Autor: Nermin Sefić
Moderna civilizacija ovisi o mreži infrastrukturnih sustava — električnim mrežama, vodoopskrbi, financijskim sustavima, zdravstvenim ustanovama i prometnoj infrastrukturi — koji su tijekom prethodnih…
Moderna civilizacija ovisi o mreži infrastrukturnih sustava — električnim mrežama, vodoopskrbi, financijskim sustavima, zdravstvenim ustanovama i prometnoj infrastrukturi — koji su tijekom prethodnih desetljeća sve više digitalizirani i međusobno povezani, donoseći značajne dobitke u učinkovitosti, ali istovremeno stvarajući novu kategoriju ranjivosti koja nije postojala kad su ovi sustavi bili fizički izolirani i analogni.
Industrijski kontrolni sustavi koji upravljaju kritičnom infrastrukturom — od elektrana i vodocrpilišta do proizvodnih pogona i prometne signalizacije — dizajnirani su tijekom desetljeća kad je kibernetička sigurnost bila irelevantna briga, jednostavno zato što su ti sustavi bili fizički izolirani od vanjskih mreža. Postupna digitalizacija i povezivanje ovih sustava s korporativnim mrežama i, u konačnici, internetom, radi lakšeg daljinskog nadzora i upravljanja, otvorila je te sustave prijetnjama koje njihovi izvorni dizajneri nikad nisu predvidjeli niti planirali obraniti.
Ova ranjivost postaje posebno akutna zato što su mnogi od ovih sustava dizajnirani za životni vijek od desetljeća, znatno dulji od tipičnog ciklusa nadogradnje u standardnoj informacijskoj tehnologiji. Rezultat je infrastruktura koja često pokreće zastarjeli softver koji više ne prima sigurnosne zakrpe, umetnuta u sustave koji su danas znatno više povezani i izloženi nego što su njihovi originalni dizajneri ikad predvidjeli.
Za razliku od kibernetičkog kriminala usmjerenog na financijsku dobit, napadi na kritičnu infrastrukturu sve češće uključuju državne aktere koji provode ili pripremaju sposobnosti za operacije koje bi u vrijeme otvorenog sukoba mogle onesposobiti protivničku infrastrukturu. Ova dinamika stvara novu kategoriju vojne pripreme koja se odvija tiho, kontinuirano, tijekom razdoblja formalnog mira, kroz infiltraciju i mapiranje ranjivosti u infrastrukturnim sustavima protivničkih zemalja.
Otkrivanje ovakvih infiltracija predstavlja jedinstven izazov upravo zato što je njihova svrha često dugoročna priprema, a ne trenutna šteta — napadač koji uspije infiltrirati energetsku mrežu možda neće poduzeti nikakvu vidljivu akciju godinama, jednostavno održavajući prisutnost i sposobnost za buduću upotrebu ako se geopolitička situacija pogorša do otvorenog sukoba. Ova strategija "predpozicioniranja" čini obranu znatno težom od obrane protiv tradicionalnog kibernetičkog kriminala koji obično nastoji ostvariti brzu, vidljivu financijsku korist.
Sigurnost kritične infrastrukture ne ovisi samo o sigurnosti pojedinačnih organizacija, nego i o sigurnosti cijelog lanca dobavljača softvera i opreme koji te organizacije koriste. Napad na jednog dobavljača softvera korištenog diljem tisuća organizacija može istovremeno ugroziti sve te organizacije, stvarajući razmjere štete koji dalekosežno nadmašuju ono što bi napadač mogao postići izravnim napadom na pojedinačnu metu.
Ova dinamika opskrbnog lanca stvara složen izazov upravljanja rizikom za organizacije koje moraju procijeniti ne samo vlastitu sigurnosnu poziciju, nego i sigurnosnu praksu svakog dobavljača softvera i opreme u vlastitom opskrbnom lancu — zadatak koji postaje eksponencijalno kompleksniji kako se broj digitalnih dobavljača i integracija povećava unutar tipične moderne organizacije.
Rastuća povezanost operativne tehnologije, koja izravno kontrolira fizičke procese poput protoka vode ili distribucije električne energije, s tradicionalnom informacijskom tehnologijom stvara novu kategoriju rizika u kojoj kibernetički napad može imati izravne, fizičke posljedice u stvarnom svijetu, umjesto da ostane ograničen na gubitak ili krađu podataka. Napad koji uspije manipulirati industrijskim kontrolnim sustavom teoretski bi mogao uzrokovati fizičku štetu na opremi, poremetiti opskrbu ključnim uslugama poput vode ili struje, ili, u najekstremnijim scenarijima, izravno ugroziti ljudske živote.
