Ing. Štefan Kőrösi, OT security architekt, (vľavo) a Ing. Miloš Pinka, TÜV Functional Safety Engineer

Čo presne chráni funkčná bezpečnosť a čo kybernetická bezpečnosť?

M. Pinka: Najskôr treba oddeliť dve základné funkcie. Predstavte si auto. Motor, riadenie, brzdy a tempomat zabezpečujú jeho bežnú prevádzku. V priemysle túto úlohu plní riadiaci systém. Popri ňom existujú systémy, ktoré zasiahnu až pri nebezpečnej situácii. Ich príkladom je airbag. Počas normálnej jazdy nie je aktívny, no v kritickom okamihu musí zareagovať správne a v určenom čase. V priemyselnej prevádzke má podobnú úlohu bezpečnostný systém, teda SIS. Ak napríklad tlak v zariadení prekročí stanovenú hranicu, SIS uzatvorí prívod média alebo odstaví technologickú časť. Jeho cieľom nie je optimalizovať výrobu. Jeho cieľom je dostať proces do bezpečného stavu.

Š. Kőrösi: Ja sa na ten istý systém pozerám z druhej strany. Miloš sa pýta: „Zafunguje airbag, keď príde náraz?“ Ja sa pýtam: „Dokáže niekto pred nárazom zmeniť jeho program?“ Zariadenie môže byť spoľahlivé a pritom zraniteľné. Nemusí sa pokaziť. Niekto ho môže prinútiť, aby urobilo niečo iné, než na čo bolo navrhnuté.

Prečo sa tieto dve oblasti začali výraznejšie stretávať až v posledných rokoch?

M. Pinka: Pôvodné bezpečnostné systémy boli technicky jednoduchšie a často fyzicky oddelené od ostatných častí prevádzky. Mali vlastnú kabeláž, špecializované zariadenia a výrobcom definované komunikačné rozhrania. Z pohľadu funkčnej bezpečnosti sa preto dalo predpokladať, že zásahy do systému budú prebiehať iba cez určené inžinierske nástroje a podľa kontrolovaných postupov. Tento predpoklad však postupne prestal zodpovedať skutočnej architektúre prevádzok.

Š. Kőrösi: Kedysi bol bezpečnostný systém ostrov. Dnes k nemu vedú mosty. Pribudli ethernetové siete, vzdialený servis, spoločné inžinierske stanice, dátové prepojenia a cloudové služby. Každé prepojenie vzniklo z rozumného dôvodu. Údržba chcela diagnostiku, manažment chcel dáta, dodávateľ chcel vzdialený prístup. Výsledok? SIS môže byť dosiahnuteľný z klávesnice. A tá klávesnica nemusí byť v závode.

Je to podobné ako rozdiel medzi autom z deväťdesiatych rokov a dnešným vozidlom?

Š. Kőrösi: Presne. Staršie auto nemalo mobilnú aplikáciu, bezdrôtové aktualizácie ani desiatky vzájomne prepojených riadiacich jednotiek. Nebolo automaticky bezpečnejšie vo všetkých oblastiach. Malo však podstatne menšiu digitálnu útočnú plochu. Moderné vozidlo získavalo jednu užitočnú funkciu za druhou. Nikto si nepovedal: „Urobme auto napadnuteľným.“ Napadnuteľnosť vznikla ako vedľajší dôsledok konektivity.

M. Pinka: Rovnaký vývoj nastal v priemysle. Samotné prepojenie nie je chybou. Musíme však opätovne posúdiť predpoklady, na ktorých bol založený pôvodný návrh bezpečnostnej funkcie.

Kedy sa ukázalo, že nejde iba o teoretické riziko?

