Egy vegyi üzemben, finomítóban, erőműben vagy gázelosztó állomáson a folyamatot vezérlő rendszer mellett működik egy második automatika is. Ha a nyomás, a hőmérséklet vagy a szint veszélyes tartományba kerül, ez viszi biztonságos állapotba a folyamatot, akkor is, ha a vezérlés közben hibásan működik. Ez a biztonsági műszerezett rendszer, angol rövidítéssel SIS (Safety Instrumented System).
A SIS-t évtizedekig a funkcionális biztonság mérnökei tervezték, véletlen meghibásodásokra és emberi tévedésekre méretezve. A szándékos támadás ebben a gondolkodásban sokáig nem szerepelt. Amióta a biztonsági vezérlők hálózatra kerültek, a szándékos beavatkozással is számolni kell.
Mi a feladata a biztonsági műszerezett rendszernek
A SIS három részből áll: érzékelőkből (nyomás-, hőmérséklet-, szint- vagy gázérzékelők), egy logikai egységből, amely jellemzően egy erre a célra tanúsított biztonsági vezérlő, és végrehajtó elemekből, például gyorszáró szelepekből vagy motorleválasztó kontaktorokból. Egy-egy veszélyre tervezett működési lánc a biztonsági funkció (SIF): ha a reaktor nyomása átlép egy határt, a betáplálás szelepe zár, a fűtés leáll.
A folyamatipari követelményeket az IEC 61511 szabvány írja le, az általános alapot az IEC 61508 adja. Minden biztonsági funkcióhoz a kockázatelemzés alapján biztonsági integritási szintet (SIL) rendelnek. A SIL azt fejezi ki, mekkora kockázatcsökkentést kell a funkciónak elérnie, és ebből következik az érzékelők, a logika és a szelepek kialakítása, a redundancia és az, hogy milyen gyakran kell a funkciót próbával ellenőrizni.
A SIS a védelmi rétegek egyike. Alatta a folyamat tervezése, a folyamatirányítás, valamint a riasztások és az operátori beavatkozás áll, fölötte a mechanikus védelmek, például a biztonsági lefúvatószelepek és a hasadótárcsák, majd a kármentés és a vészhelyzeti eljárások. A SIS az utolsó automatikus, programozható réteg, ezért amit elront egy hiba vagy egy támadás, azt utána már csak a nem digitális védelmek tudják megfogni.
Folyamatirányítás és SIS: miért kell külön
A folyamatirányító rendszer (DCS vagy PLC-alapú vezérlés) a termelést viszi: szabályozókört tart, receptet futtat, és az operátor folyamatosan beavatkozik. A SIS ezzel szemben szinte mindig nyugalomban van, csak figyel, és ritkán, de akkor azonnal kell működnie.
A rétegzett védelem azzal számol, hogy a rétegek egymástól függetlenül hibásodnak meg. Ha a folyamatirányítás hibája okozza a veszélyes állapotot, és ugyanaz a hiba a SIS-t is megbénítja, a két réteg egyetlen rétegként viselkedik, és a számított kockázatcsökkentés nem teljesül. Az IEC 61511 ezért elvárja, hogy a SIS a folyamatirányítástól kellő mértékben független legyen, ha a folyamatirányítást is védelmi rétegként veszik figyelembe.
A szabványok a függetlenséget eredetileg hardverhibákra és közös okú meghibásodásokra értelmezték: külön érzékelő, külön vezérlő, külön tápellátás. A hálózati összeköttetés új közös okot hoz. Ha a két rendszer ugyanazon a hálózaton van, ugyanarról a mérnöki gépről programozzák, és ugyanazzal a fiókkal lehet hozzájuk férni, akkor egy támadónak, aki a folyamatirányításba bejutott, a SIS is elérhető. A függetlenséget tehát a hálózat, a hozzáférés és a mérnöki eszközök szintjén is vizsgálni kell.
