אתגרי הגנת סייבר – על תשתית הרכבות

אתגרי הגנת סייבר – על תשתית הרכבות

לאור מורכבות איומי הסייבר על מערך התחבורה המודרני, בדגש על עולם הרכבות, פנינו למר אור שלום המשמש כיועץ מומחה בתחומו להאיר את עינינו בנושא. 

מאת: אור שלום, מומחה ויועץ לאבטחה וסייבר

לרכבות חשיבות אסטרטגית כתשתית קריטית (כהגדרה). הרכבות בפריסתן בעולם משמשות כעורק תחבורה חיוני להובלת נוסעים ושינוע משא. התעשייה וחברות הרכבות מהוות מנוע לצמיחה כלכלית, ייצור הכנסה ומקום תעסוקה לאזרחים. ככאלו, הן מהוות כיעד לגורמי תקיפה שונים המונעים מאידיאולוגיות שונות בין אם טרור וחבלה, פשיעה וכדומה ובמנעד איומים רחב.

אי לכך, משימת האבטחה (ההוליסטית ממילא בתחבורת הרכבות ותשתיותיה) הופכת להיות מורכבת עוד יותר. היא חייבת לשקלל בין האיומים הפיזיים, האיומים הטכנולוגיים והממשקים ביניהם, לדוגמא: פגיעה בכבלי תקשורת, בקרבת תשתית המסילות, יכולה להשפיע על מערכת האיתות המהווה מרכיב קריטי בניהול תנועת הרכבות. לראיה, אירוע של פריצה וחבלה פיזית מכוונת במאות מטרים של כבלי תקשורת במערכת האיתות של רכבת ישראל הוביל בשנת 2018 לעיכוב משמעותי של תנועת הרכבות דרומית ללוד. קריעת הכבלים הובילה לחיווי מהיר והקפצת כוחות אבטחה למקום. אירוע זה הוא דוגמא קלאסית לחבלה פיזית שיכולה הייתה להשפיע ולפגוע במערכות המחשוב וממחיש שוב את הסינרגיה שבין אבטחה פיזית וסייבר. השימוש ההולך וגובר בטכנולוגיות מחשוב מתקדמות הופך את הרכבות לאטרקטיביות בראיית התוקף. כבר היום מתוכננות הרכבות לאופן נהיגה אוטונומי ובעתיד יופעלו כך באופן מלא. פגיעה חמורה בתשתיות תיצור כאוס, נזק כלכלי ואף תביא לאובדן חיי אדם. כל אלו הופכים את הרכבות ברחבי העולם ליעד מושלם לגורמי תקיפה שונים (מהאקר בודד, עובר בגורמים מאותגרים, גופי פשיעה, ארגוני טרור המשוועים למגה פיגוע ועד רמת טרור מדינתי).

בשנת 2019 איתגר אגף התקשוב בסייבר את חניכיו בתרגילי תקיפה על תשתית קריטית (במקרה הנתון – הרכבת). תרגיל המסגרת היה במתווה של ארגון סייבר טרוריסטי המנסה לגרום לתאונת רכבות קטלנית ע"י פריצה אפשרית לרשת והסטת הרכבת ממסלולה. מורכבות התרגיל הייתה, בין היתר, בשל הצורך במומחיות בסביבות מחשוב מעורבות הכוללת את רשתות ה-IT הקלאסיות, וגם את רשתות התפעול (ה-OT), רכיבי ה- SCADA והמאמץ לאתר הזדמנויות תקיפה (בראיית התוקף והמגן).

למרות שקיימת שונות טכנולוגית רבה בין סוגי הרכבות המודרניות (כבדה, קלה ותחתית),  קיים מאפיין מרכזי של שימוש במערכות מחשוב לשליטה, בקרה, פיקוח וניהול פעולות הרכבת באמצעות הטכנולוגיה התפעולית (ה-OT). מערכות מחשוב אלו מושתתות גם על תקשורת אלחוטית וסלולרית לצורך שיפור קצב העברת המידע והנתונים בפריסה רחבה. היכולת של התוקף להתערב ולבצע שינוי ערך או פקודה יכול להתאפשר על בסיס קישורית אלחוטית זו או בתהליך של דילוג בין רשתות. לשיטה האחרונה, יבחר התוקף לתקוף את הרשת המנהלתית ולהדביק את אחד המשתמשים (העובדים) באמצעות מייל זדוני תוך שהוא מניח שקיים ממשק בין רשתות המחשוב באופן שיאפשר לו לדלג עם הפקודה העוינת והפוגען למערכות התפעוליות.

