Μιχάλης Κούκος – Μηχανικός Αυτοματισμού
OT Security | ICS/SCADA | Critical Infrastructure
https://gr.linkedin.com/in/michalis-koukos-greece
Σε κάποιο αντλιοστάσιο αυτή τη στιγμή, κάποιος συνδέεται απομακρυσμένα.
Ίσως είναι ένας τεχνικός που προσπαθεί να εντοπίσει μια βλάβη αργά το βράδυ. Ίσως ένας εξωτερικός συνεργάτης που πραγματοποιεί συντήρηση σε έναν προγραμματιζόμενο λογικό ελεγκτή (PLC). Ίσως ένας προμηθευτής που υποστηρίζει εξοπλισμό από το γραφείο του σε άλλη πόλη ή ακόμη και σε άλλη χώρα.
Η απομακρυσμένη πρόσβαση δεν είναι πολυτέλεια. Είναι επιχειρησιακή ανάγκη. Επιτρέπει ταχύτερη αντιμετώπιση βλαβών, μειώνει τις μετακινήσεις προσωπικού, διευκολύνει τη συντήρηση και συμβάλλει στη διαθεσιμότητα κρίσιμων εγκαταστάσεων. Είναι δύσκολο να φανταστεί κανείς έναν σύγχρονο οργανισμό νερού που να λειτουργεί χωρίς αυτήν.
Το πραγματικό ερώτημα δεν είναι αν θα υπάρχει απομακρυσμένη πρόσβαση. Το ερώτημα είναι πώς αυτή ελέγχεται.
Πριν από είκοσι χρόνια, η πρόσβαση σε ένα απομακρυσμένο αντλιοστάσιο γινόταν συνήθως μέσω τηλεφωνικών γραμμών και modem. Σήμερα μιλάμε για κρυπτογραφημένες συνδέσεις (VPN), δρομολογητές κινητής τηλεφωνίας, πλατφόρμες απομακρυσμένης διαχείρισης μέσω cloud, εφαρμογές σε κινητές συσκευές και φορητούς υπολογιστές συνεργατών που μπορούν να συνδεθούν από οπουδήποτε στον κόσμο.
Η τεχνολογία εξελίχθηκε και έλυσε πραγματικά επιχειρησιακά προβλήματα. Ταυτόχρονα όμως αύξησε σημαντικά και την επιφάνεια έκθεσης.
Η εικόνα που συναντάται συχνά σε περιβάλλοντα λειτουργικής τεχνολογίας (Operational Technology – OT) επαναλαμβάνεται με ανησυχητική συνέπεια. Κοινόχρηστοι λογαριασμοί χρηστών. Προκαθορισμένοι κωδικοί πρόσβασης (default credentials) που δεν άλλαξαν ποτέ μετά την εγκατάσταση. Συνδέσεις απομακρυσμένης πρόσβασης που παρέμειναν ενεργές χρόνια μετά την ολοκλήρωση ενός έργου. Εξωτερικοί συνεργάτες με μόνιμα δικαιώματα πρόσβασης σε κρίσιμα συστήματα. Συστήματα χωρίς πολυπαραγοντική ταυτοποίηση (Multi Factor Authentication – MFA).
Το πρόβλημα στις περισσότερες περιπτώσεις δεν είναι η τεχνολογία. Είναι η διακυβέρνηση της πρόσβασης.
Πολλοί οργανισμοί δυσκολεύονται να απαντήσουν με βεβαιότητα σε απλά ερωτήματα. Ποιος έχει πρόσβαση στα συστήματα αυτοματισμού; Γιατί τη χρειάζεται; Πόσο συχνά χρησιμοποιείται; Πότε αναθεωρήθηκαν τελευταία φορά τα δικαιώματά του;
Η εμπειρία δείχνει ότι αρκετά περιστατικά δεν οφείλονται σε κάποιον άγνωστο εισβολέα που κατάφερε να παραβιάσει το σύστημα. Προέρχονται από λογαριασμούς, συνδέσεις ή δικαιώματα που υπήρχαν ήδη και παρέμειναν ενεργά περισσότερο από όσο έπρεπε.
Για πολλά χρόνια, η λογική ήταν απλή. «Δώστε πρόσβαση για να λυθεί το πρόβλημα». Σήμερα αυτή η προσέγγιση δεν επαρκεί.
Το διεθνές πρότυπο ISA/IEC 62443 αντιμετωπίζει την απομακρυσμένη πρόσβαση ως λειτουργία υψηλού κινδύνου που απαιτεί πρόσθετα μέτρα προστασίας. Παράλληλα, οι σύγχρονες απαιτήσεις κυβερνοασφάλειας και το κανονιστικό πλαίσιο που διαμορφώνεται μέσω της NIS2 οδηγούν σταδιακά σε μια διαφορετική φιλοσοφία.
