Сигурност на мрежите за сградна автоматизация

В момента индустрията за сградна автоматизация е в точка, където има основателна загриженост по отношение на сигурността при изграждане на системи за контрол, особено в интелигентните сгради, където се използват предимно високите технологии. В новините виждаме истории относно злонамерени кибернетични атаки срещу частни компании, правителствени мрежи и сайтове в интернет и се повдигат въпроси за това какво би означавала такава атака за системите за управление на сгради, дейностите в сградата, обитателите и собствениците на сградата. Опасенията се увеличават при новите сгради, защото там има повишено навлизане на ИТ инфраструктура в изграждането на системи за контрол, по-голяма интеграция и взаимосвързаност на управлението на сградата с други системи. Потенциалната уязвимост на сигурността на сградата може да се разшири до интелигентната мрежа, тъй като се използва двупосочна комуникация между сградите и мрежата, и разбира се също така може да повлияе на корпоративните бизнес системи.

Сградната автоматизация представлява автоматичен централизиран контрол на отопление, вентилация, климатизация, осветление и други системи в дадена сграда чрез система за управление на сградата или система за автоматизация на сградата (BA). Целите на сградната автоматизация са подобрен комфорт на хората, ефикасна работа на всички сградни инсталации, както и намаляване на потреблението на енергия и оперативните разходи.

Сградната автоматизация (BA) е пример за разпределени системи за управление - на компютърни мрежи от електронни устройства, предназначени за наблюдение и контрол на механични, охранителни, противопожарни, осветление (особено аварийно осветление), контрол на влажността и вентилационни системи в една сграда. Функционалността на BA поддържа изграждане на климата в рамките на определен диапазон, осигурява светлина в стаите въз основа на графика на заетост (при липса на явни ключове за обратното), следи за ефективната работа и повредите на устройствата във всички системи, регистрира и изпраща аларми за неизправностите до персонала по поддръжката. BA трябва да намали разходите на сградата за енергия и поддръжка в сравнение с неконтролирана сграда. Повечето търговски, институционални и промишлени сгради, построени след 2000 г. включват BA.

Системата за автоматизация се намира зад „кулисите“, като хардуерните устройства са монтирани на оборудването или са скрити в пода или в тавана. Някои персонализирани управления могат да бъдат монтирани на видно място, за осъществяване на по-лесен достъп до тях. От гледна точка на централно управление, BA представлява софтуер на операторска работна станция (компютър) или е на разположение под формата на уеб страница (сървър).

В продължение на години информационните мрежи са били комбинация от жични и безжични интернет връзки с телефоните, центровете за данни и сървърите. Когато се появиха технологиите за интелигентните сгради и имаха нужда от мрежа за комуникация изглеждаше, че няма кой да ги накара да работят с вече наличната ИТ инфраструктура. В резултат на това, системите за отопление и вентилация, осветление, охранителните камери, асансьорите, контрола на достъпа, както и други интелигентни устройства са станали бързо част от ИТ мрежата, повечето с връзка и осигурен достъп за мениджърите, които за да следят тези устройства.

Докато уязвимостта на информационните системи отдавна е смятана за грижа на сигурността, същото не може да се каже за сградните инсталации. Те скоро преминават към IP адресируеми интелигентни сградни технологии и чрез конвергенцията на сградните системи с ИТ инфраструктурата, ИТ мрежите стават отново уязвими - този път чрез сградните технологии. Хакерите започват пробива с получаването на достъп до целевата мрежа през HVAC системата. След като са в целевата мрежа на сградата, хакерите успяват да получат достъп до ПОС терминалите, които са достъпни от една и съща мрежа (най-вероятно чрез конвергенция).

Заради ежедневните новини на хакове и пробиви има нарастваща тревога в по-общия сектор Интернет на нещата по отношение на неприкосновеността на личния живот и сигурността. Според IDG Enterprise Research, най-голямото увеличение на разходите за ИТ е в технологии за сигурност, като 46% от фирмите съобщават, че за тази цел техните бюджети ще се увеличат. Това е един огромен пазар, който търси отговори и нови технологии.