שיבוש, חסימת תקשורת ופגיעה במערכות האיתות

במסגרת כנס שנערך בשנת 2016 הוכיחה קבוצת חוקרים רוסיים יכולת פגיעה במערכות האיתות ע"י פגיעה, שיבוש וחסימת (JAMMING) של תדרים בתקשורת (לדוגמא: ביצוע חסימת תדרים לרמזור אלחוטי מבוסס סלולר באמצעות חוסם תדרים במרחק של כמה עשרות מטרים ומניעה או עיכוב העברת פקודה להחלפת צבע הרמזור). לחילופין, יכולות שיבוש וחסימת מערכות אוטונומיות מבוססות GPS באופן שימנע את תפקודם. אחד המענים לאיום זה הוא שילוב מערכות אנטי JAMMING בחסימת תדרים עוינים מנגד ודיווח בזמן אמת על חסימה או שיבוש של אותות ה-GPS.

איסוף מל"מ לקראת מתקפת סייבר

תהליכי התקיפה מושתתים גם על איסוף מודיעין ייעודי ברשת כאשר הפוקוס בזירה זו היא איתור רכיבי SCADA (בדגש על הבקרים) ורכיבי IoT. תהליך זה נעשה, בין היתר, באמצעות מנועים כדוגמת SHODAN המאפשר מיפוי ממשקי שליטה ובקרה המחוברים לרשת. החיפוש מתבצע באמצעות מנוע חיפוש ידידותי המאפשר לבצע שאילתה לפי אזור גיאוגרפי ויצרן הרכיב. מכאן, כפי שההיסטוריה הוכיחה לא פעם, היכולת להשתלט על המערכת קצרה מאוד. סיכון זה, והאפשרות לבצע מיפוי ברשת, מחייב חשיבה יצירתית כדוגמת שינוי שמות הרכיבים והנכסים ברשת משמות היצרן המקוריים לשמות אחרים במטרה שלא יעלו בתהליך השאילתה של הנכסים (מערכות השליטה והבקרה) וכן שינוי סיסמת היצרן לסיסמא קשה לניחוש. דרישה זו היא בסיסית, נוכח שיטות תהליכי האיסוף ברשת ואופן הניחוש, ויש בה בכדי לשפר באופן משמעותי את חומת ההגנה בסייבר.

מעבר להיבטים התפעולים, קיים צורך בהגנת סייבר על הרשתות המנהלתיות, מערכות הסליקה ומערכות המידע של מפעילות הרכבות. התקפה קלאסית, שצברה תאוצה בשנים האחרונות היא התקפת הכופר (חברות בארץ ובחו"ל בתחום הביטוח, הפיננסים, הבריאותי ועוד). עיקר מעיינו של התוקף הוא לאתר מערכת חיונית פגיעה לצורך קידום סחיטת כספים בכופר. כך, בשנת 2016 קבוצת האקרים השיגה שליטה על תהליך הכרטוס בכ-2000 מכונות תשלום הפזורות בתחנות הרכבת בסאן פרנסיסקו והשביתה אותן. קבוצת התקיפה דרשה לקבל תשלום כופר בסך 70 אלף דולר וכחלק מהפעלת לחצים על ההנהלה היא נטרלה את המערכות ואפשרה לעוברים והשבים נסיעות חופשיות, ללא פיקוח וללא צורך בתשלום.

