Информационная безопасность в нефтегазе: правильный доступ к важному
Аналоговые времена ушли. Каждое промышленное предприятие либо уже является «цифровым», либо стремится стать таковым в угоду требованиям современности и задачам бизнеса. Но грань между цифровым и реальным мирами настолько мала, что возникает логичный вопрос: «Как надёжно и правильно защитить то, что есть, и сохранить эффективность?». О синергии бизнеса, технологий и безопасности в нефтегазовой сфере читайте в нашем материале.
Казалось бы, крупные компании нефтегазовой отрасли уже достигли своей ИТ-зрелости: у них высокий уровень киберзащиты, отлаженные с точки зрения информационной безопасности (ИБ) процессы, они умеют обеспечивать непрерывность бизнеса и управлять спонтанно возникающими рисками.
Однако нештатные ситуации все же случаются, и для нефтегазового сектора они зачастую оборачиваются критическими последствиями: начиная с финансовых убытков и заканчивая нарушениями технологических процессов. Последние при этом могут иметь масштабный, даже техногенный характер — от сбоев в производственной деятельности до влияния на окружающую среду и здоровье людей.
Так, например, два года назад на крупнейшую американскую корпорацию, трубопроводного оператора Colonial Pipeline, была совершена хакерская атака, в результате которой остановилась работа трубопровода. Злоумышленники из группировки DarkSide, предположительно состоящей из российских и восточноевропейских хакеров, похитили большой объём данных, в том числе и «чувствительную» внутреннюю информацию, заблокировали корпоративные сети оператора.
Для Восточного побережья США это могло обернуться настоящей катастрофой. Под серьёзной угрозой оказались поставки топлива на автомобильные заправки в нескольких штатах региона.
По мнению экспертов, кибервзлом мог привести к стремительному росту стоимости бензина в стране до самого высокого за последние семь лет уровня и, как следствие, — дефициту горючего.
Чтобы восстановить деятельность критически важного объекта и вернуть доступ к своей сети, Colonial Pipeline пришлось тогда заплатить киберпреступникам почти $5 млн (но часть этого выкупа правительству США удалось вернуть корпорации обратно).
А буквально на днях группировка иранских хакеров Cyber Avengers (известная также как CyberAv3ngers) взломала системы концерна BAZAN, крупнейшего нефтеперерабатывающего завода Израиля. В результате атаки они украли критически важную информацию, которую используют в числе прочего для мониторинга и управления промышленными контрольными системами на производстве. Также были заблокированы и недоступны пользователям все внешние веб-ресурсы корпорации.
Без статистики не жизнь
Активность интернет-вымогателей сейчас стремительно растет. Об этом говорится в исследовании, подготовленном экспертами Positive Technologies (опубликованном на сайте компании 16.06.2023). Аналитики отмечают, что в I квартале текущего года количество киберинцидентов в целом увеличилось на 7% в сравнении с данными предыдущего квартала и стало на 10% больше, чем в начале прошлого года.
Злоумышленники действуют целенаправленно: в основном атакуют крупный бизнес, при этом не только работая напрямую, но и используя цепочки связанных предприятий. Чаще всего он «страдает» от утечек конфиденциальной информации (51%) и нарушений основной деятельности (44%). И как результат — опасные перебои в работе компаний и критически значимой инфраструктуры, масштабные утечки данных, несущие серьёзные последствия зачастую в больших масштабах.
Нефтегазовая отрасль как мощнейшая составляющая промышленного сектора остаётся одной из главных целей для «нападения» киберпреступников. Это подтверждает и отраслевой отчёт компании «Лаборатория Касперского», в котором говорится о хакерских атаках на промышленный сектор в 2022 году (опубликован на сайте компании 20.09.2022). Основной вывод — доля интернет-вымогателей в нём увеличилась.
Натиск на нефтегазовую отрасль в целом и автоматизированные системы управления (АСУ), где лидируют системы автоматизации зданий, в частности заметно усилился. По данным аналитиков, показатели угроз в первом полугодии прошлого года значительно выросли: опасных веб-ресурсов — на 44%, троянцев-шпионов — на 18%, вредоносных документов — на 80%.
Подобный тренд является критичным, а для нефтегазового сектора — особенно.
РАМ или пропал
Что является «золотым стандартом» ИБ для защиты ИТ-инфраструктуры, каждый бизнес выбирает сам, но вопрос человеческого фактора здесь нельзя не учитывать и сбрасывать со счетов.
Сценарии взлома и компрометации становятся возможными зачастую именно из-за него.
В первую очередь это результат несанкционированных действий штатных и внештатных сотрудников компаний (администраторов, специалистов по ИБ, инженеров) и внешних специалистов (подрядчиков, аутсорсеров, аудиторов), работающих с критически важной информацией, имеющих специальный доступ, обладающих набором высоких привилегий в корпоративных и технологичных ИТ-системах.
Практически во всех случаях этот доступ выдан сотрудникам правомерно, но оставаться бесконтрольным он не может, ведь осуществляемые ими операции необходимо фиксировать, анализировать и вовремя на них реагировать, если это несет потенциальную ИБ-угрозу.
Системы класса PAM (Privileged Access Management) не станут панацеей от всех бед, но вместе с другими системами безопасности, входя в тот самый «золотой стандарт», позволят существенно снизить возможные риски и оперативно предупреждать возникающие угрозы. Первоочередная задача PAM — управление и контроль учётных записей привилегированных пользователей, будь то представители ИТ-подразделений, подрядчики или даже сотрудники служб ИБ.
