bezpieczeństwo systemów przemysłowych (OT/ICS)

Bezpieczeństwo systemów przemysłowych (ang. operational technology security, OT/ICS) to ochrona systemów, które sterują procesami fizycznymi: sterowników, paneli operatorskich i sieci przemysłowych. NIST w wytycznych SP 800-82r3 zalicza do technologii operacyjnej (OT) przemysłowe systemy sterowania, automatykę budynkową, systemy transportowe oraz systemy fizycznej kontroli dostępu i pomiaru środowiska ^[1]. Sekurak opisuje sieci przemysłowe jako te, które sterują elektrowniami, wodociągami, kopalniami, gazociągami i liniami produkcyjnymi ^[6]. Wiele z nich należy do infrastruktury krytycznej.

Czym OT różni się od IT

Zasady bezpieczeństwa informatyki biurowej nie przenoszą się wprost na zakład przemysłowy. NIST pisze, że w typowym systemie IT głównym zmartwieniem są poufność i integralność danych, a w OT bezpieczeństwo ludzi, odporność na awarie, ochrona sprzętu i produkcji ^[1]. Żadne zabezpieczenie, które pogarsza bezpieczeństwo fizyczne, nie jest do przyjęcia ^[1].

Wiele procesów OT działa w trybie ciągłym, a przestoje trzeba planować dni lub tygodnie naprzód ^[1]. Poprawka może usunąć podatność, ale wprowadzić większe ryzyko dla produkcji lub bezpieczeństwa, a wiele systemów OT działa na nieobsługiwanych już wersjach systemów operacyjnych ^[1]. Sterowniki i systemy czasu rzeczywistego mają często ograniczone zasoby i brak im szyfrowania, rejestrowania błędów czy ochrony hasłem ^[1].

Jak wygląda atak

MITRE prowadzi osobną macierz ATT&CK dla systemów przemysłowych. Poza taktykami znanymi z IT zawiera taktyki właściwe dla OT: hamowanie funkcji reagowania (Inhibit Response Function) i zakłócanie sterowania procesem (Impair Process Control) ^[5]. Wśród technik jest modyfikacja firmware systemu i modułów ^[5].

Przebieg ataku na polskie farmy wiatrowe i fotowoltaiczne z 29 grudnia 2025 roku, odtworzony przez CERT Polska, pokazuje schemat poniżej ^[2].

RYS. 1Atak na punkt przyłączenia farmy OZE

W każdym zaatakowanym obiekcie urządzenie pełniło rolę koncentratora VPN i zapory, a jego interfejs VPN był dostępny z internetu i pozwalał logować się bez uwierzytelniania wieloskładnikowego ^[2]. Według raportu powszechną praktyką w branży było używanie tych samych kont i haseł w wielu obiektach ^[2]. Sterowniki RTU miały domyślne poświadczenia, a atakujący wgrał przez nie uszkodzony firmware ^[2]. Na innych sterownikach użył domyślnych poświadczeń do logowania przez SSH na konto root i usunięcia plików systemu ^[2]. Uszkodzenia sterowników zerwały komunikację obiektów z operatorem systemu dystrybucyjnego i uniemożliwiły zdalne sterowanie, ale nie wpłynęły bezpośrednio na bieżącą produkcję ^[2].

Styk z siecią biurową i WWW

NIST ostrzega, że systemy OT są coraz częściej łączone z sieciami IT, więc tradycyjne środki, takie jak air gap, już nie wystarczają ^[1]. Wiele urządzeń przemysłowych ma własne interfejsy WWW. Sekurak, relacjonując obserwacje CERT Polska z 2024 roku, wymienia wśród typowych wektorów panele WWW systemów HMI i SCADA bez uwierzytelniania lub ze słabym hasłem ^[4]. Dochodzą do tego usługi VNC ze słabymi hasłami, routery przemysłowe z domyślnymi hasłami oraz protokoły przemysłowe bez uwierzytelniania, jak Modbus ^[4].

Opisany tam przypadek dotyczył przemysłowego routera LTE, na którym działały domyślne dane logowania do panelu WWW i SSH ^[4]. Przejęte urządzenie posłużyło do ataków siłowych na usługi w internecie ^[4]. Panel przemysłowy wystawiony do sieci to ta sama klasa ryzyka co panel administracyjny strony, z tą różnicą, że za nim stoi proces fizyczny. Urządzenia tego typu łączą bezpieczeństwo IoT z automatyką.

Jak się bronić

• Zmienić hasła domyślne na urządzeniach OT; NIST zaleca to wprost, bo systemy są często dostarczane z hasłami łatwymi do odgadnięcia lub znalezienia ^[1].
• Wymagać uwierzytelniania wieloskładnikowego na styku z internetem, zwłaszcza na VPN serwisowym ^[2].
• Stosować segmentację sieci i strefy DMZ między IT a OT; NIST pokazuje ją na przykładzie modelu Purdue ^[1].
• Prowadzić udokumentowany proces zarządzania poprawkami dla OT i testować poprawki przed wdrożeniem ^[1]; zob. zarządzanie poprawkami.
• Wyłączać nieużywane porty i usługi oraz ograniczać uprawnienia użytkowników do niezbędnych ^[1].
• Włączać weryfikację podpisu przy aktualizacji firmware, jeśli sterownik ją oferuje ^[2].

Historia i przykłady

Atak z 29 grudnia 2025 roku był wymierzony w co najmniej 30 farm wiatrowych i fotowoltaicznych, spółkę z sektora produkcyjnego i elektrociepłownię ^[2]. CERT Polska określił go jako pierwszy cyberatak na sektor energetyczny w Polsce o celu wyłącznie destrukcyjnym ^[3]. Oprócz niszczenia sterowników atakujący użył oprogramowania typu wiper ^[2]. CERT Polska wskazał, że infrastruktura ataku w znacznym stopniu pokrywa się z infrastrukturą klastra znanego m.in. jako Berserk Bear, Ghost Blizzard i Dragonfly ^[2], czyli z działaniami APT.

W sierpniu 2026 roku CERT Polska uzupełnił raport. Według uzupełnienia atakujący uzyskał dostęp do sieci OT przez prywatny APN, co było według wiedzy zespołu pierwszym takim przypadkiem zaobserwowanym w rzeczywistym ataku ^[3]. W mniejszej elektrociepłowni, dostarczającej ciepło 50 tysiącom mieszkańców, doszło do zatrzymania turbiny parowej i stacji uzdatniania wody do celów technicznych ^[3]. Dzięki szybkiej reakcji obsługi skończyło się na krótkim przestoju, bez przerw w dostawach ciepła do odbiorców ^[3].