Kifejezetten a védelem kijátszására: a kritikus infrastruktúra egyre bővülő támadási felülete

• A kritikus infrastruktúrát az üzleti hálózatból származó zavarok érinthetik, és a közelmúltbeli közegészségügyi esetek jól illusztrálják, hogy egy felhasználó rosszindulatú fájllal kapcsolatos egyetlen cselekedete hogyan vezethet működési zavarok láncreakciójához.
• Az e-mail továbbra is a támadási felület egyik legforgalmasabb bejáratát jelenti: olyan csatorna, amely – tervezésénél fogva – nagy léptékben éri el mind a gépeket, mind az azokat kezelő embereket.
• Air-gapped Ezek a környezetek továbbra is a csatlakozó oldalról érkező tartalmaktól függenek, ezért fontos az upstream ellenőrzés, mielőtt a fájlok átjutnának az érzékenyebb rendszerekbe.
• Az innováció elengedhetetlen az ellenálló képességhez, de minden új beszállítót, integrációt és frissítési csatornát ugyanolyan gondossággal kell megtervezni, mint az általa biztosított működési előnyt.
• Az ilyen valóságra szabott védelmi rendszer az e-mail-biztonságot egy többrétegű, átfogó modell egyik alappillérének tekinti, amely még mielőtt a tartalom eljutna az olvasóhoz – legyen az ember vagy gép – ellenőrzi és csökkenti a kockázatot.

A kritikus infrastruktúrák esetében az elszigetelést gyakran tekintik a biztonság végcéljának: ha szegmentálják a hálózatot, és a legérzékenyebb rendszereket fizikai elszigeteléssel védik, akkor a probléma megoldottnak tekinthető. Az üzleti tevékenységek azonban az elszigetelt magon kívül zajlanak: ütemezés, logisztika, számlázás, folyamatnaplók, felügyelet. Ez a terület szintén támadási felületet jelent.

Tehát a kérdés nem csupán az, hogy mi található a levegőrés mögött, hanem az is, hogy mit lehet megakadályozni, mielőtt bármi is eljutna odáig. Számos kritikus infrastruktúrát üzemeltető szervezet – köztük kórházak, bankok és közlekedési hálózatok, amelyek a levegőrés mögött nem tudnának teljes mértékben működni – esetében az üzleti hálózat az infrastruktúra jelentős részét képezi.

És ennek a területnek van egy különösen forgalmas bejárata. Az e-mail a támadási felület egyik legforgalmasabb kapuja, egy olyan csatorna, amelyet minden szervezet szándékosan nyitva tart, mert így érkeznek a munkák: beszállítói frissítések, alvállalkozói dokumentumok, a projektet elindító táblázat. Kettős fenyegetést hordoz magában: egyrészt a gépeket éri el olyan fájlokkal és linkekkel, amelyek végrehajtódnak, másrészt az embereket olyan meggyőzéssel, amely ráveszi őket a fájlok megnyitására. Kevés csatorna képes mindkettőt hasonló mértékben biztosítani. Az alábbi esetek nyilvánosak, és bemutatják, hogyan válhat az e-mail, a rosszindulatú fájlok vagy a megbízható felhasználók cselekedetei egy szélesebb körű működési zavar első lépésévé.

Az ír Egészségügyi Szolgáltatási Hatóság (Health Service Executive) azon kevés áldozat egyike, amely a teljes átláthatóság mellett döntött: független vizsgálatot rendelt meg és tett közzé, ezért lehet az esetet részletesen áttekinteni. 2021 márciusában egy felhasználó rákattintott egy adathalász e-mailre, amely rosszindulatú szoftverrel fertőzte meg a munkaállomását. A támadók ezután nyolc héten át működtek a rendszeren belül, mielőtt a zsarolóvírust aktiválták volna; ezt az időt arra használták fel, hogy megfertőzzék a szervereket és a kiemelt jogosultságú fiókokat, oldalirányban terjedjenek, és adatokat szivárogtassanak ki, mielőtt a zavar országos szinten láthatóvá vált volna. Az egészségügyi szolgálat leállította informatikai rendszereit a terjedés megfékezése érdekében. A kórházak visszatértek a toll és papír használatához, országszerte lemondták a rendeléseket, a helyreállítás több mint négy hónapig tartott, és a helyreállítási költségeket 2024 novemberére 102 millió euróra becsülték.

