En praktisk ramme til beskyttelse af digitale transformatorstationer

For bedst at forstå, hvordan man beskytter digitale transformatorstationer, lad os tage angriberens perspektiv ved hjælp af Industrial Control System Kill Chain. Denne dræbskæde organiserer angriberhandlinger i en række operationer, der bygger op på hinanden for at levere den tilsigtede effekt i slutningen af kæden (i vores eksempel i Ukraine, tab af elektrisk strøm). Til vores formål bruger vi en kondenseret version af drabskæden, der skitserer trinene som forberedelse, indtrængen, pivot til OT, udfør OT og angreb.

Forberedelse

Angribere begynder med at indsamle efterretninger om deres mål. For forsyningsselskaber kan dette omfatte identifikation af understationers placeringer, forståelse af SCADA-arkitektur, undersøgelse af leverandørudstyr og kortlægning af netværksinfrastruktur. Angriberne i Ukraine i 2015 brugte måneder på at studere deres mål. Tilsvarende begyndte Colonial Pipeline-angrebet i 2021 med rekognoscering, der identificerede sårbare VPN-legitimationsoplysninger.

Defensiv kontrolForsyningsselskaber bør minimere deres digitale fodaftryk ved at begrænse offentligt tilgængelige oplysninger om transformatorstationskonfigurationer og kontrolsystemer. Medarbejdersikkerhedstræning bør understrege risikoen ved overdeling af operationelle detaljer på sociale medier eller professionelle netværk samt korrekt håndtering af følsomme data.

Indtrængen

Angribere får adgang til målmiljøet. Almindelige indtastningsmetoder omfatter spear-phishing-e-mails, kompromitterede softwareopdateringer, inficerede USB-drev eller udnyttelse af internetvendte systemer. Ukraine-angribere brugte spear-phishing med ondsindede Microsoft Office-vedhæftede filer, hvilket gjorde det muligt at installere BlackEnergy-malware og det nødvendige fodfæste til opfølgende handlinger.

Defensiv kontrolFølg bedste praksis for it-cybersikkerhed i virksomheder, herunder robuste e-mail-sikkerhedsløsninger med avanceret trusselsbeskyttelse og sandboxing-funktioner, antivirus/EDR-løsninger til virksomhedens arbejdsstationer, systemer til registrering af netværksindtrængning og sikkerhedsoperationscentre (enten intern eller administreret levering af tjenester). Sørg for, at OT-teams er tilpasset og opdateret med virksomhedens it-cybersikkerhedsstrategi.

Pivot til OT

Efter at have fået adgang til virksomhedens it-netværk søger angribere at udvide deres rækkevidde til OT-netværk som dem, der findes i digitale transformatorstationer. Dette gøres typisk ved udnyttelse af usikre fjernadgangsløsninger, stjæling af gyldige brugeroplysninger fra kompromitterede it-systemer eller brug af inficerede forbigående enheder som telefoner og bærbare computere. Brugen af inficerede USB-drev i Stuxnet-angrebet er et eksempel på, hvordan selv luftgappede netværk kan kompromitteres. I angrebet i Ukraine brugte angribere stjålne legitimationsoplysninger fra it-systemer til at få adgang til OT-netværk via VPN-forbindelser.

Defensiv kontrol: Etablere strenge politikker for flytbare medier og eksterne enheder. Vedligehold en opdateret aktivbeholdning af al software og firmware, og hold aktiver opdateret med digitalt underskrevne sikkerhedsrettelser (så meget som operationer tillader). NAC-løsninger (Network Access Control) kan forhindre uautoriserede enheder i at oprette forbindelse til understationsnetværk, mens netværket mellem IT- og OT-netværk og understationszoner forstyrrer lateral bevægelse. Implementer industrielle indtrængningsdetekteringssystemer (IDS), der forstår OT-protokoller og kan identificere uregelmæssig kommunikation. Sikre fjernadgang ved hjælp af multifaktorgodkendelse, og sørg for, at tredjeparts fjernadgang (typisk til leverandørvedligeholdelse) er sikret på samme måde. Fjern standardoplysninger på alle IED'er, relæer og netværksenheder, og implementerer ideelt rollebaseret adgangskontrol. Endelig hjælper regelmæssige sårbarhedsvurderinger af OT-netværk med at identificere svagheder, før angribere gør det.

Udfør OT-angreb

Den sidste fase involverer angribere, der når deres mål - hvad enten det er datatyveri, systemmanipulation eller destruktive handlinger. I Ukraine betød dette åbning af afbrydere (via understations-HMI'er) for at skabe strømafbrydelser. Ukraine-angribere brugte ondsindede firmwareuploads til at afbryde kommunikation til feltenheder, mens de udførte denial-of-service-angreb til callcentre, hvilket førte til forsinket genoprettelsesindsats og frustrerede kunder, der ikke var i stand til at få svar.