Решения съществуват за тези с необходимото оборудване и опит. Един комутатор може да се конфигурира за правилно управление на входящи и изходящи комуникации. Сложните списъци за контролиран достъп (ACL) могат да бъдат създадени на ниво Ethernet за ограничаване на трафика между устройства и сървъри/ центрове за данни, с които са предназначени да се свържат. Може да бъде закупен и инсталиран софтуер за мониторинг, който активно търси аномалии в мрежовия трафик. Всичко това изисква високо квалифициран ИТ екип със специфични знания и конкретен интерес към сигурността на мрежата. Тези решения като цяло са добри, но само за отделни комутатори, които са лесни за логическо конфигурирате и мониторинг. Какво се случва, когато сградата има стотици или хиляди устройства на различни разстояния, свързани към сложна ИТ инфраструктура, конфигурирана да споделя чувствителна финансова и конфиденциална информация? Освен това, като се добавят нови устройства или когато са необходими промени в мрежата, ребалансирането на тези правила и конфигурации могат да направят управлението на мрежата сложно, особено след промяна в ИТ екипа.

Основната заплаха е, че някой може да проникне в сградните системи през незащитена мрежа за да причини повреда, разрушаване, кражба или може би дори загуба на човешки живот. За традиционните информационни системи, заплахата може да бъде загуба на комуникации, неоторизиран достъп до чувствителни данни, кражба на интелектуална собственост, нарушаване на работата на оборудването, което може да включва системи за физическа сигурност, като например контрол на достъпа и видеонаблюдение, загуба на данни, както и пречки за непрекъсваемост на бизнес процесите. За други сградни инсталации, като например управление на отопление и вентилация, електроразпределение, осветление, асансьори и др, заплахата е прекъсване на дейността на критичната инфраструктура на сградите. В зависимост от използването на сградата и системата и за контрол, заплаха за сигурността може да бъде свързана с безопасността на живота на обитателите, например разрушаване на аварийното захранване, спиране на осветлението и др. Заплахата за сградните инсталации не е хипотетична и може да засегне дори програмируемите логически контролери (PLC), които често се използват и в промишлеността, обикновено в сгради с асансьори, помпи, устройства и оборудване за осветление.

Като цяло индустрията за сградна автоматизация и управление са третирали сигурността на сградните мрежи като вторичен или третичен проблем.

Подходи за осигуряване на сигурност
Най-популярният подход за осигуряване на сигурност за системата за управление на сграда (BMS) е да се изолира BMS, т. е. да не и се позволява тя да се свързва с други мрежи. Но това само по себе е измамно чувство на сигурност. Като минимум BMS ще има противопожарни системи, отопление и вентилация, контрол на достъпа, асансьори и евентуално осветление свързани в нея, потенциално позволяващи достъп до една от тези мрежи или едно от устройствата в тези мрежи. За някои сгради могат да бъдат въведени минимални или частични мерки за сигурност, но не са необходими всеобхватни мерки за сигурност за да се сведе до минимум мрежовата уязвимост. Справедливо е да се каже, че най-традиционните системи за управление на сгради не са обезпечени. В действителност, много наследени BMS системи имат "задни врати", които позволяват на производителя на BMS или изпълнителя на локалния контрол да ги наблюдават, управляват или актуализират. Интересно е, че напоследък много често заплахите за сигурността са за нови сгради, но по-старите сгради с утвърдени BMS системи вероятно са много по-уязвими към атака. Старите системи работят с операционни системи, бази данни и уеб браузъри, които вече не могат да бъдат обновени или не се поддържат. В допълнение, уязвимостта на старите системи е публично достояние и добре позната на хакерите, като по този начин се свеждат до минимум усилията и времето за атака.

Индустрията за автоматизация с право се е стремила за стандарти за системите, преминаване от патентовани от производителите приложения към отворени и прозрачни комуникационни протоколи. Има много ползи от отворените стандарти, като например съвместимост на продуктите, персонализиране, избягване на заключване от един производител, оперативна съвместимост, конкурентни цени, повече възможности за поддръжка и т.н. В същото време отворените и прозрачни стандарти изглежда биха увеличили уязвимостта на BAS мрежите, предоставяйки цялата необходима информация на хакерите за да направят оценка на уязвимостта и потенциалните подходи за нападение. Това може да изглежда като нещо близко до даване на ключовете за колата на крадец на коли. Важно е да се отбележи, че наличието на собственически протокол по своята същност не прави системата сигурна. Ако атаката е извършена на BAS сървър или работна станция, а не директно на контролер, тогава протоколът е без значение. Има и такива инструменти като шлюзове, които се използват за интеграцията на системите и могат също да осигуряват възможности за атака.

Въпреки това, един от плюсове за преминаването към отворени стандарти е, че те позволяват на тези комуникационни протоколи да включат свързани атрибути за мрежова сигурност. Повечето големи BAS стандарти включват някои механизми за сигурност. Аспектите на сигурността на BACnet са може би най-напредналите, а в другия край на спектъра е Modbus, който все още няма присъщите възможности за защита.

