Varnost v pametnih stavbah
Urška Košenina
Pametne stavbe so na pohodu, a so se znašle pod plazom kritik zaradi prevelike porabe energije sistemov, slabega vpliva na zdravje in počutje ljudi in zaradi tveganj pri varnosti. Direktor podjetja Viris d.o.o. Milan Gabor je pojasnil, v čem je uporabnik izpostavljen, kdo je najbolj primerna tarča za hekerje in pa tudi, kako odreagirati po napadu. Največje tveganje so odprti sistemi, ki nimajo nameščenih popravkov ali zadnjih posodobitev programske opreme. Najpomembnejša pa je kontrola dostopa.
V pametnih stavbah je cel kup stvari, ki jih hekerji lahko napadejo. S čim se najbolj izpostavljamo in kdo je najbolj primerna tarča?
Vsekakor so najbolj problematične tiste stvari, ki so odprte na internet. Torej kakšno je krmiljenje sistemov, kakšni so nadzorni sistemi ali druge naprave, ki se jih uporablja v pametnih stavbah. Še večje tveganje pa pomenijo odprti sistemi, ki nimajo nameščenih popravkov ali zadnjih posodobitev programske opreme. Ta pomanjkljivost in dostopnost z interneta lahko pomenita usodno kombinacijo, ki jo bodo napadalci prej ali slej izkoristili. Seveda ne smemo pozabiti na privzeta uporabniška imena in gesla, ki jih upravljavci dostikrat pozabijo spremeniti. Hekerji v veliki večini primerov ne ciljajo direktno na pametne stavbe, ampak streljalo po širnem svetu. Če odkrijejo pomanjkljivosti, se lotijo sistemov ali aplikacij. Tako v veliki večini primerov ne gre za načrtne ciljane napade.
Pravkar objavljeno poročilo raziskovalnega laboratorija Forescout opozarja na 33 resnih ranljivosti – od tega štiri kritične, ki vplivajo na odprtokodne sklade TCP/IP. Te ranljivosti vplivajo na milijone IoT in OT naprav, kot so npr. vgrajeni sistemi, pametni termometri, pametne vtičnice, senzorji, tiskalniki, IP kamere, strežniki itd. Kako varni smo v pametnih stavbah, če vzamete v obzir te ranljivosti poimenovane Amnesia:33?
Velikokrat pozabimo na spodnje nivoje omrežja in se bolj fokusiramo na aplikativno raven naprav, zato se lahko potem takšne stvari odkrijejo tudi leta kasneje. Seveda je precej odvisno od kakovosti razvijalcev in poznavanja varnih načinov razvoja programske opreme. Velikokrat je namreč največji problem usposobljenost razvijalcev in sledenje dobrim praksam na področju varnega razvoja programske opreme. Na drugi strani pa je tudi mnogo odvisno od dobrih praks proizvajalcev programske opreme, ki jo razvijajo za IoT naprave. Nekateri ne želijo biti odvisni od različnih knjižnic in paketov, ki niso dobro varnostno testirani, zato raje uberejo lasten razvoj. Pri takšnih zaprtih sistemih je potem lahko težje najti kakšne ranljivosti, saj izvorna koda ni dostopna. Je pa res, da se pozneje velikokrat ugotovijo tudi ranljivosti v njihovih lastnih rešitvah. Zato je priporočljivo, da so vse te IoT in OT-naprave v posebej ločenih omrežnih segmentih in da se jih redno posodablja. Dostop do njih pa naj bo zelo omejen.
Lahko izpostavite kakšen zanimiv primer tovrstnih napadov na pametne sisteme v stavbah?
Če bi začeli pri velikih, smo lahko videli, da je Google pred leti pozabil omejiti dostop do nekaterih njihovih stavb in sistemov za upravljanje. Potem smo videli, da so v Avstriji v hotelu uspeli zakleniti obiskovalce v sobe in zakleniti tudi druge podatke. In to se jim je zgodilo celo štirikrat! Na koncu so se vrnili k navadnim ključavnicam. Velikokrat pa vsebine napadov ne pridejo v medije in jih ni mogoče potem analizirati in ugotoviti, kje je bil dejansko problem.
Kako se lahko zavarujemo pred takšnimi vdori? Kakšna je preventiva?
Vsekakor je kontrola dostopa najpomembnejša komponenta. Torej, kdo sploh lahko dostopa do teh naprav ali do sistemov za upravljanje z njimi. Potem so vsekakor zelo pomemben dejavnik nameščanje popravkov in posodabljanje programske opreme na napravah. Dodaten faktor je še segmentacija omrežja, kar pomeni, da so te naprave v posebnem omrežnem segmentu, do katerega in iz katerega je dostop še posebej omejen. Dodatna preventiva je še izobraževanje osebja, ki namešča in upravlja z napravami ter dostopi, saj se velikokrat zgodi, da ti niso seznanjeni z vsemi možnimi grožnjami, ki jih lahko prinese pomanjkljiva ali nepravilna konfiguracija.
Kako je potrebno odreagirati, če se napad le zgodi?
Vsekakor je potrebno izvesti podrobno analizo, kako je do incidenta prišlo, da se to potem v prihodnosti ne ponovi. Iz napak se tudi kaj naučimo. Preveriti je potrebno, ali so napadalci poleg napada na pametne naprave izvedli še kaj drugega, kar bi lahko pomenilo grožnjo podatkom ali celo zdravju ljudi. Velikokrat vidimo, da si napadalci pustijo odprta še kakšna vrata, da se lahko vrnejo. Vsekakor je takšne incidente smiselno prijaviti CERT-u ali drugim pristojnim ustanovam, da se lahko potem ugotovi, ali je šlo za posamičen napad ali kakšno širšo kampanjo.
Pametne stavbe zahtevajo dobro načrtovanje upravljanja in nadzor, a so ranljive. V čem je prednost pametnih stavb za kakovost človekovega bivanja?
Tudi pri pametnih stavbah je tako kot z vsemi novimi tehnologijami, ki smo jim bili priča v zadnjih desetletjih. Vsaka ima namreč dve plati. Dobro in manj dobro. Vsekakor lahko pametne stavbe izboljšajo kakovost življenja, nam olajšajo kakšno težavo in nam s pametnim upravljanjem prihranijo precej energije. Lahko pa po drugi strani tudi zelo zagrenijo življenje ali ga celo ogrozijo. Zato jih je potrebno vpeljati na primeren način in poskrbeti za ustrezno stopnjo varnosti pri njihovem upravljanju.
