Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) стартира програмата Installed Base Program, която обединява усилията на агенцията и производителите на индустриално оборудване за откриване и защита на уязвими OT устройства, достъпни през интернет. Целта е собствениците и операторите на критична инфраструктура да бъдат идентифицирани и уведомени, преди атакуващите да успеят да използват уязвимостите.

Инициативата предвижда партньорства с оригиналните производители на оборудване (OEM), чиито продукти са широко внедрени в системите за индустриално управление (ICS) и критичната инфраструктура на САЩ.

Съвместната работа позволява идентифициране на устройства, приоритизиране на уязвимости, обмен на информация за киберзаплахи и предоставяне на конкретни препоръки за ограничаване на риска. Програмата е насочена към проблем, който затруднява реакцията при откриване на изложени в интернет индустриални системи: публично достъпните данни често показват само доставчика на интернет услуги (ISP), но не и организацията, която притежава или управлява уязвимото устройство.

Как CISA установява кой притежава уязвимите устройства

За откриване на изложени системи агенцията използва инструменти за сканиране с отворен код и услугата си Cyber Hygiene Vulnerability Scanning Service. Когато наличните технически и публични данни не позволяват да бъде установен собственикът, CISA може да приложи административните си правомощия за изискване на информация от доставчика на интернет услуги.

Така агенцията получава контактни данни за организацията, отговорна за устройството, и може да я уведоми за установения проблем. В сътрудничество с производителите се предоставят насоки за отстраняване на уязвимостите и ограничаване на достъпа до системите от интернет.

Според CISA чрез подобни уведомления вече са помогнали на организации от критичната инфраструктура да премахнат от интернет хиляди уязвими активи. Участващите производители също съобщават за значително намаляване на броя на изложените устройства в средите на своите клиенти.

Четири основни направления на програмата

Installed Base Program е изградена около четири основни цели:

• Стратегически партньорства: създаване на устойчиво сътрудничество между CISA и производителите за съвместна защита.
• Обмен на приложима информация: споделяне на потвърдени IP адреси на уязвими активи, информация за уязвимости и киберзаплахи.
• По-добра видимост: идентифициране на изложени в интернет OT устройства и установяване на организациите, които ги управляват.
• Насоки за ограничаване на риска: разработване и предоставяне на конкретни препоръки за отстраняване на уязвимости и укрепване на защитата.

CISA организира регулярни срещи с OEM партньорите, на които се съгласуват приоритети, обменят се наблюдения и се планират съвместни действия. Агенцията предоставя на производителите потвърдени данни за уязвими IP адреси, а те могат да помогнат за идентифициране на засегнатото оборудване и за уведомяване на клиентите.

Пет етапа от откриването до отстраняването на проблема

Програмата следва структуриран процес от пет етапа, който обхваща целия цикъл – от събирането на данни до обратната връзка за предприетите мерки.

1. Събиране на данни и откриване на активи

CISA и производителите обменят информация за изложени устройства. OEM партньорите преглеждат данните за уязвими IP адреси, получени от собствени източници, трети страни или CISA. Те проверяват собствеността и определят кои устройства трябва да бъдат анализирани и приоритизирани според уязвимостта и критичността им. Потвърдената информация се връща към агенцията.

2. Анализ и установяване на собствеността

CISA използва публични и вътрешни инструменти, за да потвърди съществуването на устройството, неговата достъпност през интернет и наличието на уязвимост. Агенцията се опитва да установи и организацията, която го притежава или управлява. Когато собственикът може да бъде идентифициран чрез публични данни, информацията се споделя с производителя, който преценява как да продължи с уведомяването. Ако собствеността остава неясна, CISA проверява дали IP адресът отговаря на условията за използване на административната процедура за изискване на информация.

3. Изискване на информация от доставчика

При необходимост CISA използва административните си правомощия, за да получи от съответния доставчик на услуги информация за собственика или оператора на системата. Обикновено това е интернет доставчикът на организацията, която управлява уязвимия актив.

4. Уведомяване и препоръки за защита

След идентифицирането на организацията CISA изпраща разработено от агенцията ръководство за ограничаване на риска. То описва уязвимостта и препоръчва конкретни действия, включително премахване на OT устройството от директна интернет експозиция. В документа се включват и препоръки от производителя.

5. Обратна връзка и споделяне на резултатите

CISA предоставя на OEM партньора резултатите от анализа и информация за статуса на административната процедура, уведомяването и предприетите мерки. Агенцията споделя и обобщени данни за засегнатите сектори на критичната инфраструктура, статуса на уведомленията и изложените IP адреси с производителите и други компетентни секторни агенции (SRMA).

Защита на споделената информация и участие на производителите

Сътрудничеството не се ограничава до конкретни уведомления за уязвимости. CISA и партньорите провеждат стратегически срещи, на които обсъждат краткосрочни и дългосрочни действия за намаляване на интернет експозицията в критичната инфраструктура.

Участието на производителите е доброволно. То предполага споразумение, което определя ролите, отговорностите и правилата за обмен на информация. OEM партньорите трябва да предоставят данни за своите продукти, уязвимости, известни неправилни конфигурации и приложимостта им към критичната инфраструктура, както и да съдействат при уведомяването и ограничаването на риска.

CISA защитава предоставените от участниците данни чрез маркировка Traffic Light Protocol (TLP) Amber+STRICT. Това означава, че специфичната за даден производител информация остава в рамките на агенцията и съответната компания и не се споделя с останалите партньори в програмата.

Обичайно срещите между CISA и участващите производители се провеждат веднъж месечно. Компаниите, които желаят да се включат, могат да се свържат с агенцията на адрес CISA.CSD.VM_InstalledBase@cisa.dhs.gov.

Чрез Installed Base Program CISA се стреми да премине от реактивно уведомяване за заплахи към по-проактивен модел на сътрудничество с производителите. Основният акцент е върху ранното откриване на уязвими индустриални устройства, установяването на отговорните организации и намаляването на възможностите за атаки срещу критичната инфраструктура.