29% от анализираните от Dragos инциденти в нефтения и газовия сектор са свързани с недостатъчно разделяне на IT и OT мрежите. Експерти предупреждават, че компрометирането на комуникационни шлюзове или централизирани системи за управление може да засегне множество отдалечени обекти едновременно.
Отдалечените нефтени и газови съоръжения все по-често разчитат на клетъчни, сателитни и радиокомуникации за обмен на данни със системите за оперативно управление. Това позволява наблюдение и управление на сондажи, компресорни станции и други обекти с минимално присъствие на място, но създава и допълнителни входни точки за кибератаки.
Според прегледа на индустриалната компания за киберсигурност Dragos за 2026 г. в 29% от случаите в нефтения и газовия сектор е установена слаба сегментация между IT и OT средите – най-високият дял сред анализираните отрасли. Dragos съобщава и за дейността на групата VOLTZITE, която е компрометирала клетъчни шлюзове в американската нефтена и газова инфраструктура и е достигнала незабелязано до инженерни работни станции.
Отдалеченият достъп е критична точка за проникване
Поддръжката на разпръснати и често необслужвани обекти изисква достъп от външни изпълнители, производители и интегратори. Постоянни VPN връзки, споделени идентификационни данни и недостатъчно наблюдавани сесии могат да осигурят път към системите за индустриално управление.
Майкъл Хофман, технически директор за нефтения, газовия и нефтохимическия сектор в Dragos, препоръчва SCADA сървърите да бъдат отделени от отдалечените контролери чрез защитни стени, които ограничават комуникацията по IP адрес, порт и протокол. Връзките трябва да използват криптиране, например VPN или IPsec, а когато протоколите го позволяват – удостоверяване чрез сертификати.
Алберт Вартич, отговарящ за OT киберсигурността в upstream операциите на OMV Petrom, подчертава, че дистанционните команди трябва да бъдат ограничени до предварително определени безопасни действия. Изключването на съоръженията и критичните функции за безопасност трябва да запазят локалната си защита, така че компрометирана комуникация да не може сама по себе си да доведе до опасно състояние.
Практическият проблем често не е липсата на технологии, а непоследователните конфигурации, слабото управление на идентификационните данни, ограничената видимост при прекъсващи връзки и неконтролираният достъп на доставчици.
Наблюдението и инвентаризацията остават слаби места
Проучване на Tosi сред 100 ръководители на OT дейности в upstream и midstream нефтения и газов сектор в САЩ показва, че 87% са уверени, че могат да открият пробив в рамките на 24 часа. Само 16% обаче посочват непрекъснатото наблюдение на OT средата като основание за тази увереност.
Това разминаване подчертава риска от разчитане на предположения вместо на реални данни за състоянието на инфраструктурата. При отдалечените обекти инвентаризацията на активите е особено трудна: част от устройствата комуникират периодично, други използват стари серийни протоколи, а някои работят далеч след края на поддръжката от производителя.
Хофман препоръчва пасивно откриване на активи в ключови точки, като комуникационни центрове и центрове за дистанционно управление. Трафикът може да се анализира за актуализиране на инвентаризацията, а при необходимост инженерни инструменти да се използват за установяване на производител, фърмуер и конфигурация. Вартич допълва, че при ограничена свързаност трябва да се избягва претоварването на комуникационните линии, като се използват буфериране и централно предаване на обобщени данни.
Нито един инструмент не осигурява пълна картина самостоятелно. Необходимо е съпоставяне на мрежово наблюдение, инженерни регистри, конфигурационни архиви и данни от системите за управление на поддръжката.
Централизацията увеличава потенциалния обхват на атаката
Центровете за дистанционно управление и централизираните SCADA платформи повишават оперативната ефективност, но концентрират достъп до множество сондажи, компресорни станции и други съоръжения. Компрометиран акаунт, работна станция или шлюз може да отвори път към значително по-голям брой активи, отколкото при изолирана атака срещу отделен обект.
Експертите препоръчват сегментация, многофакторна автентикация, минимални привилегии и редовно тествани планове за реакция при инциденти. Отдалечените обекти трябва да могат да преминат към безопасен локален режим, ако връзката с центъра бъде загубена.
Отделна защита изискват системите за безопасност, включително системите за аварийно изключване и откриване на газ. Според експертите те трябва да запазват независимостта си от основните системи за управление. Инженерният достъп до тях следва да бъде строго ограничен, а неочакваните промени в логиката или конфигурацията да се третират като сериозни сигнали за инцидент.
Достъпът на външни изпълнители трябва да е временен и проследим
Хофман препоръчва индивидуални акаунти, многофакторна автентикация и достъп през контролиран междинен сървър, вместо директни връзки към индустриалната мрежа. Всяка сесия трябва да бъде одобрена за конкретна задача, ограничена във времето и записвана.
Роя Гордън, бивш директор по информационна сигурност в енергийния сектор, обръща внимание и на организационния проблем: информацията за назначаване или напускане на изпълнители често не достига своевременно до екипите по киберсигурност. Така достъпът може да остане активен дълго след приключване на работата.
Едуин Локе от Thales подчертава, че организациите трябва да осигурят един контролиран път за отдалечен достъп, индивидуална идентификация, минимални права, запис на сесиите и управление на промените. Необходимо е да се откриват и неофициалните канали за поддръжка, като външни клетъчни маршрутизатори и инструменти, инсталирани от доставчици извън корпоративния контрол.
Основният извод е, че защитата на отдалечените нефтени и газови обекти не може да се основава единствено на криптирана връзка. Необходими са контрол върху това кой се свързва, до какви системи достига и какви действия може да извършва, както и постоянно наблюдение, надеждна инвентаризация и локални механизми за безопасност при загуба на комуникация.
