CISA memberikan saran mengenai cara mengisolasi sistem vital selama serangan siber

Pemerintah AS dan Australia telah merilis panduan baru yang mendesak organisasi infrastruktur penting untuk bersiap mengisolasi sistem teknologi operasional yang penting jika terjadi serangan siber atau gangguan besar lainnya.

Panduan tersebut, bertajuk “CI Fortify – Saran untuk mengisolasi sistem vital,” dikembangkan oleh Badan Keamanan Siber dan Infrastruktur AS (CISA), Pusat Keamanan Siber Australia (ACSC) Direktorat Sinyal Australia, FBI, dan mitra internasional.

Panduan ini memberikan rekomendasi untuk memutuskan sambungan teknologi operasional penting (OT) dan sistem terkait dari jaringan korporat, yang terhubung dengan Internet, dan jaringan lain yang kurang tepercaya sambil terus menyediakan layanan penting untuk jangka waktu yang lama.

Teknologi operasional mencakup perangkat keras dan perangkat lunak yang digunakan untuk memantau atau mengendalikan proses, seperti peralatan pengolahan air, sistem kelistrikan, mesin manufaktur, sistem transportasi, dan infrastruktur telekomunikasi.

Badan-badan tersebut mengatakan para pelaku ancaman yang disponsori negara secara rutin menargetkan infrastruktur penting untuk spionase dan membangun akses yang nantinya dapat digunakan untuk serangan yang mengganggu atau merusak selama krisis atau konflik militer.

“Penjahat dunia maya terus secara oportunis menargetkan operator CI,” membaca nasihat itu.

“Sensitivitas data yang disimpan oleh entitas-entitas ini, dan pentingnya layanan mereka, menjadikannya menarik bagi penjahat dunia maya yang berusaha memeras korban melalui eksfiltrasi data atau dengan melakukan serangan ransomware untuk tujuan yang mengganggu atau merusak.”

Pada bulan Februari 2024, CISA, FBI, NSA, dan lembaga Five Eyes lainnya memperingatkan bahwa kelompok peretas Volt Typhoon Tiongkok telah melanggar organisasi di sektor komunikasi, energi, transportasi, dan perairan.

Para peretas tetap ada tidak terdeteksi di setidaknya satu jaringan infrastruktur penting selama lima tahundengan para pejabat AS memperingatkan bahwa mereka memposisikan diri untuk menghadapi serangan yang berpotensi mengganggu selama krisis atau konflik di masa depan.

Peretas yang disponsori negara Tiongkok yang dilacak sebagai Salt Typhoon juga telah melanggar jaringan pemerintah, telekomunikasi, transportasi, penginapan, dan militer di seluruh dunia setidaknya sejak tahun 2021.

Grup mengkompromikan penyedia telekomunikasi utama AStermasuk AT&T, Verizon, dan Lumen, mendapatkan akses ke komunikasi sensitif dan sistem penyadapan telepon penegakan hukum AS.

Para peretas juga mengeksploitasi kerentanan yang diketahui di perangkat jaringan edge dan menggunakan peralatan yang dikompromikan dan koneksi tepercaya untuk beralih ke jaringan lain.

Infrastruktur air juga berulang kali menjadi sasaran. Pada bulan Oktober 2024, American Water, yang menyediakan layanan air dan air limbah kepada lebih dari 14 juta orang, menonaktifkan beberapa sistem setelah serangan siber. Sekitar waktu yang sama, a Fasilitas pengolahan air Kansas beralih ke operasi manual setelah sistemnya dikompromikan.

Instansi pemerintah juga telah memperingatkan hal itu para peretas pro-Rusia mencari sistem OT yang tidak aman digunakan oleh fasilitas air dan organisasi infrastruktur penting lainnya untuk mengganggu operasi.

Panduan CI Fortify yang baru bertujuan untuk membantu organisasi mempersiapkan diri sebelum insiden tersebut terjadi, dibandingkan mencoba menentukan bagaimana sistem penting dapat terputus ketika serangan sedang berlangsung.

