Néha könnyű úgy gondolni, nem mi vagyunk a célpontok. Akár személyes szinten - gondoljunk azokra a helyzetekre, amikor egyszerűen csak jobbnak kell lennünk valaki másnál vagy másoknál -, és persze üzleti szinten is.
Egy nemrégiben történt eset azonban ismét arra emlékeztetett, hogy a biztonság olyasmiről is szól, amiről nem gondolnánk, hogy a rosszfiúk bizony el tudják követni.
Egy üzleti találkozón történt, ahol a partnercégek némelyike SCADA felügyeletet használ. A SCADA (Supervisory Data and Control Aquisition) az ipari rendszerek felügyeletének egyik eszköze. Képzeljük el, hogyan nyithatók és zárhatók az áteresztő zsilipek egy gáton! Aligha kézi erővel. Nem úgy megy, hogy minden alkalommal leküldünk valakit nyitni vagy zárni a zsilipet. Megnyomunk egy gombot, és kész. Erre való a SCADA.
A nemzeti közműhálózatok működésének biztosításában találkozhatunk a legtöbbször SCADA felügyelettel. A SCADA azonban nem csupán olyan kulcsfontosságú rendszerekben teljesít szolgálatot, mint az országos közművek. És részben épp itt kezdődnek a gondok.
Akikkel beszélgettem, egy egyetemről hoztak példát, ahol SCADA felügyeli a vízmelegítők, fűtőberendezések, levegőkeringető rendszerek és más hasonlók működését. Kezdtem magyarázni nekik mindenfélét a tűzfalakról és a kétkulcsos azonosításról. Erre azonban annak a bizonyos cégnek a képviselői, amelyik felhőszolgáltatásként nyújtja a SCADA felügyeletet, közbevágtak. Azt mondták - finoman fogalmazva -, hogy "Ez mind szép és jó, de az ügyfeleinket nem érdekli a biztonság".
Megdermedtem, talán az állam is leesett, azt sem tudtam, erre mit mondjak.
Ők meg folytatták. "Nekünk mindig azt mondják: na és, akkor mi van, ha valaki bele tud avatkozni abba, milyen legyen a hőmérséklet egy iskolában."
IT-biztonsággal foglalkozó szakértőként ettől már valami nagyon furcsát kezdtem érezni a gyomromban. Miért? Lássuk csak: azért kell ügyelni a biztonságra, mert bármikor akadhat valaki, aki rossz szándékkal érkezik.
A múlt év végén hallhattunk kósza híreket ilyen esetről, bár a részleteket nem teregették ki. A hírekben egy német acélgyárról volt szó, ahol be kellett szüntetni a termelést. A hackertámadás rettenetes károkat okozott. Mi célból? Minden valószínűség szerint közönséges kibervandalizmus történt. Fel sem merült másik vállalat neve vagy a közműhálózat elleni támadás gyanúja - ahogy azt az ember első hallásra gondolná.
Ebből az esetből is van mit tanulni. Mindenekelőtt bármely biztonsági kérdés kapcsán mérlegelnünk kell a költség-kockázat arányt. Mennyibe kerülhet nekünk az, ha leáll az üzlet? Nem kell mindjárt egy leblokkolt acélgyárat elképzelni, hogy elgondolkodjunk a felvetésen. Na és mennyibe kerül a védelem?
Most pedig gondolkodjunk el azon, tudomásunk szerint mire lehetnek képesek a bajkeverők. Ezt követően higgyük el, nemcsak arra képesek, amit feltételezünk róluk, hanem olyasmire is, amire álmunkban sem gondolnánk. Éppen ez a gond. Egyesek ezt nevezik a nem szándékos következmények szabályának.
Harmadsorban ne úgy gondoljunk a biztonságra, hogy valaki valahol az adatainkra pályázik. Amennyiben az adataidat nem tudom ellopni, hát majd ellopom az erőforrásaidat. Azok is elég értékesek.
Mi van akkor, ha a rosszfiúk csak az internetkapcsolatunkra pályáznak? Használatba vehetik az ipari internetünket vagy a dolgok internetét, hogy saját adatforgalmukat ezen vezessék keresztül. Ezek a csatornák pompásan megfelelnek az általuk űzött illegális ügyletek, törvénytelenségek elrejtésére, de arra is tökéletesen alkalmasak, hogy innen kiindulva indítsanak támadást más szervezetek ellen. El tudjuk képzelni, milyen volna, ha kiderülne, hogy a versenytársainknál a tűzfalak éppen a mi IP-címünkről érkező támadásokat naplóznak?
Mint tudjuk, a megkaparintott erőforrásokat és a hozzáférést olykor hónapokig vagy akár évekig altatják, s csak később veszik használatba. Lehet, hogy nem azonnal bújnak elő a rosszfiúk. Még várnak, figyelnek, tervezgetnek.
Hogyan tudnánk előre megmondani, mi tetszik meg egy mindenre elszánt pokolfajzatnak? Egyszerű a válasz: sehogy.
