρείες και σύγχρονα κτίρια βασίζονται όλο και περισσότερο σε αυτοματοποιημένα συστήματα, η κυβερνοασφάλεια δεν αφορά πλέον μόνο την προστασία των πληροφοριών, αλλά και την ασφάλεια των υποδομών που στηρίζουν την καθημερινότητά μας.
Για να κατανοήσουμε αυτή τη σύνδεση, αρκεί να σκεφτούμε πώς λειτουργεί μια βιομηχανική εγκατάσταση. Ψηφιακά συστήματα παρακολουθούν τη θερμοκρασία και την πίεση, συλλέγουν δεδομένα από αισθητήρες και ρυθμίζουν τη λειτουργία μηχανημάτων, αντλιών και βαλβίδων. Με άλλα λόγια, δεν μεταφέρουν απλώς πληροφορίες, αλλά μπορούν να επηρεάσουν άμεσα τον φυσικό εξοπλισμό.
Τα συστήματα αυτά αποτελούν μέρος της λεγόμενης Operational Technology (OT), δηλαδή της τεχνολογίας που παρακολουθεί ή ελέγχει φυσικές διαδικασίες. Σε αυτήν περιλαμβάνονται τα βιομηχανικά συστήματα ελέγχου (ICS), ενώ το SCADA είναι μία από τις τεχνολογίες που επιτρέπουν την εποπτεία και τον έλεγχο εξοπλισμού από απόσταση.
Ας υποθέσουμε ότι μια αντλία πρέπει να λειτουργεί υπό συγκεκριμένες συνθήκες. Αν ένας εισβολέας αποκτήσει πρόσβαση στο σύστημα ελέγχου και καταφέρει να αλλοιώσει τις εντολές του, ενδέχεται να διαταραχθεί η λειτουργία της. Αν οι μηχανισμοί προστασίας δεν επαρκούν, οι συνέπειες μπορεί να περιλαμβάνουν βλάβη στον εξοπλισμό ή μια επικίνδυνη κατάσταση. Αυτό, βέβαια, δεν σημαίνει ότι κάθε παραβίαση υπολογιστή οδηγεί αυτομάτως σε φυσική ζημιά: απαιτείται η επίθεση να επηρεάσει τη φυσική διαδικασία και να μην αποτραπεί από τις δικλίδες ασφαλείας.
Δεν πρόκειται για ένα υποθετικό σενάριο. Το 2010, το Stuxnet, ένα εξειδικευμένο κακόβουλο λογισμικό, έγινε γνωστό για τη στόχευση βιομηχανικών συστημάτων ελέγχου και τη σύνδεσή του με τη δολιοφθορά φυγοκεντρητών στις πυρηνικές εγκαταστάσεις του Ιράν. Αποτέλεσε χαρακτηριστικό παράδειγμα του πώς μια ψηφιακή επίθεση μπορεί να επηρεάσει τη λειτουργία πραγματικού μηχανικού εξοπλισμού.
Ένα ακόμη ανησυχητικό περιστατικό σημειώθηκε το 2017, όταν το κακόβουλο λογισμικό TRITON χρησιμοποιήθηκε εναντίον συστημάτων ασφαλείας σε διυλιστήριο στη Μέση Ανατολή. Τα συγκεκριμένα συστήματα είχαν σχεδιαστεί για να εντοπίζουν επικίνδυνες συνθήκες και να συμβάλλουν στην ασφαλή λειτουργία της εγκατάστασης. Το περιστατικό οδήγησε σε διακοπή λειτουργίας για αρκετές ημέρες, αναδεικνύοντας τους κινδύνους που προκύπτουν όταν μια επίθεση στοχεύει ακόμη και τους μηχανισμούς προστασίας μιας βιομηχανίας.
Οι συνέπειες δεν περιορίζονται, ωστόσο, στα εργοστάσια. Οι κυβερνοεπιθέσεις στο ηλεκτρικό δίκτυο της Ουκρανίας το 2015 προκάλεσαν διακοπές ρεύματος σε καταναλωτές. Ένα τέτοιο περιστατικό δείχνει πώς μια ψηφιακή παραβίαση μπορεί να επηρεάσει υπηρεσίες από τις οποίες εξαρτώνται νοικοκυριά, επιχειρήσεις και κρίσιμες εγκαταστάσεις.