Все они имеют доступ к критически важным информационным ресурсам компаний, и, если они действуют с точки зрения злого умысла, РАМ-система защитит ИТ-периметр от нежелательного вмешательства: от фиксации данных входа через запись каждого действия и аудита до управления инцидентами, реагирования на них и проведения расследований.
А так как каждый пользователь — это в первую очередь его учётная запись, то и функции управления паролями также ложатся на «плечи» систем этого класса: так можно предоставить доступ и при этом минимизировать риск компрометации учётных данных.
Но не стоит забывать, что любая система, будь то ИТ или ИБ, должна реально работать, а не декларировать свои возможности в рекламно-маркетинговых материалах. Её выбор необходимо проводить, исходя из целей и задач бизнеса — определяя их до, а не во время внедрения в контур безопасности.
Немного конкретики
Доверие вызывают продукты, эффективность и гибкость которых подтверждена десятками практических внедрений на крупных и сложных инфраструктурах. Это должно быть комплексное решение, каждая составляющая которого отвечает за свою задачу по обеспечению безопасности ИТ-контура от действий пользователей с привилегиями, вместе образуя эффективную и взаимодополняющую экосистему. Рассмотрим принцип работы такой системы на примере «СКДПУ НТ» (разработка компании«АйТи Бастион»).
Точкой доступа к инфраструктуре является «СКДПУ НТ Шлюз доступа». Это базовый элемент не только доступа, но и сбора всей необходимой информации для её последующего анализа. Шлюз доступа проводит проверку разрешений для каждого пользователя, обеспечивает управление их паролями, выполняет задачи по первичным блокировкам нежелательных действий.
Другим не менее значимым элементом системы являются «СКДПУ НТ Мониторинг и аналитика», позволяющий объединить информацию со всех точек доступа в единую базу данных и в результате подробно анализировать и контролировать происходящие внутри инфраструктуры сессии доступы, оперативно реагировать на возникающие ИБ-инциденты.
Эксплуатация решения на сложных высоконагруженных инфраструктурах позволяет реализовать важную функцию экосистемы — автоматизированное управление доступом в «СКДПУ НТ Портал доступа». С его помощью можно агрегировать доступы конкретного пользователя в сложных разветвлённых системах основного решения и не только получить доступ, но и классифицировать его при помощи группировок и «избранного».
Если речь идет о доверии, то важно, чтобы продукт в контуре предприятия был включен в Реестр отечественного ПО, имел сертификат ФСТЭК России по требованиям к безопасности информации, работал на отечественной операционной системе. В случае с комплексом «СКДПУ НТ», например, все эти условия соблюдены, что позволяет закрывать вопросы как «бумажной», так и реальной безопасности.
Вопрос контроля действий пользователей не имеет границ в части размеров бизнеса и его инфраструктуры: хакеры атакуют любые компании. А РАМ-система способна защищать от их действий и предприятия с небольшой ИТ-структурой и ограниченным бюджетом на ИБ, в том числе и те, которые могут входить в цепочки поставок более крупных компаний.
Для таких задач внедряются проекты с использованием компактных, «коробочных» решений — отдельного продукта«СКДПУ НТ Компакт», который работают так же, как «большой»РАМ, но применяется в менее крупных бизнес-масштабах.
«Единое окно» и автоматизация
Возвращаясь к сегменту крупного бизнеса, в частности к распределённым ИТ-периметрам нефтегазового сектора, нельзя обойти вниманием его бизнес-процессы. Информационные системы — сложный механизм, требующий контроля и должного уровня автоматизации, иначе вопрос их поддержки превратится в бесконечную борьбу с «бюрократией» и затыканием «дыр в безопасности».
Поэтому внедрение ИБ-комплексов на предприятиях не ограничивается только предоставлением и фиксацией этого доступа в специализированных системах класса PAM.
Бизнес предъявляет повышенные требования к управлению доступом и автоматизации процесса его заведения. Речь здесь идёт не только о самих пользователях, но о полном цикле «запрос создания целевой машины — создание аккаунта доступа — предоставление доступа».
То есть о полной автоматизации и оркестрации доступа для реализации сервиса «единого окна» в режиме портала самообслуживания. Это позволяет «убить двух зайцев» сразу: повысить скорость согласования доступа и сохранить прозрачность и качество контроля в рамках инфраструктуры.
Такое решение предоставляет пользовательские доступы к новым целевым системам автоматически — через внутренний портал самообслуживания. Также он сверяет получаемые данные, отзывает доступы в момент удаления ресурсов и коррелирует информацию на основе описанных в каталогах взаимосвязей.
Если все эти операции проходят успешно, пользователь получает доступ к запрошенному ресурсу без «ручного режима». Так работает полная автоматизация процессов запросов на предоставление доступа и самого доступа, создания машин и заведение определённых политик доступа по запросам в организации.
Вместо заключения
Цифровизация нефтегазового сектора и стремительное внедрение новых технологий являются сегодня основным вектором развития промышленности.
А любая динамично растущая сфера привлекает к себе внимание, в том числе и со стороны киберпреступников. Многие их атаки происходят в результате проникновения в корпоративную сеть через пользовательские устройства и являются целенаправленными.
Нефтегазовому бизнесу необходимо уделять вопросам кибербезопасности самое пристальное внимание и особенно — укреплять технологическую базу вместе со всеми составляющими своей ИТ-инфраструктуры, выстраивая плотную бизнес-ориентированную систему информационной безопасности.
Причем действовать нужно комплексно, обращая внимание на специализированные, работающие с учётом специфики отрасли системы защиты нового поколения. Только так можно гарантированно обеспечить безопасность корпоративного ИТ-периметра.
Текст: Константин Родин, руководитель направления по развитию продуктов, эксперт компании «АйТи Бастион»