Az e-mail-biztonsági hiba ritkán marad csupán e-mail-problémánál; láncreakcióként működési és üzleti zavarokhoz vezethet, amelyek pénzügyi következményekkel is járhatnak. 2024-ben az Ascension közölte, hogy egy alkalmazott letöltött egy rosszindulatú fájlt, amit a szervezet „jóhiszemű hibának” minősített. Az incidens következtében az egyik legnagyobb amerikai kórházi hálózatnak át kellett irányítania a mentőautókat, el kellett halasztania a kezeléseket, és később bejelentette, hogy 5 599 699 személyt érintett az eset.

Az egyik olyan forgatókönyv, amelyet a biztonsági vezetőknek figyelembe kell venniük, az, amikor eleinte semmi sem történik: a támadó beépül a vállalati hálózatba, és hozzáfér a hálózati diagramokhoz, a műszaki dokumentumokhoz, a hitelesítő adatokhoz, a karbantartási ütemtervekhez, valamint magukhoz az adatátviteli munkafolyamatokhoz. Amikor pedig az információk átolvasása cselekvésbe torkollik, a következmények akár a fizikai világra is kiterjedhetnek. A jelentések szerint így zajlott le a 2015-ös, az ukrán villamosenergia-hálózat ellen irányuló támadás: a nyilvános beszámolók és a műszaki elemzések szerint először a vállalati hálózatokat kompromittálták a BlackEnergy kártevőt tartalmazó, célzott adathalász e-mailek segítségével, majd felderítés, hitelesítő adatok ellopása és az alállomások összehangolt megzavarása következett. Az incidens körülbelül 225 000 fogyasztót érintett. Egy megbízható üzenet, egy rutinművelet, számos üzemeltetési következmény.

A kritikus infrastruktúra azért újul meg, mert muszáj. A fenyegetések egyre súlyosabbá válnak, a rendelkezésre állással szembeni elvárások nőnek, és a rendszer ellenállóképessége egyre inkább az intelligens, jobban összekapcsolt rendszerektől függ. Egy olyan alállomás, amely húsz éven át ugyanazt a logikát alkalmazta, ma már jelentést küldhet a felhőalapú elemző rendszernek; egy olyan szivattyú, amelyet korábban műszakonként egyszer kézzel ellenőriztek, ma már telemetriai adatokat továbbíthat a gyártónak; a korábban a meghibásodásra váró karbantartást pedig ma már a „ AI- ” és a gépi tanuláson alapuló előrejelzések irányíthatják. Ezek a fejlesztések nem opcionális kiegészítések; ezek révén tud a kritikus infrastruktúra lépést tartani a fejlődéssel. A lehetőségek jelentősnek mondhatók, feltéve, hogy a biztonsági modell is a környező technológiával együtt fejlődik.

Az innováció minden egyes hulláma változásokat hoz magával: új kódot, új integrációkat, új beszállítókat, frissítési csatornákat és új távoli hozzáférési útvonalakat. Egy átfogó terv segítségével ezek a változások kezelhetők. A biztonsági vezetők meghatározhatják, hogyan mozognak az adatok, hogyan kapcsolódnak be a beszállítók, hogyan kerülnek érvényesítésre a frissítések, és hol ellenőrzik a tartalmat, mielőtt az eljutna az érzékeny munkafolyamatokba. A kockázat nem maga az innováció, hanem a terv nélküli bizalom. Minden új beszállító és alvállalkozó új e-mail kapcsolatot hozhat létre, mellékletekkel, számlákkal és frissítési értesítésekkel, amelyeket a felhasználók várhatóan megnyitnak. A támadási felület bővül, és ezzel együtt nő azoknak a behatolási pontoknak a száma is, ahol valami megbízhatatlan, de legitimnek tűnő tartalom érkezhet.

