obr1 titV sprievodnom programe MSV sa vyskytla jedna voľne prístupná prednáška, ktorá zaujala desiatky, prevažne mladých, ľudí. Išlo o prednášku Tomáša Volného zo spoločnosti CITADELO na atraktívnu tému ako vyhackovať priehradu.


Obava o bezpečnosť dát zbieraných v rámci myšlienky Priemyslu 4.0 je častou témou diskusií. Táto opatrnosť je namieste, pretože každý priemyselný systém je zraniteľný. Otázkou iba zostáva, či môže mať niekto reálny záujem hacknúť práve váš systém.
Tomáš Volný je tzv. etický hacker. Pomocou svojej firmy CITADELO je najímaný tými najznámejšími firmami, aby sa pokúšal nájsť slabé miesta v ich informačných systémoch. A keď sa mu ich podarí objaviť, aby navrhol nápravu celého systému.

Ako vyzerá klasický priebeh útoku na firmu
V skratke by sme mohli povedať, že pri hackerskom útoku si hackeri nájdu systém, ktorý je málo bezpečný. Následne idú hlbšie do siete, až to celé vyhackujú. Tomáš Volný však túto všeobecnú poučku rozobral do detailu.
Zabezpečenie siete je primárne vykonávané priemyselnými kontrollermi. Keď ich v systéme máme, ľudia sa zamýšľajú, čo by sme s bezpečnosťou firemnej siete mohli spraviť ešte viac. Môžeme ju napríklad oddeliť – od vonkajšej siete a predovšetkým od internetu. Systémy, ktoré by mali byť zabezpečené, sú až kriticky dôležité pre naše fungovanie, tie by sme určite mali oddeliť. „Toto už ľuďom napadlo a volá sa to Air Gap. Je to taká vzduchová separácia medzi dvoma sieťami – na jednej strane je sieť firmy – zamestnanci, servery, počítače aj internet. Na druhej strane je izolovaná sieť, kde sú priemyselné kontrollery, ktoré by firma mala chcieť chrániť,“ vysvetľuje T. Volný. Myšlienka je taká, aby to skutočne bolo oddelené. Aby neexistovalo žiadne prepojenie medzi prvou a druhou časťou. Veľakrát však, aj keď máme zdanlivo oddelené siete, je mnoho zariadení, ktoré prechádzajú z jednej časti do druhej – napríklad počítače servisných technikov, telefóny, USB kľúče, inštalačné CD-čka alebo rôzne nástroje, ktoré technici využívajú pri bežnej údržbe PC. To celkovo narúša myšlienku, že tam nie sú žiadne prepojenia. To prepojenie tam existuje, aj keď nie je priame (káblom). Ako to celé prekaziť?

obr2
Tomáš Volný

 

Ako by to malo vyzerať
„Ako vníma Air Gap majiteľ? Ako nedobytnú pevnosť, do ktorej nie je žiadna prístupová cesta – je to niečo bezpečné. Hacker sa na to pozerá ako na nejakú skladačku, v ktorej iba musí poskladať jednotlivé dieliky a potom to dokáže celé prelomiť,“ hovorí. „Pokiaľ nemám takto oddelený priemyselný systém, musím si vytvoriť novú sieť od začiatku?“ Našťastie, toto majiteľ nemusí urobiť, existuje príručka, ktorú napísal americký štandardizačný úrad NIST – je to príručka o tom, ako robiť priemyselné systémy a ako ich robiť bezpečné.
V tejto príručke je obrázok, ako by to celé malo vyzerať, aby to bolo bezpečné. Na hornej strane schémy je internet, odkiaľ celé „zlo“ pochádza. Následne tu máme firemnú sieť, kde sú zamestnanci, servery a ďalšie stanice. Firemná sieť je od internetu oddelená tzv. firewallom. To je server, alebo nástroj, ktorý filtruje celú komunikáciu a nedovolí hackerom alebo iným programom, aby sa dostali ďalej. Potom tu máme riadiacu sieť, kde máme všetky priemyselné kontroléry a všetky priemyselné systémy. Je to teda oddelené firewallom, ale zároveň cez firewall aj prepojené. Je to trošku iné, pretože Air Gap hovorí, že by to nemalo byť prepojené. Tu prepojenie existuje a malo by byť veľmi dobre kontrolované. Aj takto je to teda správne, ale nie je to nepriestrelné.

