Niewidzialny wróg w Twojej fabryce: Jak zabezpieczyć dostęp fizyczny, laptopy serwisantów i nośniki USB?

W strategicznym planowaniu cyberobrony dla środowisk przemysłowych, większość uwagi poświęca się zagrożeniom pochodzącym z sieci. Koncentrujemy się na wzmacnianiu zapór sieciowych, ochronie przed atakami z internetu i zabezpieczaniu zdalnego dostępu. To wszystko jest absolutnie kluczowe, ale tworzy ryzyko powstania „martwego pola” w naszej percepcji. Skupiając wzrok na horyzoncie, często nie zauważamy wroga, który już dawno przekroczył nasze mury i swobodnie porusza się po dziedzińcu.

Tym „niewidzialnym wrogiem” są zagrożenia przenoszone drogą fizyczną – na nośnikach USB, na niezaufanych laptopach serwisantów, a nawet w podłączanych do ładowania telefonach. To wektory ataku, które w podstępny sposób omijają całą, kosztowną architekturę obrony obwodowej. Są one niewidoczne dla raportów generowanych przez firewalle i systemy prewencji włamań, a jednocześnie stanowią jedną z najczęstszych realnych przyczyn katastrofalnych w skutkach incydentów, takich jak infekcje ransomware.

Zarządzanie tym ryzykiem jest niezwykle trudne, ponieważ dotyka ono sedna codziennych operacji i wymaga zmiany nawyków ludzi, którzy od lat pracowali w określony sposób. Wymaga ono stworzenia jasnych, ale jednocześnie życiowych procedur oraz wdrożenia technologii, które będą te procedury wspierać. Zignorowanie tego obszaru jest jak pozostawienie otwartej, niestrzeżonej furty serwisowej w naszej cyfrowej twierdzy.

Jak często zainfekowany laptop serwisanta jest realnym powodem incydentu w produkcji?

Chociaż precyzyjne statystyki są trudne do zdobycia, ponieważ firmy niechętnie dzielą się szczegółami incydentów, analizy powłamaniowe i raporty ekspertów wskazują jednoznacznie: jest to jeden z wiodących wektorów początkowego dostępu do sieci OT. Laptop zewnętrznego serwisanta to urządzenie o skrajnie wysokim profilu ryzyka. W ciągu jednego tygodnia może on być podłączany do sieci w kilku lub kilkunastu różnych zakładach przemysłowych, z których każdy ma inny, nieznany poziom zabezpieczeń.

Taki laptop jest cyfrowym odpowiednikiem „pacjenta superroznosiciela”. Może on w sposób nieświadomy zebrać złośliwe oprogramowanie w jednej, słabo chronionej fabryce, a następnie przenieść je do kolejnych, stając się wektorem infekcji krzyżowej. Sam serwisant najczęściej działa w dobrej wierze i nie ma pojęcia, że jego narzędzie pracy stało się bronią w rękach cyberprzestępców.

Problem ten jest tak poważny, że wiele zaawansowanych ataków celowanych (APT) było projektowanych właśnie z myślą o tym scenariuszu. Atakujący, wiedząc, że nie sforsują bezpośrednio obrony dużej korporacji, zamiast tego kompromitują mniejszą, słabiej chronioną firmę serwisową, cierpliwie czekając, aż jej pracownik podłączy zainfekowany laptop do sieci ich właściwego celu.

Czy należy całkowicie zakazać używania USB, czy lepiej wdrożyć kontrolowaną „białą listę” urządzeń?

W obliczu zagrożeń, pierwszą, instynktowną reakcją jest często próba całkowitego zakazania używania nośników USB w środowisku OT. Takie podejście, choć teoretycznie najbezpieczniejsze, w praktyce jest często nierealistyczne i skazane na porażkę. Wiele kluczowych operacji serwisowych, zwłaszcza na starszych maszynach, które nie są podłączone do sieci, wciąż wymaga użycia nośników przenośnych do aktualizacji oprogramowania czy zgrywania danych.