Mi történik tehát, ha a modernizáció gyorsabban halad, mint az ellene kialakított védelmi rendszerek? Ez a kumulatív hatás: még ha a támadók képességei ma befagyna is, a sebezhetőség továbbra is növekedhet, mert a környezet folyamatosan új csatlakozási pontokkal bővül. A mesterséges intelligencia és a gépi tanulás javíthatja a védelmi oldalon az operatív ellenállóképességet, de a támadók képességeinek lassulására sem látszanak jelek. A mesterséges intelligencia felgyorsíthatja a kutatást, a célpontkijelölést és az iterációt a támadó oldalon, ami miatt a tervezett, adaptív biztonság a felelősségteljes innováció részévé válik, nem pedig annak akadályává.

Kevés üzemeltető tudja pontosan megjósolni, hogy öt év múlva milyen lesz a saját környezete, így előfordulhat, hogy a mai biztonsági architektúra már a tegnapi hálózati felépítést védi. A cél nem az innováció lassítása, hanem annak biztosítása, hogy a biztonság is az innovációval párhuzamosan fejlődjön. Az elszigetelés továbbra is fontos, de inkább egy szélesebb körű rugalmassági modell egyik rétegeként működik, nem pedig az egyetlen megoldásként.

A biztonsági vezetők gyakran három kérdés feltevésével mérik fel a fenyegetést: van-e az ellenfélnek szándéka, képessége és lehetősége? Számos kritikus infrastruktúra-környezet esetében mindhárom kérdésre egyre gyakrabban a „igen” a válasz.

• Cél: A kritikus infrastruktúrát az ellenséges szereplők szándékosan veszik célba, miután előzetesen felderítik áldozataikat, és valószínűleg továbbra is vonzó célpont marad, mivel a várható haszon igazolja a ráfordított erőfeszítést.
• Képesség: A támadások egyre inkább iparosodnak, mivel a mesterséges intelligencia csökkenti a kampányok kidolgozásának, tesztelésének és cseréjének költségeit.
• Lehetőség: a támadási felület változik, mivel az innováció összekapcsolja a korábban önállóan működő rendszereket, és a tartalom továbbra is átlép a megmaradt határokat.

Mindhárom esetben ugyanaz a két alapvető tényező érvényesül: az emberek továbbra is az e-mailre fognak támaszkodni, mert az elengedhetetlen a működés fenntartásához, és a tartalom továbbra is átlép majd számos, általunk felállított határt, mert így működnek a vállalkozások.

Az ilyen valóságra szabott védelmi rendszer jól felismerhető szerkezetű. Az e-mail-biztonságot a hálózati perem egyik legforgalmasabb kapujának tekinti, és ennek megfelelően biztosítja az erőforrásokat, mint egy holisztikus modell egyik pillérét. Ezen a kapun több rétegű ellenőrzést alkalmaz, amelyek mindegyike más-más feladatot lát el, így a tartalmat még azelőtt ellenőrzik és a kockázatot még azelőtt csökkentik, hogy az olvasó – legyen az ember vagy gép – hozzáérne. A működési cikluson belül mesterséges intelligenciával támogatott elemzést alkalmaz a gyorsabb összefüggésfelismerés, a gyorsabb osztályozás és a blokkolt kísérletekből való gyorsabb tanulás érdekében, így közelebb kerülve a támadók által diktált tempóhoz. Emellett a folyamatos fejlesztést a felelősségteljes modernizáció részének tekinti, mivel a fenyegetési környezet folyamatosan változik.

Az a kérdés, amelyet érdemes átgondolni a saját környezetünkben, egyszerű: amikor a tartalom azokba a rendszerekbe kerül, amelyek elvesztését a legkevésbé engedhetjük meg magunknak, hol van az a végső pont, ahol azt valóban ellenőrzik, és vajon az a pont felismerné-e a biztonságosnak és megbízhatónak tűnő tartalmat? Sok szervezet esetében a tartalom nyomon követése egészen addig, ahová először érkezett, gyakran ugyanazon a helyen végződik: a beérkező levelek mappájában.