Ova konvergencija fizičke i digitalne sigurnosti zahtijeva potpuno novi pristup upravljanju rizikom koji kombinira tradicionalnu kibernetičku sigurnost s dubokim razumijevanjem fizičkih procesa koje ti digitalni sustavi kontroliraju, zahtijevajući stručnost koja rijetko postoji unutar jednog tima ili odjela, stvarajući organizacijski izazov uz tehnički.
S obzirom na razmjere i sofisticiranost prijetnji s kojima se suočava kritična infrastruktura, sve više stručnjaka zagovara pomak od filozofije koja pokušava postići savršenu prevenciju svakog mogućeg napada prema filozofiji otpornosti koja prihvaća da će se neki napadi uspjeti probiti, ali fokusira napore na brzo otkrivanje, izolaciju i oporavak kako bi se minimizirala stvarna šteta i vrijeme potrebno za povratak normalnog funkcioniranja.
Ova promjena filozofije zahtijeva ulaganje ne samo u preventivne sigurnosne mjere, nego i u sposobnosti nadzora koje mogu brzo otkriti neuobičajenu aktivnost, segmentaciju mreže koja ograničava koliko daleko napadač može doprijeti nakon početne infiltracije, i planove oporavka koji omogućuju brzo vraćanje kritičnih funkcija čak i ako su primarni sustavi kompromitirani.
Napadi ucjenjivačkim softverom (ransomware) na operatere kritične infrastrukture evoluirali su od rijetkih, izoliranih incidenata prema sustavnoj, financijski motiviranoj prijetnji koja povremeno uspijeva paralizirati značajne dijelove nacionalne infrastrukture. Ovi napadi, iako često provedeni od strane kriminalnih, ne državnih aktera motiviranih financijskom dobiti, mogu imati posljedice usporedive s državno sponzoriranim napadom, s obzirom na to da paraliza kritične infrastrukture poput naftovoda ili bolničkog sustava izaziva stvarne, opipljive posljedice neovisno o motivaciji napadača.
AI alati sve više se koriste i za obranu kritične infrastrukture, kroz brže otkrivanje anomalija u mrežnom prometu, i za napad, kroz automatizirano generiranje sofisticiranijih phishing kampanja ili identifikaciju ranjivosti u sustavima, stvarajući novu utrku naoružanja između obrambenih i napadačkih primjena iste temeljne tehnologije.
Prema izvještaju "2024 Threat Roundup" tvrtke Forescout, koji se oslanja na podatke Europskog repozitorija kibernetičkih incidenata, prijavljeni sigurnosni incidenti u kritičnoj infrastrukturi diljem svijeta porasli su za 668% od 2022. godine — brojka koja dramatično nadmašuje intuitivnu percepciju postupnog, linearnog rasta prijetnje. IBM-ov X-Force Threat Intelligence Index za 2024. dodatno otkriva da je kritična infrastruktura činila gotovo 70% svih globalnih kibernetičkih napada tijekom 2023. godine, s Europom koja je snosila najveći teret, čineći 32% globalnih incidenata.
Dodatna analiza pokazuje da je broj napada na kritičnu infrastrukturu porastao 30% samo između siječnja 2023. i siječnja 2024., dosežući preko 420 milijuna napada godišnje — ekvivalent od 13 napada svake sekunde diljem svijeta. Sektor zdravstva zaslužuje posebnu pozornost unutar ove šire slike, čineći 14,2% svih napada usmjerenih na kritičnu infrastrukturu prema podacima Svjetskog gospodarskog foruma za 2024., dok je istraživanje tvrtke Sophos otkrilo da su dvije trećine ispitanih zdravstvenih organizacija pretrpjele napad ucjenjivačkim softverom tijekom prethodne godine.
Ovaj dramatičan rast, dokumentiran kroz više nezavisnih izvora koji koriste različite metodologije prikupljanja podataka, potvrđuje da kibersigurnost kritične infrastrukture nije apstraktna, teoretska zabrinutost, nego mjerljiv, brzo rastući operativni rizik koji zahtijeva razmjerno hitno povećanje ulaganja u obrambene kapacitete.