Całkowity zakaz prowadzi najczęściej do tego, że pracownicy, postawieni pod presją czasu i konieczności wykonania zadania, zaczynają omijać oficjalne procedury, tworząc jeszcze większe ryzyko w ramach „Shadow IT/OT”. Znacznie skuteczniejszym i bardziej dojrzałym podejściem jest nie zakazywanie, ale kontrolowanie użycia nośników USB.

Strategia ta opiera się na dwóch filarach. Po pierwsze, na stworzeniu i egzekwowaniu polityki „czystych nośników”, która definiuje, jakie urządzenia są dozwolone i jaką procedurę weryfikacji muszą przejść. Po drugie, na wdrożeniu technologii „whitelisting” (białej listy), która pozwala na techniczną blokadę wszystkich nieautoryzowanych urządzeń, dopuszczając do użytku tylko te, które zostały wcześniej zweryfikowane i zatwierdzone przez dział bezpieczeństwa.

Jak technicznie zablokować nieautoryzowane porty USB na kluczowych stacjach roboczych?

Istnieje szereg rozwiązań technicznych, które pozwalają na granularną kontrolę nad portami USB na komputerach z systemem Windows, takich jak stacje HMI czy SCADA. Najprostsze, choć najmniej elastyczne, jest całkowite wyłączenie portów USB w systemie BIOS lub za pomocą polityk grupowych (GPO) w Active Directory.

Znacznie lepszym rozwiązaniem jest wdrożenie dedykowanego oprogramowania do kontroli urządzeń (Device Control). Takie oprogramowanie, często będące modułem zaawansowanego systemu antywirusowego (EDR), pozwala na tworzenie bardzo precyzyjnych polityk. Możemy na przykład zdefiniować regułę, która zezwala na podłączanie tylko konkretnych, firmowych modeli klawiatur i myszy.

Najbardziej zaawansowaną opcją jest wspomniany whitelisting. Polega on na stworzeniu listy numerów seryjnych konkretnych, zweryfikowanych i „czystych” firmowych pendrive’ów. Polityka jest następnie konfigurowana tak, że tylko te, i żadne inne, nośniki USB będą mogły być zamontowane w systemie. Każda próba podłączenia prywatnego lub nieznanego pendrive’a zostanie automatycznie zablokowana i zaalarmowana.

Ile kosztuje i czym powinien charakteryzować się dedykowany, bezpieczny laptop serwisowy?

Jedną z najskuteczniejszych metod ograniczenia ryzyka związanego z laptopami firm zewnętrznych jest wprowadzenie polityki, która zabrania im podłączania własnego sprzętu do sieci OT. Zamiast tego, firma powinna zapewnić im na czas pracy dedykowane, „czyste” i bezpieczne laptopy serwisowe.

Koszt takiego laptopa nie musi być wysoki. Nie musi to być najnowszy i najszybszy model. Kluczowa jest jego konfiguracja. Taki komputer powinien mieć maksymalnie „utwardzony” (hardening) system operacyjny, z wyłączonymi wszystkimi zbędnymi usługami i portami. Powinien mieć zainstalowane tylko i wyłącznie to oprogramowanie, które jest absolutnie niezbędne do prac serwisowych.

Na laptopie musi być zainstalowane i regularnie aktualizowane zaawansowane oprogramowanie zabezpieczające (EDR). Dostęp do internetu powinien być ściśle ograniczony lub całkowicie zablokowany. Po każdym użyciu przez firmę zewnętrzną, laptop powinien przechodzić procedurę „czyszczenia” i przywracania do stanu fabrycznego. Inwestycja w kilka takich dedykowanych komputerów jest znikomym kosztem w porównaniu do potencjalnych strat po incydencie.

Jakie zapisy w umowie i procedurze wejścia powinny dotyczyć zewnętrznego serwisanta?

Współpraca z firmami zewnętrznymi musi być oparta na jasnych i formalnych zasadach. Każda umowa serwisowa powinna zawierać dedykowany aneks dotyczący cyberbezpieczeństwa. Aneks ten powinien precyzyjnie określać obowiązki i odpowiedzialność obu stron.

Umowa powinna zobowiązywać dostawcę do przestrzegania wewnętrznych polityk bezpieczeństwa Twojej firmy. Powinna jasno definiować, czy serwisant może używać własnego sprzętu, a jeśli tak, to jakie minimalne wymagania bezpieczeństwa (np. aktualny antywirus, szyfrowanie dysku) musi on spełniać. Powinna również zawierać klauzule o poufności i obowiązek natychmiastowego informowania o wszelkich incydentach bezpieczeństwa po stronie dostawcy.

