8 августа 2016

Безопасность умных городов: гораздо важнее, чем кажется

Новости Угрозы

Представьте, что кто-то выключил все светофоры в центре Нью-Йорка или Москвы часа в четыре дня. Это будет настоящая катастрофа.

С того момента как Райан Нарейн поднял этот вопрос на конференции Black Hat, я не могу выкинуть эту мысль из головы.

Безопасность умных городов: гораздо важнее, чем кажется

В наши дни все подключено к Интернету: телефоны, телевизоры, часы, фитнес-трекеры, иногда даже двери. А знаете ли вы, что светофоры, поезда и городская электросеть тоже к нему подключены?

Страшно подумать, что преступники могут добраться до одной из индустриальных систем, обеспечивающих жизнь города, — и выключат ее, когда им будет удобно. Что будет, если атака будет нацелена на…

Электричество?
Поезда?
Светофоры?

Все это может стать смертельным оружием, если окажется не в тех руках. Но, к сожалению, сегодня о безопасности умных городов думают меньше, чем следовало бы.

Ryan Naraine talking #smartcities and securing them #ioasis #klbh #blackhat2016

A photo posted by Kaspersky Lab (@kasperskylab) on

Бюрократические проволочки и ограниченное время разработки таких систем часто вынуждают производителей идти на компромисс с требованиями безопасности.

Эту проблему регулярно обсуждают эксперты по безопасности, но, к сожалению, за пределами узкого круга специалистов она мало кого волнует. Согласитесь, обычным людям есть чем заняться помимо мыслей о том, безопасна ли критическая инфраструктура, и это вроде бы нормально, но совсем не хорошо.

Когда речь идет о безопасности, мы беспокоимся о защите других вещей: компьютеров, мобильных устройств, фитнес-трекеров и других гаджетов. Все эти вещи кажутся нам очень важными и необходимыми, но на самом деле они являются предметами роскоши, а не первой необходимости. Если кто-то взломает ваш компьютер, вы, несомненно, расстроитесь, но к вашей смерти такой взлом почти наверняка не приведет.

Во время онлайн-дискуссии на Reddit один из участников задал нашим экспертам вопрос: «На ваш взгляд, как скоро мы столкнемся с ранениями и смертями, вызванными атакой хакеров на индустриальные системы управления? Может ли такое случиться сейчас? Мне кажется, это может произойти в ближайшем будущем, учитывая все последние случаи: атаку на немецкий сталелитейный завод, зловреда Black Energy, а также атаку на диспетчерскую службу аэропорта в Швеции».

Отвечает Брайан Бартоломью: «Отличный вопрос, и довольно сложный. Мне кажется, что это только дело времени. Однажды кто-то решит перейти черту и провести кибератаку, которая приведет к человеческим жертвам. Вспомните, сколько критических систем плохо защищены, и вы поймете: чтобы причинить вред массе людей, понадобится всего один безумец с базовым пониманием того, как работают промышленные системы управления. Вот почему безопасность таких систем должна быть первым приоритетом для управленцев и отраслевых экспертов. Важно, чтобы люди все чаще задавали те же вопросы, что и вы, и задавали их тем, кому надо.

Кому удалось создать хорошую защиту? Ну, с моей точки зрения, никому. Вообще, в этом случае простого «хорошо» явно недостаточно. Таким системам нужна несокрушимая защита, и нужна прямо сейчас. Атаки на индустриальные системы уже давно не сказка. Они уже случались, и со временем их будет только больше».

Отвечает Виталий Камлюк: «Честно говоря, я даже не хочу об этом думать. Когда я в последний раз задумался о зловреде, который может перейти границу между виртуальным и реальным миром и разрушить физический объект, буквально через месяц случился Stuxnet. Я тогда все задавался вопросом: «Почему так быстро?» Это же странное чувство возникает у меня каждый раз, когда я слышу о неожиданном падении самолета, сошедшем с рельс поезде и других подобных происшествиях.

В этом году один специалист по безопасности, известный под ником halvarflake, сказал следующее (воспроизвожу по памяти): «Физическими объектами можно владеть. У компьютерных систем есть дополнительное измерение, которое тоже имеет отношение к владению, — это контроль. Компьютер может принадлежать вам, но из-за того, как устроены современные компьютерные системы, вы никогда не можете быть до конца уверенными, что именно вы его контролируете». Эта мысль не дает мне спать по ночам, так как именно из-за иллюзии контроля существует бесконечное количество возможностей причинить вред людям».

Так что же можно сделать с этой проблемой?

Для начала мы все, как граждане этого мира, можем (и должны) следить за тем, что делают люди у власти для нашей защиты.

Знания и осведомленность в этом вопросе жизненно важны. Обсуждение этой проблемы должно выйти за пределы узкого круга специалистов по кибербезопасности и стать глобальной темой. Взлом уязвимых систем может легко привести к настоящей катастрофе. Об этом действительно стоит беспокоиться, гораздо сильнее, чем, скажем, о скандале со знаменитостями или о взломе сайта знакомств.