Egy incidenskezelési eljárásrendről addig nem tudni, mennyit ér, amíg a benne szereplő emberek egyszer együtt végig nem mentek rajta. Az asztali gyakorlat erre való. A résztvevők egy tárgyalóban ülnek, a levezető egy kitalált, de az üzemre szabott helyzetet ír le, a csoport pedig lépésről lépésre elmondja, mit tenne. Éles rendszerhez senki nem nyúl, a vezérlők és a gyártósor közben zavartalanul működnek.
OT-környezetben a gyakorlatnak más kérdésekre kell választ adnia, mint egy irodai IT-rendszernél. Itt gyakran nem a gép leválasztása a nehéz döntés, hanem az, hogy szabad-e megállítani egy folyamatot, ki hozhatja meg ezt a döntést, és meddig lehet a termelést kézi felügyelettel fenntartani. A NIST SP 800-82 Rev. 3 (Guide to Operational Technology (OT) Security, 2023) külön kitér arra, hogy az OT-incidenskezelésnek a fizikai folyamat biztonságát és a rendelkezésre állást is figyelembe kell vennie.
Mire jó az asztali gyakorlat, és mire nem
A NIST SP 800-84 (Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities, 2006) két gyakorlattípust ír le. Az asztali gyakorlat megbeszélésen alapul, a funkcionális gyakorlaton a résztvevők szimulált működési környezetben hajtják végre a feladataikat. Az amerikai katasztrófavédelmi ügynökség (FEMA) gyakorlati módszertana, a HSEEP (Homeland Security Exercise and Evaluation Program) ugyanígy választja szét a megbeszélésen alapuló és a műveleti gyakorlatokat.
Egy jól előkészített asztali gyakorlaton kiderül:
- ismerik-e a résztvevők a saját szerepüket, és tudják-e, kit kell felhívniuk,
- hol nem egyértelmű egy döntési jogkör, például ki rendelheti el egy gépsor leállítását,
- melyik elérhetőség avult el, melyik dokumentum hiányzik, és melyik lépést feltételezi az eljárásrend úgy, hogy senki nem gyakorolta,
- milyen szempontok alapján dönt az üzem, az IT és a vezetés, ha egymás mellett ülve kell megegyezniük.
A technikai képességek ellenőrzésére nem alkalmas. Hogy egy vezérlő programja valóban visszatölthető-e a mentésből, vagy hogy a tartalék mérnöki munkaállomás elindul-e, egy tárgyalóban nem derül ki. Ezt karbantartási ablakban, tesztkörnyezetben vagy funkcionális gyakorlaton kell kipróbálni. Az asztali gyakorlat legfeljebb annyit mutat meg, hogy erről senkinek nincs friss tapasztalata, és ez a megállapítás már bekerülhet a javítási listába.
Az sem cél, hogy a csoport „átmenjen”. Ha a gyakorlat simán lefut, a forgatókönyv valószínűleg túl könnyű volt. A gyakorlat azokon a pontokon hasznos, ahol a résztvevők elakadnak, vitatkoznak vagy nem tudják a választ.
Kik üljenek az asztalnál: üzem, IT, vezetés, beszállító
A résztvevők köre határozza meg, milyen döntéseket lehet egyáltalán kipróbálni. Ha csak az IT ül az asztalnál, a gyakorlat egy hálózati incidensről fog szólni, a termelést érintő kérdések pedig válasz nélkül maradnak.
| Szerep | Mit hoz a gyakorlatba |
|---|---|
| Üzemvezető, műszakvezető | A leállítás és az újraindítás következményeit, a gépsorok közötti függéseket, a kézi üzem lehetőségeit. |
| Automatizálási vagy folyamatirányítási mérnök | A vezérlők, az operátori panelek és a mérnöki munkaállomások működését, a vezérlőprogramok mentéseinek helyét és állapotát. |
| Munka- és folyamatbiztonsági felelős | A műszerezett biztonsági rendszerek (SIS) szerepét, és azokat a helyzeteket, amikor a döntés már nem informatikai kérdés. |
| IT-üzemeltetés és IT-biztonság | A vállalati hálózat, a címtár, a mentések és a naplók oldalát, az IT/OT-határ lezárásának módját. |
| Vezetés | Az üzleti döntéseket: termeléskiesés vállalása, külső szakértő bevonása, bejelentés. |
| Kommunikáció és jog | A hatóság, a partnerek és a munkavállalók tájékoztatását. |
| Beszállító, rendszerintegrátor | A távoli segítség és a gyártói támogatás elérhetőségét, a pótalkatrészek és a licencek kérdését. |
A beszállítót nem mindig lehet meghívni, de az első gyakorlat előtt érdemes vele egyeztetni, mit vállal incidens esetén és milyen gyorsan. Ha nincs jelen, a levezető játssza el a szerepét a szerződésben rögzített válaszidőkkel.
A döntéshozók mellett két további szerep kell. A levezető viszi a forgatókönyvet, adagolja az új információkat és tartja az időt, de nem dönt. A megfigyelő jegyzetel: ki és mikor hozott döntést, mire hivatkozott, hol akadt el a csoport. Az eljárásrend szerzője lehetőleg ne legyen levezető, mert hajlamos lesz menet közben megmagyarázni a hiányokat ahelyett, hogy hagyná a csoportot elakadni.