Oprócz umowy, należy stworzyć formalną procedurę wejścia dla serwisantów. Powinna ona obejmować obowiązek zgłoszenia wizyty z wyprzedzeniem, weryfikację tożsamości, a także, co kluczowe, procedurę weryfikacji i ewentualnej „kwarantanny” sprzętu, który ma zostać wniesiony na teren zakładu.

Czy istnieją skuteczne narzędzia do skanowania laptopa i nośników USB przed wejściem na halę?

Tak, i jest to kluczowy element techniczny w procesie kontroli urządzeń zewnętrznych. Na rynku dostępne są specjalistyczne rozwiązania, często w formie tzw. „kiosków” lub stacji do kwarantanny.

Taki kiosk to dedykowany, odizolowany od sieci firmowej komputer, wyposażony w kilka lub kilkanaście różnych silników antywirusowych od różnych producentów. Serwisant, przed wejściem na halę produkcyjną, jest zobowiązany do podłączenia swojego pendrive’a lub laptopa do takiego kiosku. System przeprowadza dogłębne, wielowarstwowe skanowanie w poszukiwaniu jakichkolwiek śladów złośliwego oprogramowania.

Dopiero po otrzymaniu „certyfikatu czystości” z takiego kiosku, dany nośnik lub laptop może zostać dopuszczony do użytku w sieci OT. Wdrożenie takiej stacji kwarantanny przy głównym wejściu na obszar produkcyjny jest niezwykle skutecznym i widocznym dla wszystkich elementem budowania kultury bezpieczeństwa.

4 filary ochrony

Jak krok po kroku stworzyć „strefę kwarantanny” dla sprzętu serwisowego w Twojej fabryce?

Stworzenie „strefy kwarantanny” lub, bardziej formalnie, „bezpiecznego punktu wymiany danych”, to proces, który można zrealizować w kilku krokach.

1. Wybierz lokalizację: Powinno to być pomieszczenie łatwo dostępne dla osób wchodzących na teren produkcji, ale fizycznie odizolowane od kluczowych systemów.
2. Przygotuj sprzęt: Zainstaluj w tym pomieszczeniu dedykowany, odizolowany od sieci OT i IT komputer (wspomniany „kiosk”). Zainstaluj na nim oprogramowanie do skanowania (najlepiej kilka różnych silników AV) oraz wszystkie niezbędne narzędzia, których serwisanci mogą potrzebować.
3. Zdefiniuj proces: Stwórz prostą, krok-po-kroku instrukcję postępowania. Serwisant przychodzi do strefy -> podłącza swój nośnik do kiosku -> uruchamia skanowanie -> jeśli skan jest czysty, może przegrać potrzebne pliki na firmowy, „czysty” nośnik USB, który jako jedyny może zabrać na halę produkcyjną.
4. Przeszkol i zakomunikuj: Poinformuj wszystkich pracowników i partnerów zewnętrznych o istnieniu i obowiązkowym charakterze tej procedury.

Na czym polega koncepcja „cyber-clean room” i jakie firmy w Polsce ją wdrażają?

Koncepcja „cyber-clean room” to bardziej zaawansowana i sformalizowana wersja strefy kwarantanny. Jest ona stosowana w organizacjach o najwyższym poziomie dojrzałości, takich jak wojsko, energetyka jądrowa czy zaawansowana farmaceutyka. Jest to w pełni kontrolowane, odizolowane środowisko, w którym cały zewnętrzny sprzęt i oprogramowanie musi przejść rygorystyczne testy bezpieczeństwa, zanim zostanie dopuszczone do użytku. W Polsce, coraz więcej firm z sektora zbrojeniowego, energetycznego i chemicznego, w odpowiedzi na wymogi regulacyjne, wdraża elementy tej koncepcji, tworząc dedykowane, bezpieczne strefy dla firm serwisowych.

Jak skutecznie szkolić pracowników, by nie podłączali prywatnych telefonów do systemów sterowania?