Η χρήση ενός VPN εξακολουθεί να αποτελεί χρήσιμο τεχνολογικό εργαλείο. Ωστόσο, δεν θεωρείται πλέον από μόνη της επαρκής για κρίσιμα περιβάλλοντα. Το ζητούμενο δεν είναι απλώς να δημιουργηθεί μια ασφαλής σύνδεση. Είναι να ελέγχεται ποιος συνδέεται, σε τι αποκτά πρόσβαση και τι ακριβώς μπορεί να κάνει.
Για τον λόγο αυτό, οι σύγχρονες αρχιτεκτονικές Secure Remote Access βασίζονται στην αρχή της ελάχιστης απαραίτητης πρόσβασης. Ο απομακρυσμένος χρήστης δεν αποκτά γενική δικτυακή πρόσβαση στο περιβάλλον OT. Αντίθετα, αποκτά πρόσβαση μόνο στις συγκεκριμένες εφαρμογές, συσκευές ή λειτουργίες που απαιτούνται για την εργασία του, μέσω ελεγχόμενων πυλών πρόσβασης, ενδιάμεσων σταθμών (jump servers) ή μηχανισμών που επιτρέπουν την εκκίνηση εγκεκριμένων συνεδριών χωρίς άμεση έκθεση του δικτύου αυτοματισμού.
Η βέλτιστη πρακτική περιλαμβάνει MFA, έλεγχο και έγκριση συνδέσεων, χρονικά περιορισμένη πρόσβαση (just in time access), καθώς και πλήρη καταγραφή των ενεργειών του χρήστη.
Η λογική είναι απλή. Ο οργανισμός πρέπει να γνωρίζει ποιος συνδέθηκε, πότε συνδέθηκε, από πού συνδέθηκε και τι ακριβώς έκανε.
Και εδώ βρίσκεται μια ακόμη σημαντική αλλαγή φιλοσοφίας. Η καταγραφή γεγονότων (logging) δεν αρκεί πλέον από μόνη της. Σε ολοένα και περισσότερα περιβάλλοντα κρίσιμων υποδομών εφαρμόζονται μηχανισμοί καταγραφής και αναπαραγωγής συνεδριών (session recording), ώστε να υπάρχει πλήρες αποδεικτικό υλικό των ενεργειών που πραγματοποιήθηκαν κατά τη διάρκεια μιας απομακρυσμένης σύνδεσης. Η δυνατότητα αυτή διευκολύνει τη διερεύνηση περιστατικών, την απόδοση ευθυνών, την τεκμηρίωση αλλαγών και την απόδειξη συμμόρφωσης σε ελέγχους και επιθεωρήσεις.
Η εφαρμογή αυτών των αρχών δεν απαιτεί πάντα μεγάλες επενδύσεις. Συχνά ξεκινά από κάτι πολύ πιο απλό. Την καταγραφή όλων των ενεργών απομακρυσμένων προσβάσεων. Την κατάργηση κοινόχρηστων λογαριασμών. Την επανεξέταση των δικαιωμάτων εξωτερικών συνεργατών. Την εφαρμογή MFA όπου είναι εφικτό. Τον διαχωρισμό των δικτύων πληροφορικής (IT) από τα δίκτυα λειτουργικής τεχνολογίας (OT), ώστε ένα περιστατικό στο εταιρικό δίκτυο να μην οδηγεί αυτόματα σε πρόσβαση προς κρίσιμες εγκαταστάσεις.
Με τον Ν. 5160/2024, ο οποίος ενσωματώνει την ευρωπαϊκή οδηγία NIS2, η διαχείριση της απομακρυσμένης πρόσβασης παύει να αποτελεί απλώς καλή πρακτική. Οι οργανισμοί που διαχειρίζονται κρίσιμες υπηρεσίες καλούνται πλέον να αποδείξουν ότι γνωρίζουν ποιος έχει πρόσβαση στα συστήματά τους, πώς αυτή ελέγχεται και ποια μέτρα εφαρμόζονται για τη μείωση του κινδύνου.
Η απομακρυσμένη πρόσβαση δεν είναι από μόνη της κερκόπορτα. Γίνεται κερκόπορτα όταν δεν ελέγχεται.
Οι οργανισμοί νερού δεν χρειάζεται να εγκαταλείψουν τα οφέλη της ψηφιακής λειτουργίας. Χρειάζεται όμως να προσθέσουν σε αυτά τον έλεγχο, τη διαφάνεια και τη λογοδοσία που απαιτεί το σημερινό περιβάλλον απειλών.
Γιατί στο τέλος της ημέρας, το πραγματικό ερώτημα δεν είναι αν υπάρχει απομακρυσμένη πρόσβαση. Είναι αν μπορείτε να αποδείξετε ποιος συνδέθηκε, πότε συνδέθηκε, τι έκανε και γιατί είχε δικαίωμα να το κάνει.