Napad ucjenjivačkim softverom na Colonial Pipeline u svibnju 2021. ostaje najkonkretniji, najbolje dokumentiran primjer koliko poremećaj kritične infrastrukture kroz kibernetički napad može izgledati u praksi. Napadačka skupina DarkSide dobila je pristup sustavima kompanije kroz jednu jedinu ugroženu lozinku povezanu s neaktivnim VPN računom — vjerojatno dobivenu ponovnom upotrebom vjerodajnica iz prethodnog curenja podataka, ne kroz sofisticiran, ciljani napad. Nakon što su ekstrahirali oko 100 GB podataka i enkriptirali kritične datoteke, kompanija je preventivno ugasila cijeli cjevovod — najveći cjevovod naftnih derivata u SAD-u, koji prevozi preko 100 milijuna galona goriva dnevno i opskrbljuje 45% istočne obale SAD-a gorivom.
Šesterodnevni prekid rada, od 7. do 12. svibnja 2021., uzrokovao je masovnu paniku pri kupnji goriva, dugačke redove na benzinskim postajama i mjerljiv rast cijena goriva (procijenjeno u prosjeku 4 centa po galonu u pogođenim regijama), potičući predsjednika Bidena da proglasi izvanredno stanje. Colonial Pipeline platio je otkupninu od 75 bitcoina, tada vrijednih 4,4 milijuna dolara, unatoč ranijim izjavama da to neće učiniti — odluka koju je izvršni direktor kompanije opravdao neizvjesnošću oko stvarnog opsega kompromisa i željom da se ubrza oporavak. Ministarstvo pravosuđa naknadno je uspjelo povratiti otprilike 64 bitcoina od plaćene otkupnine.
Ovaj napad izravno je potaknuo Bidenovu Izvršnu naredbu o poboljšanju kibernetičke sigurnosti nacije, koja je naglasila potrebu za povećanim dijeljenjem obavještajnih podataka o prijetnjama među agencijama, pozvala na osiguravanje opskrbnog lanca softvera, i rezultirala stvaranjem Odbora za pregled kibernetičke sigurnosti. Ključna lekcija koju su istraživači izvukli iz slučaja jest da je kompanija preventivno ugasila cijeli fizički operativni sustav (OT mreža) čim je otkrila napad na IT sustave, čak i prije nego što je bilo potvrđeno da je OT mreža kompromitirana — potez koji je, iako ekonomski skup, spriječio da napad izravno ugrozi fizičku sigurnost cjevovoda.
Uz financijski motivirani napad na Colonial Pipeline, ukrajinska energetska mreža nudi kontrastan, jednako poučan primjer — dokazanu, kontinuiranu državnu kampanju usmjerenu prema kritičnoj infrastrukturi tijekom sedam godina, koju provodi ruska hakerska skupina Sandworm (identificirana od strane SAD-a kao Jedinica 74455 ruske vojne obavještajne službe). Prvi napad, 23. prosinca 2015., ostavio je 230.000 potrošača bez struje u temperaturama ispod nule tijekom jednog do šest sati — prvi javno potvrđen uspješan kibernetički napad na elektroenergetsku mrežu u povijesti.
Godinu dana kasnije, 17. prosinca 2016., Sandworm je izveo znatno sofisticiraniji, automatizirani napad koristeći zloćudni softver nazvan Industroyer, koji je isključio petinu Kijeva na jedan sat — napad koji je stručnjaci smatraju namjernim testom sposobnosti u manjem opsegu, ne pokušajem maksimalne štete. Analiza koda otkrila je da je Sandworm pokušao onesposobiti zaštitu od preopterećenja na zaštitnim relejima trafostanice kako bi uzrokovao trajnu fizičku štetu opremi kad bi operateri ponovno uključili sustav — pokušaj koji je propao samo zbog greške u zloćudnom kodu, ne zbog obrambenih mjera Ukrajine.
Najznačajniji treći napad dogodio se 8. travnja 2022., mjesec i pol nakon punog ruskog vojnog napada na Ukrajinu, koristeći novu varijantu istog zloćudnog softvera nazvanu Industroyer2, ciljanu na visokonaponske trafostanice. Prema izvještaju CERT-UA i ESET-a, napadači su se infiltrirali u ciljne sustave već u veljači, čekajući do planiranog datuma napada — dokaz dugotrajnog, strpljivog predpozicioniranja opisanog ranije u ovom tekstu. Napad je ovaj put brzo otkriven i neutraliziran prije nego što je prouzročio veći kvar, unatoč istovremenom raspoređivanju dodatnog zloćudnog softvera za brisanje podataka na druge sustave, uključujući ukrajinske banke.