Πού αλλού θα μπορούσε να εμφανιστεί αυτός ο κίνδυνος; Στα ενεργειακά δίκτυα, μια επίθεση μπορεί να διαταράξει την ηλεκτροδότηση. Στις βιομηχανικές εγκαταστάσεις, μπορεί να προκαλέσει διακοπή της παραγωγής ή να θέσει σε κίνδυνο εξοπλισμό. Στα σύγχρονα κτίρια, ψηφιακά συστήματα διαχειρίζονται λειτουργίες όπως ο εξαερισμός, ο κλιματισμός και η πρόσβαση σε χώρους. Αντίστοιχα, σε κατασκευαστικά έργα, η εξάρτηση από συνδεδεμένα συστήματα και αυτοματισμούς δημιουργεί πρόσθετες ανάγκες προστασίας.
Αυτό δεν σημαίνει ότι μια παραβίαση ενός έξυπνου κτιρίου μπορεί αυτομάτως να προκαλέσει κατάρρευση ή δομική ζημιά. Οι συνέπειες εξαρτώνται από το σύστημα που επηρεάζεται, την πρόσβαση του επιτιθέμενου και τις διαθέσιμες προστασίες. Η ουσία είναι ότι η ψηφιακή ασφάλεια πρέπει να λαμβάνει υπόψη και τις πιθανές επιπτώσεις στον φυσικό χώρο.
Η προστασία δεν εξαντλείται στην εγκατάσταση ενός προγράμματος ασφαλείας. Απαιτείται διαχωρισμός των εταιρικών δικτύων από τα συστήματα βιομηχανικού ελέγχου, περιορισμός των δικαιωμάτων πρόσβασης, συστηματική παρακολούθηση, ασφαλείς ενημερώσεις και σχέδια αντιμετώπισης περιστατικών. Εξίσου σημαντικοί είναι οι ανεξάρτητοι μηχανισμοί ασφαλείας, οι οποίοι μπορούν να περιορίσουν τον κίνδυνο ακόμη και όταν ένα σύστημα ελέγχου έχει παραβιαστεί.
Η πρόκληση είναι ότι ορισμένες εγκαταστάσεις χρησιμοποιούν παλαιότερο εξοπλισμό και δεν μπορούν να διακόπτουν εύκολα τη λειτουργία τους για συντήρηση. Γι’ αυτό η ασφάλεια πρέπει να σχεδιάζεται με βάση όχι μόνο την προστασία των δεδομένων, αλλά και τη συνέχεια της λειτουργίας και την ανθρώπινη ασφάλεια.
Τελικά, πόσο διαχωρισμένοι είναι ο ψηφιακός και ο φυσικός κόσμος;
Όσο οι τεχνολογίες ελέγχουν μηχανές, ενέργεια και υποδομές, τα όρια μεταξύ τους γίνονται ολοένα πιο δυσδιάκριτα. Μια κυβερνοεπίθεση μπορεί να ξεκινήσει από έναν υπολογιστή, αλλά οι συνέπειές της να φτάσουν πολύ πιο μακριά. Η προστασία του ψηφιακού κόσμου δεν αποτελεί, επομένως, μόνο τεχνολογική ανάγκη· είναι αναπόσπαστο μέρος της προστασίας της κοινωνίας και της καθημερινής μας ζωής. Στον κίνδυνο απέναντι στον ανθρώπινο παράγοντα σε ζητήματα ασφαλείας σε πολλαπλές εγκαταστάσεις δίκτυα και υποδομές, η δικλίδα ασφαλείας είναι η αυτοματοποίηση και η τεχνολογική παρέμβαση. Με αυτό τον τρόπο διευθετήθηκε το εύρος των κινδύνων που μπορεί να προκαλέσει το ‘’ ανθρώπινο λάθος ‘’ . Στην περίπτωση όμως που η απειλή προέρχεται από έναν τεχνολογικό παράγοντα , ανθρώπινη παρέμβαση δεν είναι ικανή να διαχειριστεί το ζήτημα εγκαίρως, ο εντοπισμός και η αντιμετώπιση μπορεί μόνο να προέρχεται από συστήματα ασφαλείας που ενεργοποιούνται άμεσα. Η ‘’μάχη’’ δηλαδή για να είναι ίση μπορούμε μόνο να μιλάμε για τεχνολογία vs τεχνολογία.
ΠΗΓΕΣ
National Institute of Standards and Technology (NIST). Guide to Operational Technology (OT) Security, SP 800-82 Rev. 3, 2023. https://doi.org/10.6028/NIST.SP.800-82r3
Cybersecurity and Infrastructure Security Agency (CISA). Tactics, Techniques, and Procedures of Indicted State-Sponsored Russian Cyber Actors Targeting the Energy Sector. https://www.cisa.gov/ncas/alerts/aa22-083a