A létszám akkor jó, ha mindenki megszólal. Nagyobb szervezetben két rövidebb gyakorlat, egy üzemi-műszaki és egy vezetői, többet hoz egy húszfős ülésnél, ahol a résztvevők fele csak hallgat.
Forgatókönyv-típusok OT-környezetben
A forgatókönyv akkor működik, ha a résztvevők felismerik benne a saját üzemüket: a valódi zónákat, gépsorokat, rendszerneveket és műszakrendet. Egy általános „hekkertámadás” helyett egy konkrét, valószínű helyzetből érdemes kiindulni.
Zsarolóvírus az IT-oldalon, miközben az OT még működik
A vállalati hálózaton titkosítás indul, a termelés egyelőre fut. A kérdés az, hogy lezárják-e az IT/OT-határt, és mi áll le vele együtt: a gyártásirányítási rendszer (MES), a recept- és rendeléskezelés, a címkenyomtatás, a távoli hozzáférés. Ez a forgatókönyv jól megmutatja, mennyire függ a termelés közvetve az IT-rendszerektől.
Fertőzött mérnöki munkaállomás vagy adathordozó
Egy karbantartói laptopról vagy egy USB-meghajtóról kártevő jut az OT-hálózatba, és a víruskereső egy operátori munkaállomáson riaszt. Le szabad-e kapcsolni a gépet, ha éppen azon keresztül felügyelik a folyamatot, és ki dönt erről?
Jogosulatlan módosítás egy vezérlőn
Az operátorok szokatlan értékeket látnak, vagy a hálózatfigyelés programletöltést jelez egy PLC-re, amelyhez nincs munkalap. Ez a legnehezebb típus, mert sokáig nem egyértelmű, hogy meghibásodás, téves beállítás vagy támadás történt. A gyakorlat itt azt méri, mennyi idő alatt jut el a jelzés a megfelelő emberhez, és van-e ismert jó állapot, amellyel a vezérlő programja összevethető.
Visszaélés a beszállítói távoli hozzáféréssel
Egy beszállítói fiókkal szokatlan időpontban lépnek be. Letiltható-e a hozzáférés, ha közben ugyanez a beszállító egy valódi hibán dolgozik, és ki tudja ezt technikailag megtenni éjszaka?
Közvetett kiesés
Az üzem nem célpont, de kiesik egy szolgáltató, egy felhőalapú rendszer vagy a központi telephely, és vele a rendeléskezelés, a logisztika vagy az időszinkron. Ezzel a típussal kipróbálható, mennyi ideig tud az üzem önállóan működni.
Az első gyakorlathoz egyetlen, jól körülhatárolt forgatókönyv elég. Aki kész mintából indulna ki, a CISA nyilvánosan elérhető Tabletop Exercise Packages (CTEP) gyűjteményében kiberbiztonsági forgatókönyveket és levezetői anyagokat talál, ezeket a saját üzem adataira kell átírni.
Fordulatok a gyakorlat közben
A forgatókönyv szakaszokra bontott történet. A levezető minden szakasz elején új információt ad (ezt nevezik bejátszásnak, angolul injectnek), a csoport megbeszéli, mit tesz, és csak utána jön a következő szakasz. A fordulatok azt akadályozzák meg, hogy a csoport a legkényelmesebb utat válassza, és előhozzák a döntések következményeit is.
OT-forgatókönyvben jól használható fordulatok:
- a műszakvezető nem érhető el, a helyettesét senki nem tudja megnevezni,
- a vezérlőprogramok legutóbbi mentése egy olyan fájlszerveren van, amely a titkosított IT-hálózat része,
- az IT/OT-határ lezárása után leáll a recept-letöltés vagy a címkenyomtatás,
- a beszállító csak távolról tudna segíteni, de a távoli hozzáférést éppen letiltották,
- a mérnöki szoftver licencszervere az IT-oldalon fut,
- hétvégi éjszakai műszak van, kevés emberrel,
- egy munkatárs a közösségi médiában ír a leállásról, egy partner pedig telefonon érdeklődik.
A fordulatokat előre meg kell írni, és mindegyikhez fel kell jegyezni, milyen döntést vagy kérdést vár tőle a levezető. Menet közben viszont érdemes rugalmasnak maradni. Ha a csoport egy ponton elakad, nem kell erőltetni a következő bejátszást, jobb kibontani, mi hiányzik a döntéshez. Az időkorlát is segít: ha egy döntésre öt perc jut, a csoport közelebb kerül ahhoz a nyomáshoz, amelyet egy valódi incidens jelent.
Döntési pontok: leállítás, kézi üzem, bejelentés
Egy OT-incidens néhány döntését nem lehet a helyszínen kitalálni. A gyakorlat egyik fő feladata, hogy ezeket a pontokat kijelölje, és kiderüljön, van-e rájuk elfogadott szabály.