Jest to klasyczny problem z zakresu budowania świadomości. Pracownicy często nie zdają sobie sprawy, że podłączenie smartfona do portu USB w panelu HMI w celu jego naładowania może stanowić poważne zagrożenie. Nowoczesne telefony to de facto komputery, które również mogą być zainfekowane złośliwym oprogramowaniem. Szkolenie w tym zakresie musi być bardzo bezpośrednie i oparte na prostych, życiowych przykładach. Należy wyjaśnić, że port USB w maszynie to nie to samo co gniazdko elektryczne. Dobrą praktyką jest również fizyczne zabezpieczenie lub zaślepienie nieużywanych portów USB na urządzeniach na hali produkcyjnej, stosując zasadę „ufaj, ale weryfikuj”.

Czy whitelisting urządzeń USB działa na starszych systemach, takich jak Windows 7?

Tak. Większość profesjonalnych rozwiązań do kontroli urządzeń i whitelisting’u wspiera również starsze, ale wciąż powszechnie używane w przemyśle systemy operacyjne, takie jak Windows 7, a nawet Windows XP. Oczywiście, poziom funkcjonalności i wsparcia może być różny w zależności od konkretnego produktu, dlatego przed zakupem należy to dokładnie zweryfikować. Jest to jednak w pełni realne i skuteczne rozwiązanie do wzmocnienia ochrony również na systemach legacy, dla których nie ma już innych, dostępnych mechanizmów obronnych.

W jaki sposób zintegrować logi z podłączeń nośników USB z centralnym systemem SIEM?

Nowoczesne oprogramowanie do kontroli urządzeń oraz systemy EDR posiadają zdolność do generowania szczegółowych logów na temat każdej aktywności na portach USB. Rejestrują one takie zdarzenia jak: podłączenie i odłączenie urządzenia, jego typ, producenta i numer seryjny, a także informacje o próbach kopiowania plików. Te logi mogą i powinny być przesyłane do centralnego systemu SIEM. Dzięki temu, analitycy w Centrum Operacji Bezpieczeństwa (SOC) mogą korelować te zdarzenia z innymi aktywnościami w sieci. Na przykład, alert o podłączeniu nieautoryzowanego USB, po którym nastąpił nietypowy ruch sieciowy z danego komputera, jest bardzo silnym wskaźnikiem trwającego incydentu.

Gdzie można znaleźć gotowe wzory i szablony polityki „czystych nośników” (clean media)?

Wiele organizacji i standardów branżowych udostępnia publicznie wzory i szablony polityk bezpieczeństwa, które można zaadaptować na własne potrzeby. Dobrym punktem wyjścia są darmowe zasoby publikowane przez takie instytucje jak amerykański NIST (National Institute of Standards and Technology) czy SANS Institute. Warto poszukać dokumentów pod hasłami „media protection policy” czy „removable media policy”. Należy jednak pamiętać, że każdy taki szablon musi zostać starannie dostosowany do specyfiki, kultury i możliwości technicznych Twojej organizacji.

Jak nFlo pomaga wdrożyć kompleksową strategię ochrony przed zagrożeniami fizycznymi i ludzkimi w OT?

W nFlo rozumiemy, że ochrona przed „niewidzialnym wrogiem” wymaga holistycznego podejścia, które łączy w sobie twarde technologie i miękkie procesy. Pomagamy naszym klientom na każdym etapie budowy tej strategii. Zaczynamy od warsztatów i analizy ryzyka, podczas których wspólnie identyfikujemy najbardziej krytyczne punkty i procesy związane z dostępem fizycznym i użyciem nośników przenośnych. Następnie, pomagamy w stworzeniu i wdrożeniu kompletnej dokumentacji – od polityki „czystych nośników”, po szczegółowe procedury wejścia dla firm zewnętrznych. Nasi inżynierowie doradzają również w wyborze i wdrożeniu odpowiednich technologii, takich jak systemy do kontroli portów USB czy stacje do kwarantanny, integrując je z istniejącą infrastrukturą. Wreszcie, wspieramy w budowaniu najważniejszej warstwy obrony, projektując i prowadząc dedykowane programy szkoleniowe dla pracowników i partnerów.