Š. Kőrösi: Zlomovým prípadom bol Triton, označovaný aj ako Trisis. V roku 2017 bol odhalený škodlivý kód zameraný priamo na priemyselný bezpečnostný systém v petrochemickej prevádzke. To bol zásadný posun. Cieľom neboli iba dáta alebo odstavenie výroby. Cieľom bola vrstva, ktorá má pri nebezpečnej situácii zabrániť priemyselnej havárii. V automobilovej analógii sa útočník nepokúša ukradnúť autorádio. Snaží sa dostať do riadiacej jednotky airbagu.

M. Pinka: Tento prípad ukázal hranice tradičného posudzovania spoľahlivosti. Funkčnú bezpečnosť dokazujeme kombináciou výpočtov, skúšok, konštrukčných opatrení a riadeného životného cyklu. Hodnotíme náhodné poruchy hardvéru, systematické chyby aj možné zlyhania pri prevádzke a údržbe. Tieto metódy však samy o sebe nedokážu potvrdiť, že program alebo konfigurácia neboli úmyselne zmenené. Výpočet môže byť správny, ale platí iba za podmienok, z ktorých vychádzal. Ak útočník zmení bezpečnostnú logiku, už neposudzujeme náhodnú poruchu súčiastky. Posudzujeme narušenie jedného zo základných predpokladov návrhu.

Š. Kőrösi: Auto pritom môže ďalej normálne jazdiť. Motor funguje, kontrolky nesvietia a vodič si nič nevšimne. Problém sa ukáže až vo chvíli, keď sa má airbag nafúknuť. Práve preto je útok proti SIS taký nebezpečný. Zmena nemusí byť počas bežnej prevádzky viditeľná.

Bezpečnostné systémy bývajú zdvojené alebo strojené. Neochráni ich redundancia?

M. Pinka: Redundancia je základným opatrením proti náhodným poruchám. Bezpečnostnú funkciu môžu vykonávať dva alebo tri kanály, pričom výsledok sa vyhodnocuje podľa definovanej hlasovacej architektúry. Ak zlyhá jeden snímač alebo jeden procesor, zostávajúce kanály môžu zachovať bezpečnostnú funkciu. V aute tento princíp pripomínajú dva brzdové okruhy. Redundancia však nie je automatickou ochranou proti všetkým kybernetickým scenárom. Ak sú kanály identické, používajú rovnaký softvér a konfigurujú sa z jednej inžinierskej stanice, môžu zdieľať rovnakú zraniteľnosť aj rovnakú cestu kompromitácie.

Š. Kőrösi: Tri rovnaké zámky na dverách chránia dobre proti náhodnému zlyhaniu jedného zámku. Proti zlodejovi, ktorý pozná slabinu daného modelu, sú to stále tri rovnaké zámky. Útočník neopakuje rovnakú prácu trikrát. Nájde spoločný bod a zasiahne všetky kanály naraz. Spoločnou slabinou môže byť heslo, softvér, sieť, servisný notebook alebo vzdialený prístup dodávateľa.

M. Pinka: Práve preto je popri redundancii dôležitá aj diverzita, čo znamená, že rovnaký ochranný cieľ dosahujeme odlišným technickým princípom. Odlišné riešenia obmedzujú pravdepodobnosť, že jedna príčina, či už porucha, alebo útok, naruší všetky ochranné mechanizmy súčasne.

Š. Kőrösi: Elektronická parkovacia brzda a mechanická páka nie sú dve kópie tej istej veci. Fungujú na odlišných princípoch. Ak útočník ovládne elektronický systém, neznamená to, že dokáže vyradiť aj mechanickú ochranu. Pre funkčnú bezpečnosť diverzita znižuje riziko, že rovnaká porucha zasiahne obe ochrany. V rámci kybernetickej bezpečnosti znižuje riziko, že jedna zraniteľnosť alebo jeden spôsob útoku prekoná obe ochrany. Jedno architektonické opatrenie tak podporuje obe oblasti, hoci v každej rieši iný typ rizika.

Vo funkčnej bezpečnosti sa používa SIL 1 až 4 a v kybernetickej bezpečnosti SL 1 až 4. Ide o dve verzie rovnakej stupnice?

