מה אפשר ללמוד ממתקפת הסייבר האיראנית על בריטניה?

בסוף השבוע נחשפנו למתקפת סייבר איראנית, שבוצעה בסוף חודש יולי, פגעה בתחנת כוח בבריטניה והשביתה אותה. מאז החשיפה, האירוע, שכונה על ידי מומחים "חסר תקדים", מדובר מאוד בקהילת מגיני הסייבר, משום שהוא חושף אותנו ליכולות איראניות חדשות ומתקדמות, ולנחישות של טהרן לבצע אותן ולפגוע בתשתיות קריטיות במערב.

המתקפה על הממלכה בוצעה באותו קמפיין שבו האיראנים תקפו תאגידי מים בתריסר מדינות בארצות הברית. במקרה הזה הייתה פגיעה בתפקוד המערכות של אותם תאגידים, אולם אספקתם לא הושבתה. המשותף בין האירועים האלה, חוץ מהיותם חלק מאותו קמפיין סייבר, הוא ששניהם נגרמו על ידי גורמים איראניים, במטרה לשבש את חיי התושבים וליצור פחד ממה שעוד עלול להגיע.

לגבי האירועים בארצות הברית, התאגידים ביצעו חשיפה אמיצה ומסרו שמערכות הבקרה שלהם היו חשופים לרשת האינטרנט, ללא הגנה ראויה. עובדה זו חמורה, כי היא חושפת שהמנהלים בארגונים אלה העדיפו לשלם פחות, על אף החשיפה לסיכוני הסייבר. הם רצו להוזיל את עלויות התחזוקה על ידי מתן אפשרות להתחבר למערכות מרחוק, ובכך אפשרו את אותה מתקפה – וביישו את עצמם. הסיבה להצלחת המתקפה על תחנת הכוח בבריטניה לא פורסמה, אולם ניתן לשער שהיא דומה: שגם מערכת זו הייתה חשופה לאינטרנט – מה שאפשר להאקרים האיראניים חדירה חלקה ופגיעה בתפקוד הבקרים.

המבצעים – האקרים בתחילת דרכם ה-"מקצועית"

חשוב לומר שאלה לא תקיפות סייבר "מכובדות ומקצועיות", כמו שהיה בסטוקסנט – הנוזקה שפגעה במתקן הגרעין בנתנז, ושעל פי פרסומים זרים הושתלה במערכות שלו על ידי ישראל וארצות הברית. באירוע זה הושקעו מאמץ מקצועי ומשאבים, בעוד שמערכות תפעוליות שחשופות באופן רשלני לאינטרנט ניתנות לגילוי על ידי סריקה פשוטה עם כלים כמו Shodan. יתרה מזאת, יש להניח שתקיפות הסייבר של איראן על אותן תשתיות קריטיות בארה"ב ובריטניה בוצעו על ידי תוקפים בתחילת דרכם ה-"מקצועית", ולא על ידי האקרים מקצוענים ובעלי ניסיון.

ממתקפות הסייבר האיראניות האחרונות על ארה"ב ובריטניה אנחנו לומדים שארגונים שאחראיים לתפעול של תשתיות מדינה קריטיות כמו מים, חשמל, תחבורה ותקשורת חייבים לפעול באחריות וברמה מקצועית גבוהה יותר ממה שקרה באירועים אלה

מה מכעיס במתקפות?

במיוחד מכעיסה העובדה שפרסומים רבים מתייחסים לחולשות בבקרי PLC שיוצרו על ידי חברות מהשורה הראשונה ושעומדים בתקינה 62443 ISA. כמו כן, מכעיסה ההשערה שאירועי סייבר אלה התרחשו משום שהתוכנות בבקרים שנפגעו לא עודכנו. גישה זו, שלפיה לא צריך לעדכן את אותן תוכנות, פגומה מיסודה, ומגיעה מאנשים שלא מבינים במערכות OT.

חשוב להדגיש כאן שתפקידם של בקרים תעשייתיים הוא להבטיח פעולה בטוחה ואמינה, ורציפות תפקודית של הארגון. אבטחת סייבר על מערכות OT היא לא אחד התפקידים של בקרים אלה. המתכננים והמתחזקים של אותן מערכות הם אלה שחייבים לדאוג לאבטחת הסייבר שלהן. בהתאם לדרישות בתקן 62443 ISA, שכאמור, אותן מערכות עומדות בו, התפקיד של מפעיל המערכת הוא לדרוש רמת אבטחה ראויה, לבחון שהיא קיימת ולשלם עבור פתרון ראוי.

מטרת התקיפה: להזהיר ולהפגין יכולות

ברור שמטרת התקיפה של תחנת הכוח הבריטית לא הייתה לפגוע באספקת החשמל במדינה, אלא להזהיר, ובעיקר להפגין את יכולות הסייבר האיראניות המתקדמות. פגיעה בתחנת כוח בודדת לא אמורה לגרום לאירוע כה חמור כמו פגיעה נרחבת באספקת החשמל, כיוון שמערכות החשמל במדינה מוגנות על ידי מערכות EMS (ר"ת Energy Management System), שמסוגלות להתמודד עם מחסור במקורות ייצור, תוך מגבלות על צריכת חשמל.

לסיכום, ממתקפות הסייבר האיראניות האחרונות על ארה"ב ובריטניה אנו למדים שארגונים שאחראיים לתפעול של תשתיות מדינה קריטיות כמו מים, חשמל, תחבורה ותקשורת חייבים לפעול באחריות וברמה מקצועית גבוהה יותר ממה שקרה באירועים אלה. על אותם ארגונים, בעולם וגם בישראל, להשקיע משאבים בלמידה מתמדת עבור העובדים שלהם בנושאים שקשורים לסיכונים ואמצעי אבטחת סייבר למערכות ייצור. נכון שלא ניתן למנוע תקיפת סייבר באופן מוחלט, אבל אפשר לעשות פעולות רבות ומגוונות כדי להקשות על התוקפים. אבטחת סייבר על מערכות תפעוליות לא חייבת להיות יקרה אם עושים אותה באופן מקצועי.