Leállítás
Ki rendelheti el egy gépsor vagy az egész üzem leállítását kiberbiztonsági okból, és milyen jelzés alapján? Egy szabályozott leállítás sok folyamatnál órákig tart, a hirtelen leállás pedig berendezést, alapanyagot vagy félkész terméket tehet tönkre. A gyakorlaton érdemes kimondatni, melyik ponton nagyobb a leállítás kockázata a fertőzött rendszer további működtetésénél, és kinek a jóváhagyása kell a döntéshez hajnali kettőkor.
A műszerezett biztonsági rendszerek (Safety Instrumented System, SIS), például a vészleállító körök, a személyek és a berendezések védelmét szolgálják, működésükről a folyamatbiztonsági szabályok szerint kell dönteni. Érdemes az eljárásrendben rögzíteni, hogy kiberbiztonsági intézkedés a folyamatbiztonsági felelős jóváhagyása nélkül nem érintheti őket.
Kézi üzem
Sok folyamat egy ideig helyi kezelőpanelekről, kézi felügyelettel vagy csökkentett üzemmódban is futtatható. A gyakorlat azt teszi próbára, meddig tartható ez, hány ember kell hozzá, ki ismeri még a kézi kezelést, és hol vannak a leírások, ha a dokumentumtár éppen elérhetetlen. A kézi üzem idejére azt is el kell dönteni, milyen adatokat rögzítenek papíron, hogy a minőségi és nyomonkövetési adatok később pótolhatók legyenek.
Bejelentés
A NIS2-irányelv ((EU) 2022/2555) 23. cikke szerint a hatálya alá tartozó szervezetnek a jelentős incidensről 24 órán belül korai figyelmeztetést, 72 órán belül incidensbejelentést, majd az incidensbejelentést követő egy hónapon belül zárójelentést kell küldenie az illetékes CSIRT-nek vagy hatóságnak. Ha az incidens személyes adatokat érintő adatvédelmi incidens is, a GDPR 33. cikke szerint az adatvédelmi hatóságot indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül értesíteni kell, kivéve, ha az incidens valószínűleg nem jár kockázattal az érintettekre.
A gyakorlaton ezekből a gyakorlati kérdések számítanak. Ki állapítja meg, hogy az incidens jelentős-e? Ki írja alá a bejelentést, és ki a helyettese? Honnan lesznek meg a szükséges adatok, ha a levelezés és a dokumentumtár sem működik? Ha ezekre nincs válasz, a 24 órás határidő a gyakorlat szerinti idővonalon könnyen elcsúszik.
A gyakorlat értékelése és a javítások követése
Az első értékelést közvetlenül a gyakorlat végén érdemes megtartani, amíg az üzemi, az IT- és a vezetői résztvevők még együtt vannak, és mindenki emlékszik a részletekre. A HSEEP ezt „hot wash” néven írja le: rövid, kötetlen megbeszélés arról, mi működött és mi nem. A részletes értékelés a megfigyelő jegyzeteiből készül, néhány napon belül.
A jegyzőkönyvbe kerüljön:
- a forgatókönyv és a fordulatok rövid leírása, a gyakorlat dátuma, a résztvevők szerepköre,
- a döntések időrendben: melyik szerepkör döntött, mire hivatkozva, mennyi idő alatt,
- az elakadások: hiányzó információ, tisztázatlan jogkör, el nem érhető ember vagy dokumentum,
- az eltérések az eljárásrendtől, és az, hogy a csoport talált-e jobb megoldást a leírtnál,
- az ellenőrizendő feltételezések, például egy mentés megléte vagy egy beszállítói válaszidő,
- a javítási lista.
A jegyzőkönyv szerepköröket és folyamatlépéseket értékel. Ha a résztvevők attól tartanak, hogy a hibáikat név szerint rögzítik, óvatosabban fognak nyilatkozni, és a gyakorlatból éppen a valódi hiányok maradnak ki.
A HSEEP az értékelés eredményét utólagos jelentésbe és fejlesztési tervbe (After-Action Report / Improvement Plan) foglalja. A fejlesztési tervben minden tétel felelőst és határidőt kap. Jellemző tételek egy OT-gyakorlat után: az elérhetőségi lista frissítése, egy hiányzó döntési jogkör rögzítése, a vezérlőprogram-mentések OT-oldali tárolása, a beszállítói szerződés kiegészítése válaszidővel, a kézi üzemi leírás nyomtatott példánya a vezérlőteremben.
Követés nélkül a következő gyakorlat ugyanazokat a hiányokat találja meg. A nyitott tételeket a következő gyakorlat előkészítésekor érdemes átnézni, és a forgatókönyvet úgy összeállítani, hogy a lezárt javítások is próbára kerüljenek. A NIST SP 800-84 a gyakorlatokat egy ismétlődő tesztelési, képzési és gyakorlási program részeként kezeli. Az ismétlést a változások is indokolják: egy új gépsor, egy új távoli hozzáférési megoldás, egy szervezeti átalakítás vagy egy valódi incidens után az eljárásrend egy része már nem a valós helyzetet írja le.
Kapcsolódó szolgáltatás: OT incidenskezelési protokoll →