M. Pinka: Nie. Podobnosť názvov je nešťastná, pretože obe stupnice hodnotia odlišné vlastnosti. SIL, teda úroveň integrity bezpečnosti, vyjadruje požadovanú mieru spoľahlivosti bezpečnostnej funkcie. Určuje, aké prísne požiadavky musí spĺňať jej návrh, architektúra, diagnostika, vývoj, overovanie a údržba. Zjednodušene povedané, SIL odpovedá na otázku: Ak bude potrebné vykonať bezpečnostný zásah, aká nízka musí byť pravdepodobnosť, že funkcia nebude fungovať?

Š. Kőrösi: SL sa nepýta, ako často sa pokazí airbag. Pýta sa, proti akému zásahu má jeho elektronika obstáť. Pri určovaní úrovne kybernetickej ochrany sa zohľadňujú schopnosti možného útočníka, jeho zdroje, špecifické znalosti a motivácia. Príležitostný útočník so všeobecnými nástrojmi predstavuje iný problém ako tím, ktorý pozná konkrétny priemyselný systém a má čas pripraviť cielený útok.

Takže SIL 3 automaticky neznamená SL 3?

Š. Kőrösi: Nie. Rovnaké číslo vytvára falošný pocit, že existuje jednoduchý prevod. Neexistuje. Je to, ako keby sme z výsledku nárazovej skúšky auta chceli vypočítať, ako ťažko sa dá ukradnúť. Obe vlastnosti sú dôležité, ale každá odpovedá na inú otázku.

M. Pinka: Cieľová úroveň kybernetickej ochrany sa preto musí určiť samostatným posúdením rizika. Hodnota SIL pri tom môže byť dôležitou informáciou o kritickosti bezpečnostnej funkcie, nie je však matematickým vstupom, z ktorého by sa priamo odvodila hodnota SL.

Kde sa funkčná a kybernetická bezpečnosť stretávajú najvýraznejšie?

M. Pinka: Jedným z najdôležitejších miest je nezávislosť ochranných vrstiev. Priemyselné riziko spravidla neznižujeme jediným opatrením. Používame viacero vrstiev, napríklad prevádzkové riadenie, zásah operátora, bezpečnostný systém, mechanické ochranné zariadenie alebo havarijné opatrenie. Pri posudzovaní rizika môžeme účinok jednotlivých vrstiev kombinovať iba vtedy, ak sú dostatočne nezávislé. Jedna príčina nesmie bez ďalšieho rizika vyradiť viacero vrstiev súčasne.

Š. Kőrösi: Na výkrese môžu byť dve ochranné vrstvy. V rozvádzači však niekedy nájdeme jeden počítač, z ktorého sa konfigurujú obe. Alebo spoločnú sieť. Spoločný používateľský účet. Spoločný vzdialený prístup. Jeden servisný notebook, ktorý sa pripája ku všetkému. Papier vidí dve vrstvy. Útočník vidí jednu cestu.

M. Pinka: Ak riadiaci a bezpečnostný systém zdieľajú kompromitovateľný prvok, musíme posúdiť, či deklarovaná nezávislosť naďalej platí. Ak neplatí, problém sa netýka iba sieťovej architektúry. Môže byť spochybnená aj hodnota zníženia rizika, ktorú sme ochrannej vrstve priradili.

Š. Kőrösi: Je to ako záložný generátor v pivnici, ktorú zaplaví tá istá voda ako hlavný rozvádzač. Zariadenia sú dve, ale príčina zlyhania je jedna.

Ktoré opatrenie má najlepší pomer ceny a účinku?

