"חברות תשתית הן יעד מועדף על תוקפים"

"מערכות ה-SCADA (ר"ת Supervisory Control And Data Acquisition) לא תוכננו להגנת סייבר. תכננו מה הן אמורות לעשות ולא מה הן לא אמורות לעשות", כך אמר רונן דקל, אחראי סייבר IT בחברת החשמל.

דקל דיבר בכנס ICS Cybersec שנערך לאחרונה בהפקת אנשים ומחשבים. הכנס, שדן בהגנת סייבר על תשתיות חיוניות ומערכות שליטה ובקרה (SCADA), התקיים במרכז הכנסים אווניו שבקריית שדה התעופה, בהשתתפות מאות מקצוענים בתחום. מנחי האירוע היו יהודה קונפורטס, העורך הראשי של אנשים ומחשבים, ודניאל ארנרייך, יועץ ומרצה להגנת הסייבר.

לדבריו, "עולם האנרגיה מהווה יעד מועדף על התוקפים, בפרט על ארגוני טרור וגורמים שיש להם גם משאבים וגם מקצועיות. שמענו על חמש תחנות כוח שנותקו מהרשת באוקראינה. שרשרת החשמל מכילה עשרות רבות של מערכות ICS  ו-SCADA – מערכות תפקודיות שתומכות בתהליך הזה".

פתח וגישה למערכות ממוחשבות

"בחברת החשמל בישראל יש 63 יחידות ייצור ב-18 תחנות כוח. בכל אחת מהתחנות יש עשרות מערכות SCADA ו-ICS קריטיות בייצור החשמל. רשת הולכת החשמל מתחנת הכוח עד לתחנת המשנה האיזורית מנוהלת גם היא על ידי SCADA וכך גם כ-190 תחנות המשנה. גם החלוקה מתחנת המשנה עד לאיזור המשרד או הבית ולבסוף בבתים מתחילים לראות יותר ויותר מונים חכמים מוני ממוחשבים שאפשר לנהל מרחוק – גם זה פתח וגישה למערכות ממוחשבות".

דקל הסביר כי "ככל שהמערכות מתקדמות יותר והארגון יותר טכנולוגי, הגבולות בין ה-IT וה-OT מיטשטשים. לדוגמה מערכת ICS מעבירה נתוני תחזוקה, בילינג, BI ואופטימיזציה שעוברים לרשת ה-IT. כשרשת תעשייתית אוספת נתונים מחיישנים המפוזרים על מרחב גיאוגרפי גדול ועושה שימוש בתקשורת – זה בעצם כבר אינטרנט של הדברים".

"כל תרחישי הבית החכם, העיר החכמה וכו' – תלויים בתקשורת", אמר דקל. "כולם מדברים עם כולם, ויכולים או לא לשלוט על אחרים. כשמדובר על האינטרנט של הדברים, חשוב לדאוג שאם כולם מדברים עם כולם – לא יתרחש כאוס. נדרש לבנות תרחישי ייחוס שיקבעו איזה מערכות יקבלו תעדוף, איפה החולשות שלנו, היכן כדאי לשים את התקציבים והמשאבים, והיכן פחות".

לנתק עיר שלמה

"אם גורם עוין משתלט על מערכות שרשרת החשמל – הוא יכול לנתק עיר שלמה", אמר דקל. "ולכן בונים תוכנית עבודה שתגדיר תסריטים אלו. גם ללא ניתוק, גורם עוין עלול לגנוב מידע רגיש על לקוחות. אנחנו בחברת החשמל חווים נסיונות תקיפה 24/7". לדבריו, "50% מהפגיעויות ב-ICS מאפשרות להפעיל קוד, 40% ממערכות ה-SCADA מחוברות לאינטרנט – בעיקר באירופה ובארצות הברית".

"כמות החולשות והפגיעויות הולכת וגדלה והם מפורסמים ברשת ומשמשים גורמים עוינים ככלי שאפשר באמצעותו לתקוף", הסביר דקל. "תיקוני התוכנה והתקשוב הסטנדרטיים מעולם ה-IT, אינם מקובלים בעולם התעשייתי – אי אפשר להוריד פס ייצור. למערכות התעשיתיות אין אפשרות להקים מערכת ניסוי, ובכל זאת צריכים להתקין את עדכוני היצרן שיש בהם מענה סביר למתקפות. הפרוטוקול עצמו הוא בעל פגיעות גבוהה. יש צורך להתמודד עם שינוי בתהליכי עבודה, הדרכה והכשרה".

בשלב ראשון, אמר, "יש לזהות את כל הקשרים אל הרשת התפעולית, לנתק קשרים שאינם נחוצים, וכן לזהות ולמפות את כל רכיבי ה-SCADA ברשת.  עברנו את כל הצעדים לרבות הקשחת רכיבי הרשת, הסרה או ביטול שירותים שאינם פעילים, משתמשים, תהליכים ועוד".

"יש להתקין מערכת ניטור ובקרה על כל קישור שעלול לשמש כדלת אחוריות", הבהיר דקל. "הטמעה של תכונות האבטחה המסופקות על ידי יצרני הציוד, הקשחות לעמדות ושרתים ובניית רשימות לבנות. מימוש מערכות IDS פנימיות וחיצונויות, וכמובן הקמת מרכז ניטור ובקרה 24/7. מתקפות על אינטרנט של הדברים ותשתיות, הן בדרך כלל רב-שלביות ואם מוצאים בשלבים המוקדמים אפשר למנוע פגיעות".

לסיכום אמר דקל כי "האחראי על אבטחת הסייבר בחברת החשמל הוא בדרגה של סמנכ"ל. כל ארגון צריך לבנות לעצמו את האסטרטגיה, תוכנית עבודה ולקבוע תעדוף, כי אחרת אי אפשר לטפל במתקפות סייבר".