Integrált és elkülönített architektúrák
A SIS és a folyamatirányítás kapcsolatára a gyakorlatban négy jellemző megoldás van.
| Architektúra | Felépítés | Kiberbiztonsági következmény |
|---|---|---|
| Elkülönített | Saját hálózat, saját mérnöki állomás, a folyamatirányítással legfeljebb huzalozott jelek kapcsolják össze. | Hálózaton át nem érhető el. A gyenge pont a mérnöki állomás és a hordozható adathordozó, amellyel a programot viszik. |
| Csatolt | Külön hálózat, a folyamatirányítás egy átjárón vagy soros kapcsolaton keresztül olvassa az állapotokat, a riasztásokat és az eseménynaplót. | A kockázat az átjárón múlik: csak olvasást enged-e, milyen parancsokat ismer, ki konfigurálhatja. |
| Integrált hálózat | A biztonsági vezérlő a folyamatirányítás hálózatán van, közös operátori felülettel és gyakran közös mérnöki szoftverrel. | A folyamatirányítás bármely kompromittált gépe útvonalat jelenthet a SIS felé. Szegmentálásra és szűrésre van szükség a két rész között. |
| Közös platform | A folyamatirányítás és a biztonsági funkciók ugyanazon a rendszeren futnak, logikailag szétválasztva. | A szétválasztás a platform belső védelmén múlik, egy platformszintű sebezhetőség mindkét funkciót érinti. |
Az integrált megoldásoknak üzemeltetési előnyük van: egy felület, egy adatbázis, egyszerűbb diagnosztika és kevesebb kábel. A kiberbiztonsági szemlélet ezt nem tiltja, de megköveteli, hogy a közös részeket külön vizsgálják. Az IEC 62443 zóna- és csatorna-modelljében a SIS jellemzően saját zónát kap, magasabb célzott biztonsági szinttel, a folyamatirányítás felé pedig egy pontosan leírt csatornát, amelyen csak az előre meghatározott forgalom halad át. A modell részleteiről az IEC 62443 alapjairól szóló cikk ír.
A Purdue-modell szintjein a SIS a vezérlési szinthez tartozik, a vezérlőkkel egy magasságban. Ettől még nem kell velük egy hálózatrészben lennie: a szint a funkciót írja le, a zóna a védelmet.
Mi történik, ha a SIS-t támadják
A kisebbik baj, amit egy támadó a SIS-sel okozhat, a hamis leállítás: a biztonsági funkciót ok nélkül működésbe hozza, és a folyamat leáll. Ez közvetlenül nem okoz balesetet, de termeléskiesést jelent, és az újraindítás egy vegyi folyamatnál önmagában is kockázatos művelet. Súlyosabb, ha a támadó a biztonsági funkciót hatástalanítja vagy átírja, majd a folyamatirányításon keresztül előidézi azt a veszélyes állapotot, amelyre a SIS-nek reagálnia kellene. Ekkor a két réteg egyszerre esik ki, és csak a mechanikus védelmek maradnak.
2017-ben egy közel-keleti petrolkémiai üzemben olyan kártevőt találtak, amelyet kifejezetten biztonsági vezérlők átprogramozására írtak. Az amerikai NCCIC (ma a CISA része) a „HatMan: Safety System Targeted Malware” című elemzésében (MAR-17-352-01, 2017. december) írta le, a szakirodalomban TRITON vagy TRISIS néven is ismert. A nyilvános elemzések szerint a támadók a SIS mérnöki munkaállomásán keresztül érték el a vezérlőket, és a módosításhoz az kellett, hogy a vezérlő kulcskapcsolója programozó állásban legyen. A vezérlők a támadók egyik hibás művelete miatt eltérést észleltek, és biztonságos állapotba vitték a folyamatot. A leállás miatt derült ki a támadás.
A SIS önellenőrzése tehát egy támadói hibát fogott meg, nem magát a támadást, ezért védelemként erre nem lehet építeni.
Mérnöki hozzáférés, kulcskapcsoló, módosítások
A SIS programja ritkán változik, és minden változtatás biztonsági kérdés. A változtatásokat a funkcionális biztonság szigorú eljárásban kezeli: a módosítást engedélyezni kell, utána a biztonsági funkciókat újra ellenőrizni. A kiberbiztonság ugyanehhez a ponthoz kapcsolódik, mert egy jogosulatlan programletöltés pontosan ilyen változás, csak engedély nélkül.
A mérnöki munkaállomás
A SIS programozására szolgáló mérnöki munkaállomás a teljes rendszer legérzékenyebb gépe. Jó gyakorlat, hogy erre a feladatra külön gép legyen, ne ugyanaz, amelyről a folyamatirányítást programozzák, és ne legyen egyszerre két hálózaton. Ne legyen rajta levelezés és böngészés, a hozzá csatlakoztatott adathordozókat ellenőrizzék, és a szoftverét, a projektfájljait, a felhasználóit nyilvántartsák. Ha nincs használatban, sokhelyütt fizikailag lekapcsolják vagy elzárják.