Prema izvještaju Kongresne istraživačke službe SAD-a, fizički napadi projektilima i dronovima na ukrajinsku energetsku infrastrukturu tijekom rata pokazali su se strateški značajnijima od kibernetičkih napada, dovodeći mrežu do ruba kolapsa krajem 2022. — no kombinacija oba pristupa ilustrira kako moderna vojna kampanja protiv kritične infrastrukture kombinira tradicionalno kinetičko oružje s paralelnim, kontinuiranim kibernetičkim kampanjama, umjesto da se oslanja isključivo na jednu ili drugu metodu.
Napad na SolarWinds, otkriven u prosincu 2020., ostaje najbolje dokumentiran primjer ranije opisane ranjivosti opskrbnog lanca u praksi — pokazujući kako kompromitiranje jednog, naizgled sporednog dobavljača softvera može istovremeno ugroziti tisuće organizacija koje mu vjeruju. Napadači, koje je Mandiant kasnije pripisao skupini APT29 povezanoj s ruskom Vanjskom obavještajnom službom, infiltrirali su sustav za izgradnju softvera SolarWindsovog proizvoda Orion, ugrađujući zloćudni kod nazvan Sunburst u rutinske ažurirane verzije distribuirane između ožujka i lipnja 2020.
Razmjer je bio bez presedana — preko 18.000 organizacija, uključujući Microsoft, američko Ministarstvo domovinske sigurnosti, Ministarstvo trgovine i Ministarstvo financija, nesvjesno je instaliralo kompromitirano ažuriranje, dajući napadačima daljinski pristup njihovim sustavima. Zlonamjerna ažuriranja bila su digitalno potpisana legitimnim SolarWindsovim certifikatima, čineći ih posve nevidljivima uobičajenim sigurnosnim provjerama — organizacije su vjerovale i instalirale ažuriranje bez ikakve sumnje, upravo zato što je dolazilo iz pouzdanog, uspostavljenog kanala distribucije.
Financijske posljedice bile su značajne — prema IronNetovom izvještaju o kibernetičkom utjecaju iz 2021., 85% žrtava izvijestilo je o utjecaju u rasponu od "malog" do "značajnog", dok je prosječan trošak iznosio otprilike 11% godišnjeg prihoda pogođenih tvrtki (14% za američke tvrtke). Google Cloud analiza objavljena dvije godine nakon otkrića napada pokazuje trajan utjecaj na širi sigurnosni krajolik — kompromitiranje opskrbnog lanca poraslo je s manje od 1% svih upada u 2020. na 17% u 2021., pri čemu je čak 86% tih naknadnih upada bilo izravno povezano sa SolarWinds proboj.
Ovaj slučaj, zajedno s Colonial Pipeline napadom mjesec i pol kasnije te Kaseya ransomware napadom u srpnju 2021., potaknuo je Agenciju za kibernetičku sigurnost i sigurnost infrastrukture (CISA) da izda konkretne smjernice o ublažavanju rizika opskrbnog lanca softvera, uključujući izvršnu naredbu koja zahtijeva "popise sastojaka softvera" (SBOM) — dokumentaciju koja transparentno prikazuje sve komponente treće strane ugrađene u softverski proizvod, omogućujući organizacijama brže identificiranje jesu li pogođene budućim, sličnim napadima.
Kibernetička sigurnost kritične infrastrukture predstavlja jedno od najznačajnijih, a istovremeno najmanje vidljivih bojišta modernog doba. Za razliku od tradicionalnih vojnih sukoba koji se odvijaju vidljivo, s jasnim početkom i krajem, ova domena karakterizirana je kontinuiranim, tihim natjecanjem koje se odvija tijekom formalnog mira, s implikacijama koje sežu daleko izvan tradicionalnog vojnog konteksta u samu sposobnost modernih društava da funkcioniraju sigurno i pouzdano.
#Kibersigurnost #KritičnaInfrastruktura #SolarWinds #ColonialPipeline #Ransomware
#CyberSecurity #CriticalInfrastructure #NIS2 #Resilience #NerminSefic #GNKASG #GNKDINAMOLtd #gospodarstvo #financije #tehnologija #analiza #poslovanje #NerminSefić
Cjelovit tekst i izvor: https://gnk-asg.hr/objave/kiberneticka-sigurnost-kriticne-infrastrukture/
Autor i urednička odgovornost: Nermin Sefić. Izdavač: GNK ASG d.o.o..
#GNKASG #GNKDINAMOLtd #NerminSefic #BusinessIntelligence #cyberrisk #NIS2 #operationaltechnology #resilience #NerminSefić
