Инцидентният отговор при индустриални контролни системи (ICS) и оперативни технологии (OT) навлиза в критична фаза на трансформация. Съвременният пейзаж на заплахите все по-рядко разчита на класически зловреден софтуер и все по-често използва т.нар. living-off-the-land (LotL) техники – злоупотреба с легитимни инженерни инструменти, валидни идентификационни данни и стандартна функционалност на системите за управление.

Анализ на SANS Institute подчертава, че традиционните IT плейбуци за инцидентен отговор, базирани на бърза изолация и възстановяване на системи, могат да бъдат не само неефективни, но и опасни в ICS/OT среди. Причината е проста – много индустриални системи не могат да бъдат изключени или изолирани без риск за безопасността, надеждността или непрекъсваемостта на процесите.

Защо IT подходите създават риск в OT

Според Дийн Парсънс, сертифициран инструктор към SANS и главен изпълнителен директор на ICS Defense Force, прилагането на IT-центрирани мерки в OT може да доведе до сериозни последствия.

„Агресивното ограничаване, безразборната изолация или автоматичните изключвания могат да спрат производството, да повредят оборудване или да създадат опасни условия за работа“, посочва Парсънс. Това оформя критичен и често подценяван риск – киберинцидентът да се превърне в самопричинена авария на система за управление.

В IT среда приоритетите са конфиденциалност, защита на данните и бързо ограничаване. В ICS/OT среда редът е различен:

• Безопасност

• Оперативна цялост

• Надеждност
  Едва след това идва класическата киберсигурност.

Данните: инцидентите са реални и болезнени

Според 2025 SANS State of ICS/OT Security Survey, над 20% от организациите са преживели ICS/OT киберинцидент през последната година. Много от тях са довели до:

• оперативни прекъсвания,

• удължено възстановяване,

• значителни бизнес и репутационни щети.

Макар времето за детекция и първоначално ограничаване да се подобрява в някои индустриални сектори, безопасното възстановяване на процесите остава сериозна болна точка.

LotL атаките: без зловреден код, с реални щети

Парсънс подчертава, че съвременните атаки все по-често:

• използват валидни акаунти и доверени пътища за отдалечен достъп,

• преминават от IT към OT чрез споделена идентичност,

• работят с легитимен софтуер за инженеринг, HMI, PLC и индустриални протоколи.

В подобни сценарии няма експлойт, няма малуер, няма „червен флаг“ за традиционните защитни инструменти. От гледна точка на антивирус или EDR всичко изглежда легитимно, докато физическият процес вече е компрометиран.

Реални инциденти в енергийни мрежи и водни съоръжения показват точно този модел – манипулирани HMI, легитимни команди към контролери и промени, направени чрез стандартни инженерни работни процеси.

Какво означава ефективен инцидентен отговор в ICS/OT

Ефективният подход изисква инженерно воден, процесно осъзнат модел, а не директно копие на IT практиките. Сред ключовите приоритети се открояват:

• Сегментация, позволяваща ограничаване без опасни изключвания

• ICS-осъзнат отдалечен достъп с строг мониторинг и управление

• Протоколно ниво на видимост, за откриване на неоторизирани контролни действия

• Мониторинг на инженерни промени и базови линии

• Редовни, сценарийно ориентирани учения, включващи инженери и оператори

Критично разграничение, което Парсънс подчертава, е следното:
ограничаването не винаги означава изключване. В някои случаи поддържането на контролирана работа, при ясно разбиране на заплахата, е по-безопасно от агресивна изолация.

Човешкият фактор и инженерният контекст

Организациите, които включват или дори водят инцидентния отговор с участието на OT инженери и оператори, показват:

• по-добра готовност,

• по-бързо и по-безопасно възстановяване,

• по-малък риск от вторични инциденти.

Когато IT екипи действат без разбиране на процесната реалност, рискът от допълнителни щети нараства значително.

ICS/OT инцидентният отговор не може да бъде просто „адаптиран IT“. Той изисква специализирани планове, обучение и мислене, базирани на инженерната реалност и физическите последствия.

Както заключава Парсънс, бъдещето на защитата на критичната инфраструктура зависи от способността на организациите да изграждат ICS-специфични планове за инцидентен отговор, които съчетават киберсигурност, безопасност и оперативна устойчивост.