גם כאן, על אחת כמה כאשר מדובר בסקטור חיוני כמו תחבורת הרכבות, יש לזכור שככל שאנו מתבססים על טכנולוגיות מחשוב מתקדמות כך גוברים גם סיכוני הסייבר. לפיכך, תהליך ההגנה ותשומות הסייבר כתפיסה, צריכים לבוא לידי ביטוי כבר בשלב האפיון ובהמשך ההטמעה. בשנים 2016-2017 גיבשו הבריטים שני מסמכים משמעותיים המדגישים את מחויבותם לנושא. הראשון שבהם הוא תוכנית אמנה משותפת לקהילת כלל חברות הרכבות הבריטיות. זאת, תוך הבנה כי שיתוף פעולה בין החברות יוביל לחיבור למחויבות סייבר גבוהה שתשפר ביצועים ותוביל ליכולות תחבורה, שינוע, חיבור בין קהילות ואנשים, תנועת רכבות יעילה יציבות כלכלית ושגשוג. מדריך מפורט נוסף שפרסמו הבריטים הוא של משרד התחבורה המיועד לתעשיית הרכבות. המסמך נותן תפיסה מצוינת לתהליכי עבודה במטרה להפחית את סיכוני הסייבר.

תכנית אבטחה בראיית התוקף

גיבוש תכנית עבודה להפחתת סיכוני הסייבר אינו פשוט נוכח מורכבותן של מערכות המחשוב ושילובם של יצרנים ורכיבים שונים באותה תשתית ורשת. לאלו יש להוסיף את סיכוני שרשרת האספקה, איומים והזדמנויות תקיפה ברשת אך גם איומים פיזיים אפשריים. משכך, רצוי שתהליך מיפוי הסיכונים וניתוח התרחישים יתבצע בראיית התוקף על מניעיו השונים, באופן שיאפשר לבנות תוכנית הגנה מתוקפת וריאלית המושתתת על תהליך סדור  בהערכת סבירות הסיכון ויכולות המימוש והנגזרות.

תהליך זה חייב להישען גם על היסטוריית אירועים וייבוא מודיעין אודות החולשות וההזדמנויות (ממקורות גלויים, רשתות עמוקות, הדארקנט ונוספים). איסוף המידע מהרשת חייב להיות מוכוון לאיתור חולשות והתארגנויות ביחס לרכיבים ומערכות בקרה ייעודיות, מחקרים, שיג ושיח של קבוצות האקרים בנושאי חולשות מערכות כרטוס, וכן שאילתות ייעודיות (מבלי להסגירן) על נכסים ארגוניים.

פריסת ציוד ורכיבים קריטיים באזורי תשתית המסילות מחייבת תשומות אבטחה פיזית לרבות מניעת גישה, הסתרה וכדומה. כל זאת, בשילוב תשומות להגנה לוגית שעיקריה הם תכנון ממשקים על בסיס ארכיטקטורת ZERO-TRUST (אפס אמון בתקשורת בין רכיבים וישויות ברשת), שילוב תהליכי אותנטיקציה מתקדמת והצפנה חזקה ביניהם ובתווך בכלל. זאת, במטרה למנוע איומים אפשריים בהתערבות עוינת כדוגמתMITM –  Men In The Middle היכולה להוביל ליכולת של ביצוע שינויים עויינים ולא מורשים ושינויי פקודה, פגיעה בזמינות הנתונים ועוד, וכל שכן כאשר מדובר על פריסה רחבה וחיבוריות מרחוק.

לצד אלו, יש לשלב בקרות נוספות כדוגמת בקרות אוטונומיות (עצמאיות) כגון סנסורים וחיישני מדידה שאינם תלויים ברשת ומטרתם לבחון את התפקוד והתפוקה על בסיס מדדים חשמליים ואחרים ולוודא כי אין אנומליות או חריגה מהביצועים. תהליך תיכנון נכון; סינרגיה בין אבטחה לוגית לאבטחה פיזית, שילוב בקרות מדידה והתרעה שאינן תלויות רשת ותהליכי ניטור מתקדמים לגילוי התנהגות חשודה, יאפשרו הגבהת חומות אבטחה וסייבר ונסיעה בטוחה הרבה יותר.

הכותב הינו אור שלום –  מומחה לאבטחה, HLS וסייבר ויועץ למשרדי ממשלה, תעשיות ביטחוניות והמשק. בעל תואר שני ובעל הסמכות אזרחיות וממלכתיות בעולמות הסייבר ואבטחת המידע והסייבר. עוסק בבניית תוכנית להפחתת סיכוני סייבר לחברות וארגונים, וכן, פיתוח עסקי וקידום חברות בתחומי הסייבר. בציר האקדמי, מוביל תוכניות סייבר מקצועיות לגופים שונים במשק, הסקטור האזרחי, הביטחוני, התעשיות והאקדמיה.