Дослідники Університету Британської Колумбії описали ICS-Sniper – лабораторний сценарій атаки на промислові об’єкти, що використовують хмарні SCADA-системи. SCADA – це системи, через які оператори стежать за обладнанням і надсилають команди, наприклад насосам чи клапанам. Робота показує, що VPN приховує зміст таких команд, але сам по собі не заважає зловмиснику вибірково порушувати їх доставлення.
Для атаки зловмисник має контролювати маршрутизатор або інший вузол на шляху мережевого трафіку. Це істотно обмежує сценарій: йдеться не про можливість атакувати будь-який промисловий об’єкт з інтернету. Водночас доступ до такого вузла дає змогу бачити не текст команд, а властивості пакетів: їхній розмір, напрямок руху та час передавання.
Розмір і час пакетів можуть видати критичний момент
Обмін даними між хмарною системою та промисловим майданчиком часто має повторюваний характер. За цими ознаками ICS-Sniper намагається визначити короткі проміжки, коли передаються команди або дані, важливі для керування процесом. Після цього вона не втручається у весь канал зв’язку, а відкидає пакети лише у вибрані моменти.
Такий підхід відрізняється від звичайного повного відключення мережі. Коли зв’язок зникає повністю, проблему легше помітити та пов’язати з мережею. Вибіркове скидання пакетів може виглядати як окремі збої передавання, але водночас впливати на фізичний процес.
Дослід перевірили на стендах очищення води
Автори продемонстрували три варіанти атаки на двох реалістичних тестових стендах Secure Water Treatment, що моделюють процес очищення води. У дослідженні йдеться про можливість порушити операційну безпеку, зокрема затримати потрібні дії обладнання або довше зберегти небажаний стан клапана.
ICS-Sniper є демонстрацією в лабораторному середовищі, а не описом підтвердженого інциденту на діючому підприємстві. Її головний висновок стосується межі захисту VPN: шифрування не відкриває команди сторонньому спостерігачу, проте не приховує повністю характер їхнього передавання. Для хмарних систем керування це означає, що захист каналу та контроль мережевих вузлів на маршруті мають розглядатися як пов’язані завдання.
Репозиторії, згадані в матеріалі: