OT/ICS: bezpečnost průmyslových sítí
Sítě, které hýbou skutečnými věcmi: PLC, HMI a historian, priorita dostupnosti, Purdue model a segmentace IT/OT, průmyslová DMZ, Modbus bez autentizace, datová dioda a jednosměrné toky, útoky na OT (Stuxnet, ransomware, insider, dodavatelský přístup) a obrana v provozu (inventura, pasivní monitoring, zóny, zálohy).
Lekce 1: Co je OT a proč je jiné
Síť, která hýbe věcmi
Zatím jsme se v kurzech pohybovali v IT světě: počítače, servery, weby – síť přenáší informace. Teď vstoupíme do světa, kde síť hýbe skutečnými věcmi: pásy ve fabrice, ventily v úpravně vody, turbínami v elektrárně. Říká se mu OT (Operational Technology – provozní technologie) a jeho síťové podobě ICS (Industrial Control Systems – průmyslové řídicí systémy). Poznej hlavní prvky na scéně: PLC (programovatelný automat) je malý odolný počítač přišroubovaný u stroje – čte čidla a spíná motory či ventily; je to ruka, která věcmi skutečně hýbe. HMI (Human-Machine Interface) je dotykový panel nebo velín, ze kterého operátor výrobu sleduje a řídí – posílá PLC povely. Historian je databáze, která průběžně ukládá hodnoty z výroby (teploty, tlaky, počty kusů), aby se na ně mohl podívat i zbytek firmy. A celému dohledovému systému nad tím vším se říká SCADA. Proč to řešit v kurzu o bezpečnosti? Protože když v IT něco selže, ztratíš data. Když selže OT, zastaví se výroba – nebo bouchne kotel. Firewall (FW) a datová dioda (DIODE) na scéně dostanou smysl v dalších lekcích.
Krok za krokem
- PLC je odolný počítač u stroje. Čte čidla a spíná motory či ventily – hýbe skutečnými věcmi.
- Operátor z HMI (panel, velín) výrobu sleduje a řídí – posílá PLC povely. Dohledu nad vším se říká SCADA.
- Historian průběžně ukládá hodnoty z výroby (teploty, tlaky, kusy), aby je viděl i zbytek firmy.
- Proč bezpečnost? Když selže IT, ztratíš data. Když selže OT, stojí výroba – nebo se stane fyzická škoda.
Dostupnost nade vše
V IT bezpečnosti ses učil pořadí priorit CIA: nejdřív důvěrnost (Confidentiality), pak integrita, nakonec dostupnost. V OT platí přesně obrácené pořadí: dostupnost > integrita > důvěrnost. Proč? Představ si linku, která plní lahve. Jestli někdo „přečte", kolik lahví za hodinu naplníš, je to nepříjemné – ale výroba jede. Jestli se ale linka zastaví, každá minuta stojí peníze, rozjezd trvá hodiny a u některých procesů (tavicí pec, chemie) může odstávka znamenat zničené zařízení nebo nebezpečí pro lidi. Z téhle priority plyne chování, které IT člověka zaskočí: v OT se nerestartuje „pro jistotu", neinstaluje se aktualizace uprostřed směny a bezpečnostní opatření, které by mohlo výrobu shodit, je horší než žádné. I dobře míněný zásah – sken sítě, agent na stanici – může citlivé řídicí systémy položit (víc v lekci 6). Zapamatuj si to jako klíč k celému kurzu: každé opatření v OT se posuzuje otázkou „může to zastavit výrobu?" – a teprve potom „zvýší to bezpečnost?".
Krok za krokem
- V IT chráníš hlavně data: pořadí CIA – důvěrnost, integrita, dostupnost.
- V OT je pořadí obrácené: dostupnost nade vše. Linka musí jet.
- Zastavená výroba stojí peníze každou minutu; u pecí či chemie hrozí zničené zařízení nebo nebezpečí pro lidi.
- Klíč kurzu: každé opatření v OT posuzuj nejdřív otázkou „může to zastavit výrobu?" – teprve pak „zvýší to bezpečnost?".
Dvacet let bez patche
Druhý kulturní šok pro IT člověka: stáří zařízení. Notebook měníš po pěti letech, server po sedmi. PLC a řídicí systémy se kupují s výrobní linkou a slouží 20 i 30 let – dokud linka jede. Uvnitř často běží starý systém (Windows XP na velínu není vtip, ale běžná realita), na který už roky neexistují záplaty. A i kdyby existovaly: aktualizace znamená odstávku a riziko, že se linka po restartu nerozjede – a výrobce linky často zakazuje do systému sahat, jinak ztratíš záruku a certifikaci. Výsledek: v OT síti stojí zařízení plná známých, nikdy neopravených děr – a nikdo je opravit nesmí nebo nemůže. Co s tím? Přístup se musí otočit: když nemůžu opravit zařízení, musím ochránit síť kolem něj. Zranitelné PLC obklopím segmentací a firewallem tak, aby se k němu útočník vůbec nedostal – díra, na kterou nikdo nedosáhne, se nedá zneužít. Tomu se říká kompenzační opatření a je to hlavní důvod, proč je celý zbytek kurzu o segmentaci, jednosměrných tocích a monitoringu, ne o patchování.
Krok za krokem
- PLC a řídicí systémy se kupují s linkou a slouží desítky let – dokud linka jede.
- Uvnitř běží staré systémy bez záplat; aktualizace = odstávka + riziko + často zákaz od výrobce linky.
- Otoč přístup: díru, na kterou útočník nedosáhne, nejde zneužít. Zranitelné PLC obklop segmentací a firewallem.
- Tomu se říká kompenzační opatření – a proto je zbytek kurzu o segmentaci, jednosměrných tocích a monitoringu.
Lekce 2: Purdue model a segmentace IT/OT
Purdue model: patra fabriky
Jak se v průmyslové síti vyznat? Používá se mapa jménem Purdue model: rozdělí fabriku do úrovní 0–4 podle toho, jak blízko jsou fyzickému procesu. Úroveň 0: čidla a akční členy – teploměry, ventily, motory. Úroveň 1: PLC, které je čtou a řídí. Úroveň 2: dohled a ovládání – HMI, velín, SCADA. Úroveň 3: řízení výroby jako celku (plánování směn, řízení receptur). A nahoře úroveň 4: běžné firemní IT – e-maily, účetnictví, kanceláře. Na naší scéně: IT-PC je úroveň 4, HMI úroveň 2, PLC úroveň 1. K čemu ta mapa je? Dává řeč, kterou se domluví síťař s technologem: „tenhle provoz patří do úrovně 2, tudy nesmí nic z úrovně 4". A hlavně definuje hranice: mezi úrovněmi (hlavně mezi 3 a 4 – mezi OT a IT) se staví firewall a provoz se povoluje jen výjimečně a vědomě. Čím níž v modelu jsi, tím je síť citlivější a tím míň věcí do ní smí. Jak přesně hranici IT/OT postavit, ukážou další dva moduly.
Krok za krokem
- Dole úroveň 0 (čidla, ventily, motory) a úroveň 1 (PLC, které je řídí). Nejcitlivější patra.
- Úroveň 2: dohled a ovládání – HMI, velín, SCADA. Úroveň 3 pak řídí výrobu jako celek.
- Nahoře úroveň 4: kanceláře, e-maily, účetnictví – běžná firemní IT síť.
- Mezi úrovněmi se staví hranice – hlavně mezi IT a OT stojí firewall a provoz se povoluje jen vědomě.
Proč IT nesmí přímo na PLC
Proč tak přísně? Vždyť by bylo pohodlné, kdyby se šéf výroby podíval z kanceláře přímo na PLC… Jenže domysli, co přímé spojení znamená. Kancelářská síť (úroveň 4) je nejšpinavější část firmy: lidé v ní klikají na přílohy, brouzdají po webu, nosí si vlastní zařízení – tam se malware objevuje běžně. Kdyby z ní vedla přímá cesta na PLC, každý zavirovaný kancelářský počítač je jeden skok od výroby. A vzpomeň na lekci 1: PLC je dvacet let staré, bez záplat, a spadne-li, stojí linka. Přímé spojení IT→PLC tedy spojuje nejšpinavější síť s nejzranitelnějším zařízením – nejhorší možná kombinace. Proto platí pravidlo: IT sítě se PLC nikdy nedotýká přímo. Mezi IT a OT stojí firewall (na scéně FW) s politikou default-deny: co není výslovně povoleno, je zakázáno – stejné pravidlo, jaké znáš z kurzu 5, jen tady hlídá hranici mezi dvěma vnitřními světy, ne hranici s internetem. Jenže výroba data sdílet potřebuje (šéf ta čísla opravdu chce). Jak je dostat ven, aniž by dovnitř vedla cesta? To je práce pro průmyslovou DMZ – další modul.
Krok za krokem
- Úroveň 4 je nejšpinavější: přílohy, web, vlastní zařízení – malware se tu objevuje běžně.
- Přímé spojení IT→PLC = nejšpinavější síť + nejzranitelnější zařízení. Zavirovaný počítač je jeden skok od výroby.
- Proto mezi IT a OT stojí firewall s default-deny: co není výslovně povoleno, je zakázáno (kurz 5).
- Výroba ale data sdílet potřebuje. Jak je dostat ven bez cesty dovnitř? To řeší průmyslová DMZ – další modul.
Průmyslová DMZ a prostředník
Z kurzu 5 znáš DMZ: předsíň mezi internetem a vnitřní sítí, kam dáš web server, aby cizí lidé nechodili dovnitř. Průmysl používá stejný trik mezi IT a OT: postaví průmyslovou DMZ (v Purdue modelu se jí říká úroveň 3.5, protože leží přesně mezi úrovní 3 – řízením výroby – a úrovní 4 – firemním IT) a do ní umístí historian – prostředníka na data. Tok vypadá takhle: historian si z OT strany průběžně stahuje hodnoty z výroby a ukládá je; z IT strany se pak kdokoli oprávněný podívá na historian (databázový dotaz) a čísla si přečte. Klíčové je, co firewall povoluje: IT → historian: ANO (jen databázový port), IT → PLC: NE, OT → historian: ANO (sběr dat). Žádné pravidlo nevede z IT do OT! Šéf výroby svá čísla má – a přitom neexistuje cesta, kterou by malware z kanceláře doskočil na PLC: doletí nejdál na historian, který je (na rozdíl od PLC) moderní, patchovaný a postradatelný – kdyby padl, výroba jede dál. Všimni si obecného principu, potká tě v celé OT bezpečnosti: data se předávají přes prostředníka v DMZ, nikdy přímým spojem mezi špinavou a citlivou sítí. Přesně takhle je postavený i preset „OT/ICS síť" v simulátoru – vyzkoušíš ho v lekci 3.
Krok za krokem
- Mezi IT a OT se postaví průmyslová DMZ (úroveň 3.5) a do ní se dá historian – prostředník na data.
- Z OT strany historian průběžně sbírá hodnoty z výroby a ukládá je.
- Z IT strany se oprávnění dívají na historian (databázový dotaz). IT → PLC žádné pravidlo nepovoluje.
- Princip celé OT bezpečnosti: data přes prostředníka v DMZ, nikdy přímý spoj mezi špinavou a citlivou sítí.
Lekce 3: Průmyslové protokoly
Modbus: protokol bez zámku
Čím spolu OT zařízení mluví? Nejrozšířenější průmyslový protokol se jmenuje Modbus – vznikl už v roce 1979 pro sériové linky a později dostal síťovou podobu Modbus/TCP na portu 502. Je krásně jednoduchý: „přečti registr 40001", „zapiš do registru 40002 hodnotu 75". Jenže ta jednoduchost má temnou stranu: Modbus nemá žádnou autentizaci. Žádné heslo, žádné ověření, žádné šifrování. PLC vykoná příkaz od kohokoli, kdo se na port 502 dokáže připojit – protokol vůbec nerozlišuje, jestli píše oprávněné HMI, nebo útočníkův notebook. Zapiš „otevři ventil naplno" a PLC ho otevře. Není to chyba implementace, kterou by šlo opravit záplatou – tak je protokol navržen: v roce 1979 byla síť pár metrů drátu mezi velínem a strojem a nikoho nenapadlo, že by na ní mohl být někdo cizí. A nejde jen o Modbus: podobně „důvěřivé" jsou i další průmyslové protokoly (DNP3, Profinet, S7). Teď vidíš v plné síle, proč je segmentace z lekce 2 tak zásadní: když protokol neumí říct „ne", musí to za něj říct síť – jediná skutečná obrana je, aby se k portu 502 nikdo nepovolaný vůbec nedostal.
Krok za krokem
- Modbus/TCP (port 502): HMI čte a zapisuje registry PLC – „přečti teplotu", „nastav ventil".
- Temná strana: Modbus nemá autentizaci. PLC vykoná příkaz od kohokoli na portu 502 – tak je navržen (1979).
- Protokol nerozlišuje oprávněné HMI od útočníkova notebooku. „Otevři ventil naplno" – a PLC poslechne.
- Když protokol neumí říct „ne", řekne to síť: segmentace a firewall zajistí, že se k portu 502 nepovolaný nedostane.
Kudy tečou data: 502 vs 1433
Spojme lekci 2 a předchozí modul do jednoho obrazu – kudy co teče v dobře postavené průmyslové síti. Uvnitř OT: HMI ↔ PLC přes Modbus 502 – operátor řídí výrobu, oba jsou ve stejné citlivé zóně, tenhle provoz ven nikdy nejde. Sběr dat: historian si čte hodnoty z PLC (Modbus 502) – jediný, kdo smí z DMZ do OT nahlížet, a jen pro čtení dat. A kancelář: IT-PC → historian přes databázový port 1433 (SQL) – šéf vidí grafy výroby, aniž by se přiblížil k PLC. Všimni si, jak firewall rozlišuje podle portu i směru: 1433 z IT do DMZ ano, 502 z IT kamkoli NE – port 502 se za hranici OT/DMZ nikdy nepouští. Tahle sestava „co je povoleno" má jméno, které znáš z kurzu 5: whitelist toků. V OT je obzvlášť účinný, protože průmyslová síť je nudná a předvídatelná: stejná zařízení si vyměňují stejné zprávy pořád dokola, žádné brouzdání po webu. Seznam legitimních toků se vejde na jednu stránku – a všechno ostatní je podezřelé. Přesně tuhle topologii sis možná už prohlédl v simulátoru: preset „OT/ICS síť – IT/OT segmentace". V dalším modulu si na ní pravidla ověříš.
Krok za krokem
- Uvnitř OT: HMI ↔ PLC přes Modbus 502. Oba ve stejné citlivé zóně – tenhle provoz ven nejde.
- Sběr dat: historian čte hodnoty z PLC – jediný povolený pohled z DMZ do OT, jen na data.
- Kancelář: IT-PC → historian na portu 1433 (SQL). Šéf vidí grafy, k PLC se nepřiblíží.
- Firewall rozlišuje port i směr: 1433 z IT ano, 502 z IT nikdy. OT síť je předvídatelná → krátký whitelist toků.
Ověř si to v simulátoru
Teorie je hezká, ale tenhle simulátor je od toho, aby sis ji osahal. Celou architekturu z posledních dvou lekcí máš připravenou: v menu Šablony otevři preset „OT/ICS síť – IT/OT segmentace". Najdeš v něm přesně naši scénu: IT LAN, inter-firewall, průmyslovou DMZ s historianem a OT LAN s PLC a HMI. Co si vyzkoušet? V pravém panelu Test provozu vyber Zdroj komunikace a Cíl komunikace (v sekci Pokročilé i protokol a port) a klikni ▸ Otestovat průchod: (1) IT-PC → PLC na port 502 – musí skončit blokováno na firewallu; přesně tohle pravidlo chrání výrobu před kanceláří. (2) IT-PC → historian na port 1433 – musí projít; tak se šéf dostane k číslům. (3) Historian → PLC na 502 – projde; to je povolený sběr dat. Pak si otevři pravidla firewallu a všimni si politiky default-deny: seznam povolených toků je krátký, všechno ostatní padá. A když si troufáš, zkus výzvu „OT/ICS segmentace" v Úlohách: dostaneš rozbitou průmyslovou síť a tvým úkolem bude hranici IT/OT postavit sám. Nauč se číst blokovaný paket jako dobrou zprávu: v OT znamená každé „blokováno" na správném místě jednu cestu, kterou se útočník nedostane k ventilu.
Krok za krokem
- Test 1: IT-PC → PLC na port 502. Paket musí skončit blokovaný na firewallu – kancelář na PLC nesmí.
- Test 2: IT-PC → historian na 1433 musí projít – tudy se kancelář dostane k číslům z výroby.
- Test 3: historian → PLC na 502 projde – povolený sběr dat. Nic jiného do OT nevede.
- Otevři šablonu OT/ICS síť, projdi pravidla (default-deny) – a pak zkus výzvu, kde hranici postavíš sám.
Lekce 4: Datová dioda a jednosměrné toky
Dioda: fyzika místo pravidel
Firewall z lekce 2 je software: rozhoduje podle pravidel. A software může mít chybu, pravidlo může někdo omylem přidat, správcovské heslo může uniknout. Pro nejcitlivější provozy existuje tvrdší kalibr: datová dioda. Jméno má po elektronické součástce, která pouští proud jen jedním směrem – a přesně to dělá se síťovým provozem. Není to ale pravidlo v konfiguraci: je to fyzická konstrukce. Představ si optické vlákno, kde na jedné straně je jen vysílač (LED/laser) a na druhé jen přijímač. Data fyzicky tečou zleva doprava – a opačně to nejde, stejně jako nemůžeš mluvit do reproduktoru a čekat, že tě uslyší rádio. Žádná chybná konfigurace, žádný ukradený admin účet, žádná zero-day chyba ten směr neotočí – fyzika se hacknout nedá. Všimni si zásadního rozdílu proti firewallu: firewall rozhoduje („tenhle paket ano, tenhle ne") a může se splést; dioda nerozhoduje nic – druhý směr prostě neexistuje. Daň za to je nekompromisnost: přes diodu neprojde ani TCP potvrzení (i to je provoz zpět! – potvrzování znáš z kurzu o mapě sítě ISO/OSI a TCP/IP), takže potřebuje speciální jednosměrné protokoly. Kde se to vyplatí a jak se to zapojuje, ukáže další modul.
Krok za krokem
- Firewall rozhoduje podle pravidel – a software může mít chybu, pravidlo omyl, heslo únik.
- Datová dioda: na jedné straně jen vysílač, na druhé jen přijímač. Opačný směr fyzicky neexistuje.
- Data z výroby tečou ven přes diodu. Žádná konfigurace ani ukradený účet směr neotočí – fyzika se hacknout nedá.
- Daň za nekompromisnost: zpět neprojde ani TCP potvrzení – dioda potřebuje speciální jednosměrné protokoly.
Monitoring ven, žádná cesta dovnitř
K čemu je spoj, kterým nejde odpovědět? Přesně k jedné věci – a ta je v OT zlatá: pustit data z výroby ven, aniž by vznikla jakákoli cesta dovnitř. Vzpomeň na dilema z lekce 2: výroba potřebuje sdílet čísla (dohled, hlášení, diagnostika), ale každý spoj směrem do OT je riziko. Firewall to řeší pravidly – dioda to řeší absolutně. Zapojení vidíš na scéně: PLC posílá hodnoty (teploty, stavy, alarmy) přes diodu do historianu v DMZ; z historianu si je čte IT, dohledové centrum, klidně i cloud. Kdyby útočník ovládl historian, IT síť, celý internet – k PLC se přes diodu nedostane, protože směr dovnitř fyzicky neexistuje. Monitoring funguje, řízení zvenčí je nemožné. Samozřejmě to něco stojí: (1) přes diodu nelze nic řídit ani opravovat na dálku – povel dovnitř je taky „cesta dovnitř"; servisní zásah vyžaduje fyzickou přítomnost nebo zvlášť hlídaný kanál (lekce 5 ukáže, proč je to citlivé). (2) Jednosměrné protokoly jsou speciální a dražší – vysílající strana neví, jestli data došla, takže je posílá vícekrát s kontrolními součty. Proto dioda nenahrazuje firewall všude – nasazuje se tam, kde je riziko směru dovnitř nepřijatelné. Kde přesně, to je poslední modul téhle lekce.
Krok za krokem
- PLC posílá hodnoty přes diodu do historianu v DMZ. Odtud si je čte IT i dohled.
- I kdyby útočník ovládl historian, IT nebo celý internet – směr dovnitř přes diodu fyzicky neexistuje.
- Daň: přes diodu nelze nic řídit ani opravovat na dálku – povel dovnitř je taky cesta dovnitř.
- Dioda nenahrazuje firewall všude – nasazuje se tam, kde je riziko směru dovnitř nepřijatelné.
Kde se dioda vyplatí
Datová dioda je drahá (desítky tisíc eur) a nepohodlná – tak kde dává smysl? Tam, kde by průnik do řídicí sítě znamenal katastrofu, ne jen škodu. Učebnicový příklad jsou elektrárny, zvlášť jaderné: řídicí systém reaktoru musí posílat data dohledu a regulátorům, ale představa, že by cokoli zvenčí mohlo poslat povel dovnitř, je nepřijatelná – proto tam jednosměrné brány často vyžaduje přímo regulace. Podobně rozvodny přenosové soustavy, úpravny vody, plynovody: kritická infrastruktura, kde stát předepisuje, jak smí být řídicí sítě propojené. A využití mimo průmysl: bezpečnostní monitoring – logy z citlivé sítě tečou diodou do SOC (dohledového centra), takže analytici vidí vše, ale ani jejich vlastní kompromitovaná stanice nemůže do citlivé sítě sáhnout; nebo vojenské systémy, kde tajná síť smí data jen přijímat. Zpátky na zem: běžná fabrika na sušenky diodu obvykle nepotřebuje – dobře nastavený firewall s default-deny (lekce 2) je pro ni přiměřená obrana. Rozhoduje analýza rizik: jaká je nejhorší možná škoda, kdyby směr dovnitř selhal? Když odpověď zní „výbuch, mrtví, města bez proudu" – kupuješ diodu. Když „týden stojí výroba" – stačí firewall a dobrá pravidla. V simulátoru si můžeš diodu přidat z palety zařízení a zkusit, jak se topologie chová, když spoj funguje jen jedním směrem.
Krok za krokem
- Elektrárny (zvlášť jaderné), rozvodny, úpravny vody: průnik = katastrofa, jednosměrné brány často vyžaduje regulace.
- Mimo průmysl: logy do dohledového centra (SOC) tečou diodou – analytici vidí vše, do citlivé sítě nesáhnou.
- Běžná fabrika diodu obvykle nepotřebuje – default-deny firewall je přiměřená obrana. Rozhoduje analýza rizik.
- V simulátoru si diodu přidej z palety zařízení a sleduj, jak se topologie chová s jednosměrným spojem.
Lekce 5: Útoky na OT
Stuxnet: útok, který hýbal železem
Příběh, kterým se OT bezpečnost dělí na „před" a „po". Kolem roku 2010 obohacoval Írán uran v podzemním závodě Natanz – tisíce rychle rotujících centrifug řízených PLC. Zařízení bylo odpojené od internetu (tzv. air gap) a přesto se do něj dostal malware, dnes známý jako Stuxnet. Jak? Přes USB flashky a notebooky servisních techniků – air gap nepřekonal síťově, ale lidsky. Uvnitř pak Stuxnet předvedl, proč je to dodnes učebnice: nehledal data, hledal konkrétní model PLC s konkrétní konfigurací centrifug. Když ho našel, začal měnit otáčky: krátce zrychlit nad bezpečnou mez, vrátit do normálu, za pár týdnů znovu. A geniálně kryl stopy: operátorům na velíně přehrával nahrané normální hodnoty, takže HMI ukazovalo klid, zatímco se centrifugy fyzicky ničily. Výsledek: stovky zničených centrifug, program zpožděn o roky – softwarem se rozbilo železo. Tři poučení, která si odnes: (1) air gap není absolutní – USB, servisní notebook nebo dodavatel ho přeskočí; (2) útočník může jít po fyzickém procesu, ne po datech; (3) když ti může lhát HMI, potřebuješ nezávislý monitoring toho, co se v síti a procesu opravdu děje (lekce 6). Stuxnet byl státní operace s obrovskými zdroji – ale techniky, které ukázal, od té doby napodobují i obyčejnější útočníci.
Krok za krokem
- Natanz byl odpojený od internetu – Stuxnet se dovnitř dostal přes USB flashky a notebooky techniků.
- Uvnitř hledal konkrétní PLC centrifug – a měnil otáčky: krátce nad mez, zpět, za týdny znovu.
- Operátorům přehrával nahrané normální hodnoty – velín viděl klid, zatímco se centrifugy ničily.
- Stovky zničených centrifug. Poučení: air gap není absolutní, cílem může být fyzický proces – a HMI ti může lhát.
Ransomware: výroba stojí přes IT
Stuxnet je extrém – běžnější scénář posledních let je přízemnější: ransomware. A tady tě čeká nečekaná pointa: výroba se často zastaví, aniž by útočník do OT sítě vůbec vstoupil. Jak to? Vzpomeň, na čem výroba závisí okolo OT: plánování zakázek, sklady a expedice, receptury, fakturace – to všechno běží v IT. Když ransomware zašifruje IT síť, fabrika sice má funkční PLC a HMI, ale neví, co vyrábět, z čeho a kam to poslat. A je tu druhý, ještě přímější důvod: když se firma bojí, že se nákaza rozšíří přes hranici do OT, výrobu preventivně vypne sama. Přesně to se stalo v reálných případech: výrobce hliníku Norsk Hydro (2019) přepnul huti na ruční řízení, Colonial Pipeline (2021) zastavil největší palivovod USA – ne proto, že by ransomware řídil ventily, ale protože IT bylo ochromené a jistota chyběla. Poučení pro obranu: (1) hranice IT/OT z lekce 2 je i protipožární zeď – čím čistší a auditovanější, tím větší šance, že výroba přežije IT incident; (2) OT musí umět běžet chvíli bez IT (ruční režim, lokální kopie receptur) – to je otázka na tvůj plán kontinuity; (3) zálohy IT systémů, na kterých výroba závisí, jsou součást OT bezpečnosti, i když leží v IT. Ransomware nemíří na ventily – míří na peníze. Ale výrobu zastaví stejně.
Krok za krokem
- Ransomware zašifruje IT síť: plánování, sklady, receptury, fakturace – vše, na čem výroba závisí.
- OT je nedotčené: PLC i HMI fungují. Ale fabrika neví, co vyrábět, z čeho a kam to poslat.
- A často se výroba vypne preventivně ze strachu z rozšíření (Norsk Hydro 2019, Colonial Pipeline 2021).
- Obrana: čistá hranice IT/OT (protipožární zeď), schopnost OT běžet chvíli bez IT a zálohy IT systémů výroby.
Insider, USB a servisní notebook
Segmentace z lekce 2 hlídá síťové cesty. Jenže do OT vedou i cesty, které na firewallu neuvidíš – nosí je lidé. Cesta první: USB flashka. Technik potřebuje nahrát do PLC nový program nebo aktualizovat HMI – a síť je (správně!) oddělená, tak to přenese flashkou. Ta samá flashka byla včera v jeho domácím počítači… přesně tudy šel Stuxnet. Cesta druhá: servisní notebook. Externí technik jezdí s jedním notebookem po desítkách fabrik a připojuje ho přímo do OT sítí – ideální roznašeč. Cesta třetí: insider – naštvaný nebo uplacený zaměstnanec, který přístup do OT legálně má; nejznámější případ: Maroochy Shire (Austrálie 2000), kde bývalý dodavatelský technik na dálku vypouštěl splašky do řek a parků – desítky zásahů, než ho chytili. Co s tím? U flashek: zákaz cizích médií + kontrolní stanice (kiosek), kde se každá flashka před vstupem do provozu zkontroluje na malware, případně firemní „prověřené" flashky jen pro OT. U notebooků: dodavatel dostane tvůj prověřený notebook, nebo jeho stroj smí jen do oddělené servisní sítě. U insiderů: princip nejmenších práv (technik vidí jen svou linku), okamžité odebrání přístupů při odchodu a logy, kdo kdy k čemu přistoupil – bez nich se Maroochy vyšetřoval měsíce. Společný jmenovatel: pravidla pro lidi a zařízení jsou v OT stejně důležitá jako pravidla na firewallu.
Krok za krokem
- USB flashka jde do HMI/PLC mimo síť – firewall ji nikdy neuvidí. Včera byla v domácím počítači…
- Servisní notebook externího technika objíždí desítky fabrik a připojuje se přímo do OT – ideální roznašeč.
- Insider přístup legálně má: v Maroochy Shire (2000) bývalý technik na dálku vypouštěl splašky do řek.
- Obrana: kiosek kontroluje každou flashku, dodavatel dostane tvůj notebook, nejmenší práva a logy kdo/kdy/k čemu.
Dodavatelský vzdálený přístup
Poslední velká cesta dovnitř je oficiální a smluvně posvěcená: vzdálený přístup dodavatele. Výrobce linky ji potřebuje servisovat na dálku – diagnostika, ladění, aktualizace. Zní rozumně, jenže domysli, co to znamená: díra skrz všechny tvé pečlivě stavěné hranice, vedoucí z internetu přímo k PLC. A často v nejhorší podobě: trvale zapnuté VPN, sdílený účet „servis" pro všechny techniky dodavatele, plný přístup do celé OT sítě, žádný záznam, co se při session dělo. Proč je to tak nebezpečné? Kompromituj jednoho dodavatele – a máš klíče od desítek fabrik najednou (přesně tahle úvaha stojí za útoky na dodavatelské řetězce). Jak vypadá bezpečná verze? (1) Jump host: dodavatel se nikdy nepřipojuje přímo k PLC, ale na prostředníka ve tvé DMZ, ze kterého se teprve (pod dohledem) jde dál – žádná přímá cesta internet→OT. (2) Just-in-time přístup: VPN je normálně vypnutá; zapne ji tvůj operátor na ohlášený servis a po skončení ji vypne. (3) Osobní účty a nahrávání session: víš, který technik co udělal – vzpomeň na Maroochy. (4) Nejmenší práva: přístup jen k té lince, kterou dodavatel servisuje, ne k celé OT síti. Zkontroluj si to i doma v malém: kolik „dočasných" vzdálených přístupů (TeamViewer u topení, výrobcův cloud u fotovoltaiky) máš trvale zapnutých?
Krok za krokem
- Nejhorší podoba: trvale zapnutá VPN, sdílený účet, plný přístup do OT, žádný záznam. Díra skrz všechny hranice.
- Kompromituj jednoho dodavatele a máš klíče od desítek fabrik – logika útoků na dodavatelský řetězec.
- Bezpečná verze: dodavatel jde na jump host v DMZ, teprve odtud (pod dohledem) dál. Žádná přímá cesta internet→OT.
- K tomu just-in-time: VPN se zapne na ohlášený servis a zas vypne. Osobní účty, nahrávání session, nejmenší práva.
Lekce 6: Obrana a provoz OT
Inventura: nechráníš, co neznáš
Obrana OT začíná otázkou, která zní banálně, ale v praxi na ni málokterá fabrika umí odpovědět: co všechno vlastně v síti máme? Průmyslové sítě rostly desítky let: linka od jednoho výrobce, rozšíření od druhého, „dočasný" spoj z roku 2009, který tam pořád je. Nikdo nemá úplný seznam. A přitom je to základ všeho: nemůžeš chránit, o čem nevíš. Firewallové pravidlo pro zařízení, které v seznamu chybí? Segmentace sítě, kterou nikdo nezmapoval? Nejde to. Proto je krok jedna každého OT bezpečnostního projektu asset inventory – inventura zařízení: co to je (PLC, HMI, čidlo…), kde to je (hala, rozvaděč), jaký má firmware, s kým to mluví (jaké toky – vzpomeň na whitelist z lekce 3) a kdo za to odpovídá. Zvlášť poslední bod bolí: u dvacet let staré linky už často nikdo neví, kdo ji spravuje. Jak seznam získat? V IT bys pustil skener – v OT to (jak hned uvidíš v dalším modulu) může být nebezpečné. Proto se inventura v OT dělá hlavně pasivně: posloucháním provozu na síti (kdo s kým mluví, jakým protokolem) a nudnou mravenčí prací – projít dokumentaci, rozvaděče, štítky. Odměna: teprve nad úplným seznamem dává smysl vše ostatní – segmentace, pravidla, monitoring i plán obnovy.
Krok za krokem
- Průmyslová síť rostla desítky let – „dočasný" spoj z roku 2009 tam pořád je. Úplný seznam nemá nikdo.
- Nemůžeš chránit, o čem nevíš: pravidlo pro nezmapované zařízení nejde napsat, segmentaci nejde navrhnout.
- V OT se inventura dělá pasivně: posloucháním provozu (kdo s kým, jakým protokolem) + dokumentace a štítky.
- Odměna: teprve nad úplným seznamem dává smysl segmentace, whitelist toků, monitoring i plán obnovy.
Pasivní monitoring: proč se neskenuje
V IT je běžná praxe aktivní skenování: nástroj obejde síť, „zaklepe" na porty všech adres a zjistí, co kde běží. Zkusit to samé v OT je začátečnická chyba, která může zastavit výrobu. Proč? Vzpomeň na lekci 1: PLC je dvacet let starý počítač s minimem paměti a křehkým síťovým stackem, stavěný na to, že s ním mluví jedno HMI známým protokolem – ne na salvu zvláštních paketů ze skeneru. Reálné následky z praxe: PLC po skenu zamrzne a linka stojí; čidlo se restartuje uprostřed procesu; starý tiskový server v hale začne chrlit papír. V IT by ti stejný sken neshodil nic – v OT je to hazard. Řešení už znáš z minulého modulu: pasivní monitoring. Na switch se nastaví zrcadlení provozu (SPAN/mirror port – kopie všeho, co teče sítí; podrobně v kurzu Switch do hloubky) a analyzátor jen poslouchá: do sítě nevysílá nic, takže nemůže nic rozbít. Co z poslechu zjistí? Překvapivě hodně – a tady se hodí, že OT síť je z lekce 3 nudná a předvídatelná: monitoring se naučí normál (HMI mluví s PLC, historian sbírá data) a křičí při odchylce: nové neznámé zařízení, Modbus zápis z adresy, která nikdy nezapisovala, spojení do internetu z OT. Vzpomeň na Stuxnet: HMI lhalo, ale síťový provoz nelhal – nezávislý pasivní monitoring je přesně ta pojistka, kterou Natanz neměl.
Krok za krokem
- IT zvyk: skener „zaklepe" na všechny porty. V OT hazard – křehký stack PLC na to není stavěný.
- Reálné následky: PLC zamrzne, čidlo se restartuje uprostřed procesu. V OT se aktivně neskenuje.
- Pasivní monitoring: switch zrcadlí provoz (SPAN port), analyzátor jen poslouchá – nic nevysílá, nic nerozbije.
- OT je předvídatelné → poplach při odchylce: nové zařízení, nezvyklý Modbus zápis. HMI může lhát, provoz nelže.
Zóny, conduits a plán obnovy
Dvě poslední praktické věci do tvé OT výbavy. Za prvé: zóny a conduits. Standard IEC 62443 (mezinárodní norma pro bezpečnost průmyslových systémů – stačí ti vědět, že existuje a tohle je její jádro) formalizuje to, co jsi v tomhle kurzu stavěl intuitivně: síť se rozdělí do zón – skupin zařízení se stejnou citlivostí (OT linka 1, OT linka 2, DMZ, IT) – a mezi zónami se definují conduits: hlídané spojovací kanály, každý s vypsaným seznamem povolených toků. Poznáváš to? Přesně to je náš preset: zóny IT / DMZ / OT, conduits přes inter-firewall, whitelist 1433 a 502. V simulátoru si zóny můžeš i nakreslit – tlačítko + Zóna na plátně; udělej to, vizuální hranice pomáhá myslet. Za druhé: zálohy a obnova. I s perfektní segmentací se jednou něco pokazí – a v OT má obnova záludnost: obnovit potřebuješ nejen data, ale programy v PLC (logiku, která řídí stroj) a konfigurace HMI a síťových prvků. Otázky, na které musíš znát odpověď předem: Máme aktuální kopii programu každého PLC? (Po dvaceti letech úprav často existuje jen ta jedna, v PLC.) Umíme ji nahrát zpět a víme, jak dlouho to trvá? Zkusili jsme to nanečisto? Plán obnovy, který nikdo nikdy netestoval, je jen papír. Pointa na závěr modulu: zóny omezí, kam se problém rozšíří; zálohy rozhodnou, jak rychle se z něj vzpamatuješ.
Krok za krokem
- Zóny: skupiny zařízení stejné citlivosti – IT, DMZ, OT. Norma IEC 62443 tak formalizuje, co jsme stavěli celou dobu.
- Mezi zónami vedou conduits: hlídané kanály, každý s whitelist seznamem toků (1433, 502). V simu: tlačítko + Zóna.
- Obnova v OT: kromě dat i programy PLC a konfigurace. Po letech úprav často existuje jediná kopie – v PLC.
- Zálohuj programy PLC a vyzkoušej obnovu nanečisto. Zóny omezí šíření problému; zálohy rozhodnou rychlost návratu.
Shrnutí: celá obrana pohromadě
Kurz končí – poskládejme obranu průmyslové sítě do jednoho obrazu. Mysli jinak: v OT platí dostupnost > integrita > důvěrnost; zařízení jsou stará, bez záplat, a proto chráníš síť kolem nich, ne je samotné (lekce 1). Segmentuj: Purdue úrovně, hranice IT/OT s default-deny firewallem, průmyslová DMZ s historianem jako prostředníkem – z IT nikdy nevede pravidlo přímo do OT (lekce 2). Nevěř protokolům: Modbus a spol. nemají autentizaci; kdo se dostane na port 502, řídí – jedinou skutečnou obranou je, aby se tam nedostal (lekce 3). Kde je riziko nepřijatelné, použij fyziku: datová dioda pustí monitoring ven a dovnitř nevede nic (lekce 4). Počítej s lidmi: Stuxnet přišel na flashce, ransomware zastaví výrobu přes IT, insider má přístup legálně a dodavatelská VPN je díra skrz všechny hranice – kiosek na média, jump host, just-in-time přístup, logy (lekce 5). A provozuj: inventura (nechráníš, co neznáš), pasivní monitoring místo skenování, zóny a conduits, otestované zálohy programů PLC (lekce 6). Všimni si společné nitky: skoro nic z toho nebyla nová technologie – firewall, DMZ, whitelist, zálohy znáš z dřívějších kurzů. OT bezpečnost je z velké části disciplína: známé nástroje, aplikované s respektem k světu, kde chyba nezhavaruje aplikaci, ale zastaví fabriku. Jestli sis výzvu „OT/ICS segmentace" nechával na konec – teď je ten správný čas.
Krok za krokem
- Segmentuj: hranice IT/OT s default-deny, DMZ s historianem jako prostředníkem. Z IT nevede pravidlo do OT.
- Nevěř protokolům: Modbus nemá autentizaci. Kdo dosáhne na port 502, řídí – tak ať na něj nedosáhne.
- Fyzika, kde je riziko nepřijatelné (dioda) – a lidé: kiosek na flashky, jump host, just-in-time, logy.
- A provozuj: inventura, pasivní monitoring, zóny a conduits, otestované zálohy. Gratuluju – a teď výzva v simulátoru!