Защитни сценарии
Има два основни сценария за обсъждане на атака - отдалечена атака с произход извън LAN на сградата и местна атака вътре в локалната мрежа. Първият сценарий е много по-вероятен, но също така може много по-лесно да се облекчи, а вторият е потенциално много по-опасен и труден за справяне с него. Една кибератака срещу BAS включва влизане в мрежата, опит да се наруши функционирането на комуникацията или обмена на данни или BAS устройствата, а именно контролерите, изпълнителните механизми и сензорите. Мрежата на BAS може да бъде достъпна физически чрез безжична комуникация, но също и чрез мрежово устройство, като например един компрометиран контролер. Атаките срещу устройствата могат да произхождат от мрежата или физическо манипулиране на устройството.

Разработването, тестването и внедряването на мерки за сигурност в сградите трябва да бъде един непрекъснат процес активно изграждан при експлоатацията на сградата. Ето няколко предложения за предприемане на първи стъпки. Назначаване на специален мрежов администратор за системите за контрол на сградата, които отговаря за текущата сигурност на мрежата. Администраторът на мрежата следва да координира усилията и отговорите за сигурност, както и да оказва вътрешна и външна помощ.

Използвайте цялостен подход за да оцените всяка сградна система, нейните слаби места и какво ще означава загуба или прекъсване на системите за работа на сградата и обитателите, както и на финансовото въздействие. Идентифицирайте вероятните пътища за атака и редовно да се следи за издайнически признаци на текуща атака. Започнете с използването на мерките за сигурност на ИТ в мрежата за сградна автоматизация. Разберете, че докато мерките за сигурност на ИТ са ценни, те не могат да се прилагат за всички системи или части от системите за контрол на сградата. Например, на полево или приложно ниво за управление може да откриете контролери с ограничена процесорна мощност и памет, и използване на ограничен трафик на мрежата. Вероятно няма кандидати за ИТ-тип защита. Осигурете физическа сигурност в зоните или помещенията, където се намира оборудването и мрежовите кабелни трасета на BAS. Криптирайте мрежовия трафик и защитете всяка безжична мрежа. Вземете под внимание и човешките аспекти на сигурността. Най-голямата заплаха е "отвътре" от недоволни служители, които ползват бързи клавиши или донасят собствения си лаптоп и др., разработване на политики по отношение на паролите, конфигурациите, настройките, както и цялостната програма за обучение. Уверете се, че имате сигурно архивиране на всички бази данни, които не могат да бъдат достъпни или изтрити по мрежата. В повечето случаи нападателя ще започне с най-лесните цели, така че помислете за създаване системи "гърне с мед", които са оставени нарочно несигурни и се наблюдават за признаци на нападение. Когато някой се опитва да влезе в системите за сградна автоматизация се изпраща уведомление към ИТ отдела.

Планове за действие
Важно е също да се направят планове за действие в случай, че превенцията не успее и нападението е в ход. Разработване на стратегии за идентифициране на продължаващите атаки и изключване на достъпа до интернет, виртуални частни мрежи, сървъри, дори портове на мрежовите комутатори, които се използват от мрежовите контролери в отговор на нападение. В повечето случаи контролерите продължават да работят по график и когато се изключат сензорните входове от сървъра за управление, което може да бъде по-добър вариант от позволява на атаката да продължи.

Няма смисъл от внедряването на програма за сигурност, която е насочена само към ограничена част от уязвимостите. Това е просто признание, че някои системи не са безопасни. Всестранното осигуряване на сградата не само включва контрол на достъпа и видеонаблюдение или програма за сигурност на ИТ, тя трябва да включва и системи за автоматизация на контрола на сградата.

Системите за управление използват различни видове мрежи и никога не са имали някакви всеобхватни мерки за сигурност. Но новите и променящите се технологии, както и системната интеграция изисква системите за контрол да се обединят под чадъра на сигурността.

Сградните системи и ИТ често имат различни собственици и изискват различни нива на сигурност. Докато защитните стени и сложния софтуер за сигурност са нещо обичайно за сървъри и компютри, те все още не съществуват за устройствата, които карат интелигентната сграда да работи. Въпреки че не количеството на сигурността ще гарантира защитата, има няколко прости стъпки, които проектанта на интелигентната сграда трябва да извърши. Те започват с разделени и надеждни сградни мрежи. Този защитен слой е разходно ефективен подход за защита на интелигентната сграда, която ще стане от още по-голямо значение през следващите години, като увеличеното количеството на интелигентни технологии се добавят към инфраструктурата и. Разделянето мрежите не е толкова трудно да се направи, и това ще доведе до не само интелигентна сграда, а до една защитена интелигентна сграда. Това си струва.