CISA og deres internasjonale partnere oppfordrer operatører av kritisk infrastruktur til å forberede seg på å isolere vitale systemer under cyberangrep. Den nye veiledningen fokuserer på å holde nødvendig operasjonell teknologi i drift etter at den er koblet fra bedriftsnettverk, internetteksponerte systemer og andre nettverk med lavere tillitsnivå.
Rådene er rettet mot organisasjoner innen blant annet vannforsyning, energi, transport, produksjon og telekommunikasjon. Disse aktørene må ha planer på plass før en alvorlig hendelse tvinger dem til å begrense et innbrudd.
Ny veiledning fokuserer på motstandsdyktighet i operasjonell teknologi
Veiledningen, kalt CI Fortify – Advice for isolating vital systems, er utviklet av CISA, Australian Cyber Security Centre, FBI og internasjonale partnere.
Den forklarer hvordan organisasjoner kan skille nødvendig operasjonell teknologi, eller OT, fra andre nettverk over en lengre periode. OT omfatter maskinvare og programvare som brukes til å overvåke eller styre fysiske prosesser, fra vannbehandling og strømforsyning til fabrikkutstyr og transportsystemer.
Myndighetene advarer om at kritisk infrastruktur fortsatt er et mål for både cyberkriminelle og statsstøttede trusselaktører. Angripere kan forsøke å stjele sensitive data, spre løsepengevirus eller etablere tilgang som senere kan brukes til å forstyrre tjenester under en fremtidig krise.
Kritisk infrastruktur står overfor vedvarende cybertrusler
Nylige hendelser har vist faren ved angrep mot samfunnskritiske tjenester. I 2024 advarte amerikanske myndigheter om at den Kina-tilknyttede gruppen Volt Typhoon hadde infiltrert organisasjoner innen kommunikasjon, energi, transport og vannforsyning.
Myndighetene opplyste at gruppen hadde vært til stede i minst ett nettverk for kritisk infrastruktur i fem år. Kampanjen antas å ha vært rettet mot å etablere tilgang som kunne brukes til forstyrrende aktiviteter under en konflikt eller større krisesituasjon.
Andre grupper, inkludert Salt Typhoon, har også rettet angrep mot telekommunikasjons-, myndighets- og transportnettverk. Samtidig har vannverk gjentatte ganger blitt rammet av cyberhendelser, noe som har tvunget enkelte operatører til å deaktivere systemer eller gå over til manuelle prosesser.
Organisasjoner bør først identifisere vitale systemer
Myndighetene anbefaler organisasjoner å identifisere minimumet av systemer som kreves for å fortsette å levere en kritisk tjeneste. Disse omtales som vitale systemer.
En vannleverandør kan for eksempel trenge systemer som styrer distribusjon og behandling. En strømleverandør kan trenge systemene som kreves for å opprettholde strømforsyningen. En telekommunikasjonsoperatør kan trenge sentralt utstyr som opprettholder tilgjengeligheten i nettverket.
Når systemene er identifisert, bør operatørene kartlegge alle forbindelser til dem. Dette omfatter tilkoblinger til bedriftsnettverk, skyplattformer, verktøy for fjerntilgang, leverandører, entreprenører, internetteksponerte tjenester og andre operatører av kritisk infrastruktur.
Fysisk isolering gir den sterkeste beskyttelsen
Veiledningen beskriver fysisk isolering som den mest effektive beskyttelsen. Dette innebærer å koble vitale systemer helt fra, slik at de ikke lenger deler nettverks- eller datainfrastruktur med ikke-kritiske systemer.
Fullstendig separasjon er imidlertid ikke praktisk mulig for alle operatører. Enkelte tjenester er avhengige av skysystemer, operatørnettverk, eksterne anlegg eller internetteksponerte plattformer.
I slike tilfeller bør organisasjoner styrke grensene rundt OT-nettverk, fjerne unødvendige avhengigheter av bedriftsnettverk og bruke dedikerte eller krypterte kommunikasjonsforbindelser. De bør også kunne gjenoppbygge viktige systemer raskt.
Gradvis isolering kan begrense et angrep
Veiledningen anbefaler å forberede isolasjonspunkter på forhånd. Dette er forhåndsbestemte steder der forbindelser kan deaktiveres eller kobles fysisk fra for å hindre en angriper i å bevege seg mellom systemer.
Operatører kan også bruke gradvis isolering. Med denne tilnærmingen begrenses tilgangen trinnvis etter hvert som trusselen blir mer alvorlig.
En organisasjon kan for eksempel først blokkere tilgang for leverandører og fjernarbeidere. Deretter kan bedriftsnettverk og tilknyttede miljøer kobles fra, og om nødvendig også alle eksterne forbindelser.
Administrative kontroller, som endringer i VLAN, ruting og tilgangskontrollister, kan gi midlertidig beskyttelse. Myndighetene understreker imidlertid at fysisk isolering bør være det endelige målet der det er mulig.
Isoleringsplaner må testes regelmessig i full skala
Organisasjoner bør regelmessig teste fullstendig isolering av vitale systemer. Testing av bare individuelle systemer kan føre til at delt infrastruktur og skjulte avhengigheter overses og deretter svikter under en reell hendelse.
Hver plan bør tydelig angi hvem som kan godkjenne isolering, hvilke forhold som utløser hvert trinn, hvilke tjenester som må forbli tilgjengelige og hvordan ansatte skal fortsette driften uten normal nettverkstilkobling.
Myndighetene anbefaler også å lagre planen i et sikkert offlineformat eller som en utskrift. Dette sikrer at teamene kan få tilgang til den dersom bedriftssystemer eller fillagring blir utilgjengelige.
Operatører må kunne arbeide uten normal tilkobling
Isolering medfører også egne utfordringer. Systemer kan gå glipp av sikkerhetsoppdateringer, overvåkingen kan bli vanskeligere og ansatte kan bli mer avhengige av flyttbare lagringsmedier for å overføre data.
Etter at systemene er isolert, bør operatørene fortsette å kontrollere nettverkstrafikk, rutingtabeller og verktøy for inntrengningsdeteksjon. Dette bidrar til å bekrefte at ingen uautorisert eller utilsiktet forbindelse gjenoppretter tilgang mellom kritiske og ikke-kritiske nettverk.
Veiledningen understreker til slutt at isolering av vitale systemer ikke bare er et teknisk tiltak. Organisasjoner må være klare til å drive, overvåke og vedlikeholde samfunnskritiske tjenester manuelt frem til det er trygt å koble systemene til igjen.
0 responses to “CISA anbefaler isolering av kritiske systemer under cyberangrep”