Simulácia hackerského útoku
Od teórie potom Tomáš Volný prešiel k praktickej ukážke – ukázal, ako hacknúť priehradu. Tvorcovia siete použili Air Gap. Na začiatku schémy je bežná prezentačná webstránka spoločnosti. Potom je tu internet a VPN server – ktorý slúži zamestnancom, aby mohli vzdialene pristupovať ku svojim počítačom, napríklad keď pracujú z domu. Ďalej je v schéme bežná firemná sieť, kde sú zamestnanci, servery, ktoré používajú, a na ktorých majú uložené dáta. Nasleduje router – mozog celej siete, ktorý všetko riadi. Na samom konci sú dve oddelené, samostatné siete. Bezpečná sieť technikov – tá je oddelená od zamestnaneckej siete, práve z už spomínaných dôvodov. Na rovnakej úrovni sú systémy samotnej priehrady.

obr3

Ako by mal hacker postupovať?
Hacker toho vzdialene veľa nevidí. Na začiatku vidí len webstránku. Pozrie si, aké slabiny môže stránka obsahovať a čo všetko by sa s tým dalo spraviť. Pátraním zistí, že stránka obsahuje starú chybu – ešte nebola aktualizovaná, a tým pádom ju môže zneužiť. To mu umožňuje prístup do databázy a dokáže vyhackovať všetky heslá, ktoré sa tam nachádzajú.
Následne hacker vytvorí príkaz, ktorý hackne všetky heslá na stránke. S týmito heslami by však mohol hacknúť akurát nejaký článok. Teraz sa musí zamyslieť, ako ďalej. Hľadanie ďalších slabých miest môže trvať aj týždne. Po pár týždňoch zistí, že vo firme majú VPN server, ktorý využívajú zamestnanci pracujúci z domu. To mu stále veľmi nepomôže. Je však všeobecne známe, že ľudia stále využívajú jedno, alebo zopár podobných hesiel. To je pre útočníka veľmi výhodné. Vďaka tomu sa pripojí cez zamestnanca (v príklade pani Mária) do ich siete.
Stále však vidíme iba počítač pani Márie a router, ktorý je mozgom celej siete. S routerom by sa teda mohol pohrať. Zistí si prístupové heslá k routeru a je vo vnútri. V routeri zisťuje, že sieť technikov a firemná sieť nie sú oddelené fyzicky, ale len nastavením (softvérovo). Teraz, keď sa už stal administrátorom siete, jednoducho môže túto blokáciu vypnúť a prepojenie tak vznikne.
Teraz nastáva tá najťažšia úloha. Dostáva sa do počítača technika. Hacker však naďalej nevie, ako samotná priehrada funguje, aký program používa atď. Nasleduje obdobie niekoľkých týždňov, mesiacov či rokov, kým zistí, ako to celé funguje a bude schopný napísať kód, ktorý by to vedel efektívne zneužiť. Keď sa mu kód podarí napísať, pošle ho do počítača technika, kde bude slúžiť ako časovaná bomba – počká, kým pôjde technik urobiť bežnú údržbu do elektrárne. Kód sa bude spúšťať v pravidelných intervaloch, pretože nevie, kedy technik príde do priehrady.
Keď technik príde do priehrady a začne vykonávať bežnú agendu, priehrada sa začne nekontrolovateľne vypúšťať...
Hackerský útok bol teda úspešný. Ako aj na príklade môžeme vidieť, najslabším článkom v bezpečnosti bol opäť človek. Jednak vtedy, keď sa programovala celá priemyselná sieť a časť pre technikov bola oddelená len „naoko“, nie fyzicky. Menšou mierou prispelo k úspechu aj používanie slabých hesiel v administrácii.
Riešení bezpečnosti informačných systémov je viac. V prípade heslovania je to jednak použitie dvojfázových kódov (teda nielen prihlásenie sa pomocou mena a hesla, ale aj nejakým generovaným spôsobom – cez SMS, ešte lepšie pomocou aplikácie v mobile). Vhodné je používať aj správcu hesiel, kde sa automaticky generujú aj 20-znakové heslá. A, samozrejme, nesmieme zabudnúť na to najdôležitejšie – keď sa už niekto dostane do nášho systému, je nevyhnutné mať k dispozícii zabezpečenú zálohu dát, ktorá sa vytvára v pravidelných intervaloch.

TEXT/FOTO Michal Múdrý