Defensiv kontrol: Implementere sikkerhedsinstrumenterede systemer (SIS), der fungerer uafhængigt af kontrolsystemerne. Vedligehold offline sikkerhedskopier af konfigurationer og kontroller gendannelsesprocedurer. Udfør regelmæssige bordøvelser og hændelsesreaktionsøvelser, der er specifikke for OT-miljøer, for at sikre hurtig reaktion, selv når cybersikkerhedskontrol mislykkes.

Når man forsvarer digitale transformatorstationer, er implementering af sikkerhedskontrol kun halvdelen af kampen, og elforsyningsselskaber skal også tilpasse kontrollen til etablerede lovgivnings- og industrirammer og kortlægge defensive foranstaltninger til både NERC CIP-krav og NIST Cybersecurity Framework (CSF).

NERC CIP-justering

North American Electric Reliability Corporations standarder for beskyttelse af kritisk infrastruktur (CIP) stiller obligatoriske krav til cybersikkerhed i bulkkraftsystemer. Nøglestandarder, der er relevante for digitale transformatorstationer, omfatter:

CIP-004 (personale og uddannelse)Fokuserer på det mest kritiske element i cybersikkerhed: mennesker. Fastlægger krav til ansættelse, træning og onboarding/offboarding.

CIP-005 (Electronic Security Perimeters): Adresserer netværkssegmentering og adgangskontrolforanstaltninger, der diskuteres i forsvar mod indtrængen og drejning til OT.

CIP-007 (System Security Management): Dækker den daglige „blokering og håndtering“ af cybersikkerhed: administration af programrettelser, forebyggelse af malware, overvågning af sikkerhedshændelser og kontostyring. Dette omfatter endpoint-beskyttelse, logføring og sårbarhedsstyring, der er afgørende for tidlig opdagelse.

CIP-008 (planlægning af hændelsesrespons): Sikrer, at organisationer udvikler, vedligeholder og praktiserer deres evne til at reagere på angreb.

CIP-009 (Gendannelsesplanlægning): Fokuserer på at komme tilbage til „normal“ efter et angreb. Sikrer, at sikkerhedskopieringsprocedurer implementeres og verificeres, og at gendannelse periodisk testes for hastighed og nøjagtighed.

CIP-010 (Konfigurationsændringsstyring): Definerer basiskonfigurationer for aktiver og etablerer en struktureret ændringsstyringsproces for disse basislinjer, der inkluderer patchtest for driftsintegritet. Indeholder også krav til periodiske sårbarhedsvurderinger.

CIP-015 (Intern netværkssikkerhedsovervågning): Den nyeste CIP-standard, godkendt sommeren 2025 og træder i kraft fra oktober 2028. CIP-015 handler om at vide, hvad der sker „på ledningen“: overvågning af OT-netværk, detektering af enhver anomal aktivitet og træffe informerede responsbeslutninger.

NIST CSF-integration

NIST Cybersecurity Framework giver en fleksibel, risikobaseret tilgang organiseret omkring seks kernefunktioner, der repræsenterer en omfattende cybersikkerhedsstrategi:

Regere: Etablere og overvåge organisationens cybersikkerhedsrisikostyringsstrategi, forventninger og politikker.

Identificere: Opbyg en fælles forståelse af cybersikkerhedsrisiko på tværs af systemer, aktiver, data og mennesker. Få indsigt i den aktuelle sikkerhedssituation og dermed forbundne risici.

Beskyt: Implementere de tekniske kontroller, der er diskuteret tidligere: netværkssegmentering, adgangskontrol, slutpunktsbeskyttelse osv. Målet er at reducere den samlede angrebsoverflade, som en angriber kan bruge til at få fodfæste i netværket.

Registrere: Implementer funktioner til korrekt at identificere forekomsten af ondsindede cybersikkerhedshændelser rettidigt. Brug data aggregeret fra en lang række aktiver til at tilføje kontekst til synlighed.

Svar: Når du opdager et cyberangreb, skal du træffe foranstaltninger for at stumpe angribernes fremskridt, afbøde påvirkningen og i sidste ende udvise angribere fra netværket.

Gendanne: Efter at have neutraliseret en trussel, skal du gendanne eventuelle funktioner eller tjenester, der blev forringet på grund af hændelsen. Brug erfaringerne til at informere fremtidig sikkerhedsstrategi.

Kombination af NERC CIP, NIST CSF og defensive kontroller

Konklusion

Angrebet i Ukraine i 2015 viste, at digitale transformatorstationer repræsenterer kritiske mål, hvor cybersårbarheder direkte kan omsættes til fysiske konsekvenser. Ved at forstå angriberens drabskæde og implementere lagdelte forsvarsværktøjer kan imidlertid reducere deres risikoprofil betydeligt. Med opbakning fra både it- og OT-teams og tankevækkende anvendelse af strategi kan digitale transformatorstationer placeres på usædvanligt stærkt sikkerhedsgrundlag og være forberedt på, hvad angribere måtte prøve næste gang.