Hogyan vezethet egyetlen kattintás akár a termelés leállásához, vagy veszélyeztetheti egy egész üzem mĹąködését? Renáta Pešinová, az ABB csehországi kiberbiztonsági szakértője bemutatja, miként alakulhat át egy látszólag egyszerĹą informatikai incidens komoly üzembiztonsági kockázattá.

Minden egyetlen kattintással kezdődhet

Egy átlagos hétfő reggelen egy gyártóvállalat irodájában az egyik munkatárs megnyit egy e-mailt. Az üzenet első pillantásra teljesen hitelesnek tĹąnik: egy jól ismert beszállító nevében érkezik, és arra kéri a címzettet, hogy ellenőrizzen egy dokumentumot. A levélben ehhez egy bejelentkezési link is szerepel.

A munkatárs rákattint.

A támadás gyakran éppen így kezdődik. A kiberbĹąnözők egyre kevésbé próbálják közvetlenül a gyártósorokat célba venni. Ehelyett az emberi tényezőt és a vállalat informatikai rendszereit használják belépési pontként. Ez különösen fontos kockázatot jelent egy olyan környezetben, ahol az informatikai (IT) rendszerek és az üzemeltetési technológiai (OT) infrastruktúrák egyre szorosabban kapcsolódnak egymáshoz.

Egy felhőszolgáltatásban kompromittált felhasználói fiók, a vállalati VPN-hez megszerzett hozzáférés vagy egy feltört e-mail-fiók már elegendő lehet ahhoz, hogy a támadó bejusson a vállalat hálózatába.

A Purdue-modell ezt a környezetet egymásra épülő, hierarchikus szintekre bontva szemlélteti: a vállalati IT-rendszerektől egészen az ipari folyamatokat közvetlenül vezérlő rendszerekig. A megfelelő hálózati szegmentáció és az egyes szintek közötti adatforgalom szigorú ellenőrzése ezért a védelem egyik alapvető eleme.

Miután a támadó bejutott az informatikai rendszerbe, sok esetben nincs szüksége látványos vagy különleges hackereszközökre. Jogosult felhasználónak álcázva mozoghat a rendszerben, figyeli a kommunikációt, feltérképezi a környezetet, majd kivár.

Napokig, akár hetekig is.

Ez a türelem teszi különösen nehezen észlelhetővé az ilyen támadásokat. A támadó fokozatosan próbál egyre mélyebbre jutni a vállalat rendszereiben.

Hozzáférhet a megosztott meghajtókon tárolt érzékeny adatokhoz, valamint a mĹąködés szempontjából kritikus rendszerekhez is, például a termeléstervezést, a logisztikát vagy a karbantartást támogató ERP- és MES-megoldásokhoz.

Ezen a ponton a támadás hatásai már a vállalat mĹąködésében is érezhetővé válhatnak. Gyakori forgatókönyv a zsarolóvírus-támadás (ransomware), amelynek során a támadó titkosítja az adatokat, a vállalat mĹąködése pedig részben vagy teljesen leállhat. A szervezet ilyenkor az adatok és a kritikus rendszerek helyreállítására koncentrál.

Ez azonban akár csak egy nagyobb támadás mellékhatása lehet.

Amikor elmosódik az IT és az OT közötti határ

A tapasztaltabb támadók számára az informatikai környezet sokszor nem végcél, hanem kiindulópont. Az IT-rendszerek segítségével próbálnak továbbjutni az üzemeltetési technológiák, vagyis az OT-rendszerek felé.

Ha a hálózat szegmentálása nem megfelelő, megosztott hozzáférések vannak érvényben, vagy a távoli kapcsolatok védelme nem elég erős, az IT és az OT közötti határ könnyen átjárhatóvá válhat.

Az ABB Reference Architecture iránymutatást ad a hálózati szintek biztonságos elkülönítéséhez, míg az ABB Secure Remote Platform a távoli hozzáférések ellenőrzött és biztonságos kezelését támogatja.

A támadás jellege akkor változik meg igazán, amikor eléri a SCADA irányítórendszereket és az üzemi adatbázisokat. Ezen a szinten már nem feltétlenül az a cél, hogy a támadó gyorsan titkosítsa vagy törölje az adatokat. Éppen ellenkezőleg: az észrevétlenség válik kulcsfontosságúvá.

A támadók gyakran olyan eszközöket használnak, amelyek egyébként is megtalálhatók az adott informatikai környezetben. Ilyen lehet például a PowerShell, különböző távoli felügyeleti megoldások vagy egyedi szkriptek. Ezek önmagukban teljesen legitim eszközök, ezért használatuk nem feltétlenül vált ki azonnal biztonsági riasztást.

Ezt a módszert gyakran „living off the land” néven említik: a támadó a már rendelkezésre álló rendszerek és eszközök segítségével hajt végre mĹąveleteket, így tevékenysége könnyebben elvegyülhet a normál mĹąködésben.

Mindez rámutat a modern ipari hálózatok egyik legnagyobb kihívására is. Az IT és az OT korábban fizikailag és logikailag is jóval inkább elkülönült egymástól. Ma azonban a hatékonyabb mĹąködés, a valós idejĹą adatmegosztás, az automatizálás és a távoli felügyelet érdekében egyre több kapcsolat épül ki közöttük.

A támadók pedig pontosan ezt az összekapcsoltságot próbálják kihasználni.