A kulcskapcsoló
Sok biztonsági vezérlőn fizikai kulcskapcsoló vagy azzal egyenértékű beállítás határozza meg, hogy a vezérlő fogad-e programot. Normál üzemben a kapcsoló futó állásban van, és programletöltés nem lehetséges. A gyakorlati hiba az, hogy a kapcsolót egy karbantartás után programozó állásban hagyják, vagy a kulcs a szekrényben marad. Érdemes a kapcsoló állását a folyamatirányításban jelezni és riasztásként kezelni, a kulcs kiadását pedig a munkaengedélyhez kötni.
Áthidalások és változáskezelés
Karbantartás vagy érzékelőcsere idejére egy-egy biztonsági funkciót áthidalnak (bypass). Az IEC 61511 ezt is szabályozott eljáráshoz köti: ki engedélyezheti, mennyi ideig tarthat, milyen pótló intézkedés kell közben. Kiberbiztonsági szempontból az a kérdés, honnan lehet áthidalást indítani. Ha az operátori felületről egy gombnyomással lehetséges, akkor annak a felületnek a hozzáférését is a SIS részeként kell kezelni.
A változások ellenőrzésének egyszerű módja a programverziók összehasonlítása. Ha a vezérlőben futó logikát rendszeresen összevetik a jóváhagyott, archivált változattal, egy nem engedélyezett módosítás nem marad rejtve. Ehhez az archívumot is védeni kell, különben a támadó a referenciát is átírhatja.
Kiberbiztonsági szempontok a funkcionális biztonság mellett
Az IEC 61511 2016-os második kiadása már kifejezetten előírja, hogy a SIS-re biztonsági kockázatértékelést kell végezni (8.2.4. pont), és a tervezésnek ellenállónak kell lennie az azonosított biztonsági kockázatokkal szemben (11.2.12. pont). A részleteket a szabvány az IEC 62443-ra bízza. Az ISA-TR84.00.09 műszaki jelentés azt írja le, hogyan illeszthető a kiberbiztonság a funkcionális biztonsági életciklus egyes lépéseihez. A két terület így egy életcikluson belül találkozik: a veszélyelemzésnél, a tervezésnél, az üzembe helyezésnél és minden későbbi módosításnál, és itt látszik az is, hol tér el a két szemlélet.
- Frissítés. Az IT-rendszerekben a biztonsági javítás gyors telepítése a cél. Egy biztonsági vezérlő firmware-frissítése viszont módosítás, amelyet a gyártó jóváhagyása és a funkciók újbóli ellenőrzése után lehet elvégezni. A javítás ezért gyakran a következő tervezett leállásra vár, addig kompenzáló intézkedések védenek.
- A védelem nem gátolhatja a leállítást. Egy tűzfal, egy végpontvédelmi szoftver vagy egy jelszó nem lassíthatja és nem akadályozhatja meg a biztonsági funkció működését. A leállító jelek útja ezért jellemzően huzalozott, és a biztonsági funkció nem függ a hálózattól.
- Megfigyelés. A SIS forgalma kis mennyiségű és szabályos, ezért egy szokatlan kapcsolat, egy programletöltés vagy egy üzemmódváltás jól felismerhető. Érdemes a SIS hálózatát passzívan figyelni, és ezeket az eseményeket külön riasztásként kezelni.
- Közös felelősség. A funkcionális biztonság és a kiberbiztonság gyakran más szervezeti egységhez tartozik. A SIS-t érintő döntésekben, a hálózati átalakítástól a távoli hozzáférésig, mindkettőnek részt kell vennie.
A legkedvezőbb időpont a SIS kiberbiztonsági szempontjainak rendezésére a tervezés. Egy új gyártósornál vagy egy vezérlőrendszer cseréjénél az architektúra, a csatlakozások és a mérnöki hozzáférés még papíron módosítható, üzem közben ugyanez leállást és újbóli validálást jelent.
Kapcsolódó szolgáltatás: Biztonsági terv-felülvizsgálat beruházáskor →
