CERT Polska beskriver koordinert angrep mot polsk energiinfrastruktur

CERT Polska har publisert en hendelsesrapport om et koordinert angrep mot polsk energiinfrastruktur og en privat industribedrift 29. desember. Mer enn 30 vind- og solparker ble rammet, i tillegg til flere komponenter i det omkringliggende nettet. Både IT- og OT-miljøer inngikk i angrepet, og etterforskningen avdekket flere tidligere ukjente destruktive skadevarevarianter, blant dem Lazywiper og Dynowiper. Rapporten konkluderer med at angrepet var destruktivt, men at virkningen begrenset seg til forstyrret kommunikasjon og ikke direkte påvirket produksjonen av varme og kraft. Analysen peker på den russisktilknyttede gruppen Berserk Bear/Ghost Blizzard som sannsynlig aktør.

Hva det betyr for virksomheten

Norsk kraftbransje har samme leverandører, samme fjernstyringsmodeller og samme kobling mellom IT og OT som den polske. Det interessante i denne rapporten er ikke selve skadevaren, men at angrepet traff mange små produksjonsenheter samtidig. Fornybarparker er ofte ubemannet, fjernovervåket og driftet av tredjepart, og der er beredskapen erfaringsmessig svakest. Virksomheter omfattet av NIS2 bør lese dette som en beskrivelse av eget trusselbilde.

Berigo anbefaler

• Kartlegg alle fjernstyrte produksjonsenheter og hvem som faktisk har tilgang til dem, inkludert leverandørers driftskontoer.
• Test at dere kan drifte anlegg videre uten sentral kommunikasjon, og øv på det scenarioet konkret.
• Skill IT- og OT-nett med kontrollerte overganger, og logg trafikken mellom dem.
• Ta inn destruktiv skadevare, ikke bare løsepengevirus, som eget scenario i beredskapsplanen.

Kilde

• cert.pl