Amikor a képernyő már nem a valóságot mutatja

Amikor egy támadás eléri az operátori munkaállomásokat, a kockázat új szintre lép. A technológiai folyamatok felügyeletére használt HMI-képernyők ugyanis már nem csupán információt jelenítenek meg: bizonyos esetekben a folyamatok manipulációjának eszközévé is válhatnak.

A támadó módosíthatja a konfigurációkat, megváltoztathatja a képernyőkön megjelenő információkat, vagy hozzáférési adatokat szerezhet meg.

A legnagyobb veszélyt az jelenti, ha az operátor nem érzékeli a manipulációt. A képernyő továbbra is azt mutathatja, hogy minden rendben mĹąködik, miközben a fizikai folyamatok már ettől eltérő állapotban vannak.

Ezzel a támadás túllép a hagyományos informatikai incidens keretein: megkezdődhet a technológiai folyamatok közvetlen befolyásolása.

A valódi célpont pedig még egy szinttel lejjebb található.

Fizikai következmények: amikor a kibertámadás a valóságban is kárt okoz

Az ipari PLC-vezérlők és az adatgyĹąjtésre használt RTU-eszközök számos esetben olyan, gyártóspecifikus kommunikációs protokollokat használnak, amelyeket eredetileg nem a mai kiberbiztonsági követelmények figyelembevételével terveztek.

Ezekben a környezetekben előfordulhat, hogy a kommunikáció hitelesítése vagy titkosítása korlátozott. Ha a támadó hozzáférést szerez az érintett rendszerekhez, közvetlenül is küldhet utasításokat az ipari eszközöknek, szélsőséges esetben pedig akár a vezérlési logikát is módosíthatja.

Ezzel a támadás olyan szakaszba ér, amely már nem kezelhető kizárólag hagyományos informatikai biztonsági eszközökkel.

Egy PLC-ben módosított program észrevétlenül változtathatja meg a technológiai folyamat mĹąködését. Lassíthatja vagy felgyorsíthatja a folyamatokat, túlterhelheti a berendezéseket, vagy olyan kritikus állapotot idézhet elő, amely akár fizikai károsodáshoz is vezethet.

A támadási lánc végén már maga a fizikai világ áll: szelepek, turbinák, szállítószalagok, motorok és összetett ipari, például vegyipari folyamatok.

Ha a támadó az érzékelők vagy a vezérlési beállítások manipulálására is képes, az operátorok számára akár hamis mérési adatok jelenhetnek meg. A rendszer normál mĹąködési állapotot jelezhet, miközben a tényleges folyamat veszélyesen eltér a biztonságos paraméterektől.

Ezen a ponton már nem csupán adatvesztésről vagy informatikai leállásról van szó. A következmények jelentős pénzügyi és termelési veszteséget okozhatnak, de mindenekelőtt az üzembiztonságot és a környezetet is közvetlenül veszélyeztethetik.

Egyetlen lánc, egyetlen rés – súlyos következmények

Egy ipari kibertámadás ritkán egyetlen elszigetelt esemény. Inkább egymásra épülő lépések sorozata: egy adathalász e-maillel vagy kompromittált felhasználói fiókkal indulhat, majd a támadó fokozatosan egyre mélyebbre juthat a vállalati infrastruktúrában, végül pedig akár a fizikai folyamatokat vezérlő rendszereket is elérheti.

Az OT-biztonság ezért nem korlátozódhat a PLC-k vagy az ipari hálózatok védelmére. A teljes környezetet kell biztonsági szempontból átlátni, a felhőszolgáltatásoktól és az IT-rendszerektől egészen a fizikai folyamatokig.

A magyar gyártó- és feldolgozóipar gyors digitalizációja, valamint az európai uniós kiberbiztonsági követelmények – köztük a NIS2 irányelv – miatt ez a szemlélet a hazai vállalatok számára is egyre fontosabb.

„A magyarországi iparvállalatok esetében ma már nem az a kérdés, hogy éri-e őket kiberbiztonsági incidens, hanem az, hogy mikor és mennyire felkészülten éri őket” – mutat rá Ujfaludi Tamás, az ABB Magyarország Automatizálási üzletágának szakembere.

„A védekezés alapja a kockázatok felismerése, az információ- és üzembiztonsági kultúra kialakítása, valamint a munkatársak biztonságtudatosságának erősítése. A támadások ugyanis ma már nem feltétlenül a gyártócsarnokban, hanem akár egyetlen kattintással kezdődnek. Ezért a védekezés sem lehet kizárólag a kiberbiztonsági szakemberek feladata.”

A kiberbiztonság az ipari környezetben ma már nem pusztán az adatok védelméről szól. A tét maga a mĹąködés biztonsága – az informatikai rendszerektől egészen a fizikai folyamatokig.

English Summary

A single click can be enough to turn an ordinary IT incident into a serious operational technology (OT) security risk. Cyber attackers increasingly use compromised user accounts, phishing emails and vulnerable IT systems as entry points into industrial environments, gradually moving towards critical OT infrastructure. As the boundary between IT and OT becomes increasingly blurred, attackers may gain access to SCADA systems, HMI workstations and ultimately PLCs and other industrial control devices. At this stage, a cyberattack can go beyond data theft or production downtime and potentially affect physical processes, equipment and operational safety. Protecting industrial environments therefore requires a holistic approach that covers the entire digital and operational ecosystem, from cloud and corporate IT systems to industrial control systems and physical processes. Strengthening cybersecurity awareness, network segmentation, secure remote access and organisational preparedness is becoming increasingly important for industrial companies in the context of rapid digitalisation and evolving European cybersecurity requirements.