Необичайна дистанционна сесия може да бъде първият видим сигнал за по-широк проблем. Илюстративно изображение.
В 22:47 часа в производствената мрежа се установява дистанционна връзка. Профилът принадлежи на външен доставчик, който поддържа част от оборудването. Името е познато. Достъпът изглежда легитимен. Проблемът е, че тази вечер не е планирана поддръжка.
Профилът е създаден преди години и се използва от няколко техници. Няма автоматичен срок на валидност и не се изисква задължително одобрение преди всяко свързване. Нападателите са компрометирали профил на служител от доставчика – възможно чрез фишинг съобщение, повторно използвана парола или заразено устройство – и в запазените данни са открили информацията, необходима за достъп до производствения обект.
След свързването те не променят директно работата на машините. Това би привлякло внимание твърде бързо. Първо разглеждат средата, достигат до инженерна станция, копират конфигурационни файлове и инсталират зловреден софтуер. Част от файловете стават недостъпни. Останалите изглеждат непокътнати, но никой не може да потвърди дали съдържанието им е променяно.
На следващата сутрин производството продължава. Операторите не виждат очевидна аномалия. Организацията обаче не може да докаже, че конфигурациите са надеждни. В този момент въпросът вече не е само технически: може ли работата да продължи безопасно, трябва ли линията да бъде спряна, има ли проверени резервни конфигурации и кой има право да вземе решението?
“При OT инцидент загубата на доверие в конфигурациите може да е достатъчна, за да наложи контролирано спиране.”
Потенциалните последици включват прекъсване на производството, забавени доставки, разходи за възстановяване и необходимост от работа с външни специалисти. Нападателите не е задължително да поемат физически контрол над процеса. Понякога самата невъзможност да се потвърди целостта на системите е достатъчна, за да принуди организацията да спре.
Как знанията от обученията биха помогнали
„Киберхигиена“ (Cyber Hygiene) и „Човешки фактори и осведоменост по киберсигурност“ (Human Factors and Cybersecurity Awareness) могат да намалят вероятността първоначалният профил да бъде компрометиран или използван безконтролно. Те развиват умения за разпознаване на подозрителни съобщения, по-добро управление на профили и своевременно докладване.
„Мрежова сигурност и криптография“ (Network Security and Cryptography) подпомага ограничаването на достъпа на доставчика до конкретна система, вместо предоставянето на широк път към производствената среда. „Управление на риска и киберсигурност“ (Risk Management and Cybersecurity) насочва вниманието към дистанционната поддръжка като критична зависимост, която трябва да се оценява и управлява.
След установяване на инцидента „Анализ на зловреден софтуер и реакция при инциденти“ (Malware Analysis and Incident Response) подпомага ограничаването и определянето на засегнатия обхват. „Дигитална криминалистика“ (Cyber Forensics) помага да бъдат запазени следите и да се възстанови последователността на действията. Чрез „Киберполигон за реакция при инциденти в OT/ICS“ (Cyber Range for OT/ICS Incident Response) техническите и управленските екипи могат предварително да упражнят същите решения без риск за реалното производство.
Подобно обучение не заменя контрола на достъпа, мрежовото сегментиране, резервните копия или управлението на доставчиците. То помага тези мерки да бъдат използвани правилно, когато ситуацията престане да бъде теоретична.
Информация и участие
Период на провеждане
Октомври 2026 - Септември 2027 г.
Формат
Онлайн, присъствено или хибридно (възможно е организация да заяви домакинство за свои служители, партньори и доставчици)
Цена
100% безплатно (Програма „Цифрова Европа“)
Подходящо за
Служители, технически екипи и ръководители