Š. Kőrösi: Často je to úplne obyčajný fyzický prepínač prevádzkového režimu. Bezpečnostné systémy majú fyzický prepínač s polohami „beh“ a „programovanie“. V polohe „beh“ sa program jednoducho nedá prepísať, nie softvérovo. Pri útoku Triton bol ponechaný v polohe „programovanie“. Keby nebol, útok by sa v tejto fáze skončil. Ak SIS počas bežnej prevádzky nepotrebuje prijímať zmeny programu, nemá zostať v režime, ktorý programovanie umožňuje. Nie je to drahá technológia. Je to správne používanie funkcie, ktorá už v zariadení existuje.

M. Pinka: Fyzické obmedzenie režimu je účinné najmä preto, že vytvára jednoznačnú väzbu medzi prevádzkovým stavom zariadenia a povolenou činnosťou. Musí však byť zahrnuté do pracovných postupov. Treba určiť, kto smie režim zmeniť, za akých podmienok, ako sa zmena eviduje a kto overí návrat do prevádzkového režimu.

Š. Kőrösi: Bez procesu sa aj najlepší kľúčový prepínač zmení na dekoráciu. Niekto ho nechá v programovacej polohe, pretože sa na zariadení ešte „niečo dolaďuje“. Je to rovnaké ako nechať kľúč v zámku garáže, lebo ho budeme zajtra znova potrebovať.

M. Pinka: Tento príklad zároveň ukazuje, že účinnosť opatrenia nezávisí iba od jeho technickej úrovne. Rozhodujúca je aj prevádzková disciplína, evidencia a kontrola.

Ako vyzerá organizácia, ktorá má obe oblasti dobre zvládnuté?

M. Pinka: V prvom rade pracuje so spoločným obrazom rizík. Bezpečnostné a kybernetické scenáre nemusia byť hodnotené rovnakou metódou, ich výsledky však musia byť vzájomne prepojené. Ak môže kybernetický scenár vyvolať nebezpečný stav alebo vyradiť ochrannú vrstvu, musí byť zohľadnený aj pri posudzovaní bezpečnosti procesu.

Š. Kőrösi: Nestačia dva registre rizík uložené v dvoch adresároch na disku. Ak sa nikdy nestretnú, organizácia neuvidí spoločné slabiny. Druhým znakom je jeden koordinovaný proces riadenia zmien. Výmena ventilu, zmena programu, aktualizácia operačného systému aj nové firewallové pravidlo môžu ovplyvniť ten istý scenár.

M. Pinka: Spoločný proces neznamená, že všetky zmeny budú posudzované rovnakým spôsobom. Znamená, že žiadna významná zmena neobíde odborníkov, ktorých oblasti môže ovplyvniť.

Š. Kőrösi: A tretím znakom je jeden tím pri jednom stole. Nie jeden človek, ktorý má rozumieť všetkému, ale ľudia s rôznymi kompetenciami, ktorí sa pozerajú na rovnaký model zariadenia a rovnaký scenár. Bezpečnostný inžinier vidí poruchu. Kybernetický špecialista vidí útočnú cestu. Prevádzka pozná reálne obmedzenia. Údržba vie, ako sa systém v skutočnosti servisuje.

M. Pinka: Funkčná a kybernetická bezpečnosť sa nemusia zlúčiť do jednej disciplíny. Každá používa vlastné metódy, kritériá a odborné kompetencie. Musia sa však stretnúť v bodoch, kde rozhodnutie jednej oblasti môže ovplyvniť predpoklady druhej. Ide najmä o návrh architektúry, vzdialený prístup, správu konfigurácie, údržbu a riadenie zmien.

Š. Kőrösi: Miloš sa pýta, či bude airbag fungovať. Ja sa pýtam, kto sa dokáže dostať k jeho riadiacej jednotke. Moderný závod potrebuje odpoveď na obe otázky. Pretože spoľahlivý airbag ešte nemusí byť bezpečný, ak ho možno preprogramovať.

Ďakujeme za rozhovor.

ProCS, s.r.o. 
www.actemium.sk 
LinkedIN: linkedin.com/company/actemium-slovakia