Mengisolasi sistem vital

Badan-badan tersebut merekomendasikan entitas infrastruktur penting terlebih dahulu mengidentifikasi sistem dan jaringan minimum yang diperlukan untuk terus memberikan layanan penting.

Organisasi kemudian harus mendokumentasikan setiap koneksi antara sistem tersebut dan jaringan perusahaan, layanan akses jarak jauh, lingkungan cloud, infrastruktur yang terhubung ke Internet, vendor dan kontraktor, serta operator infrastruktur penting lainnya.

Mereka juga harus menentukan di mana koneksi tersebut dapat dinonaktifkan atau diputuskan secara fisik dan memperhitungkan proses manual, kegagalan komunikasi, dan hilangnya sumber daya atau ketergantungan eksternal yang mungkin dipicu oleh isolasi.

Beberapa istilah dan proses yang direkomendasikan oleh penasehat tersebut untuk dipahami oleh organisasi meliputi:

• Sistem vital: Jam kerja minimum dan sistem pendukung yang diperlukan untuk menyediakan layanan penting, seperti pengendalian distribusi air, penyaluran listrik, atau pengoperasian jaringan telekomunikasi.
• Titik isolasi: Lokasi yang telah ditentukan di mana konektivitas antara jaringan atau sistem kritis dan non-kritis dapat diputuskan untuk menahan serangan dan mencegah pergerakan lateral ke sistem vital lainnya.
• Isolasi fisik: Memutuskan sepenuhnya sistem-sistem penting sehingga tidak berbagi jaringan atau infrastruktur komputasi dengan sistem-sistem yang tidak penting. Panduan tersebut menggambarkan hal ini sebagai bentuk perlindungan yang paling efektif.
• Lulus isolasi: Membatasi akses secara bertahap seiring meningkatnya ancaman, seperti memblokir pekerja dan vendor jarak jauh terlebih dahulu, kemudian memutus jaringan perusahaan, sistem yang terhubung, dan akhirnya semua koneksi eksternal.
• Kontrol jaringan administratif: Berbagai kontrol administratif untuk memodifikasi atau mengelola VLAN, daftar kontrol akses, dan perutean. Panduan tersebut menyatakan bahwa hal ini dapat menjadi perlindungan sementara yang berguna, namun isolasi fisik harus menjadi tujuan utama.
• dioda data: Peralatan khusus yang memungkinkan data mengalir hanya dalam satu arah, sehingga mengurangi risiko data atau lalu lintas berbahaya dapat berpindah ke arah yang berlawanan.
• Pasca isolasi: Pantau tabel perutean, lalu lintas jaringan, dan sistem deteksi intrusi untuk memverifikasi bahwa kontrol isolasi tetap efektif. Administrator juga harus mengamankan zona manajemen jaringan yang digunakan untuk mengelola router, firewall, dan infrastruktur jaringan lainnya sehingga terisolasi dari penyerang.

Meskipun isolasi fisik memberikan perlindungan terbaik, badan keamanan siber mengatakan bahwa isolasi fisik mungkin tidak praktis bagi organisasi yang bergantung pada layanan internet, jaringan operator, layanan cloud, atau fasilitas yang tersebar secara geografis.

Dalam lingkungan tersebut, operator disarankan untuk memperkuat batas-batas jaringan OT, menggunakan tautan komunikasi khusus atau terenkripsi, menghilangkan ketergantungan yang tidak perlu pada sistem perusahaan, dan mempertahankan kemampuan untuk membangun kembali sistem dengan cepat.

Rencana isolasi juga harus menentukan siapa yang dapat mengizinkan setiap langkah, kondisi yang akan memicunya, sistem mana yang harus tetap tersedia, dan bagaimana operasi akan dilanjutkan tanpa konektivitas jaringan normal.

Organisasi-organisasi didesak untuk menguji isolasi lengkap sistem vital mereka secara teratur, daripada hanya menguji sistem individual, karena pengujian parsial mungkin gagal mengidentifikasi infrastruktur bersama dan ketergantungan tersembunyi lainnya yang dapat menimbulkan masalah ketika rencana isolasi dimulai.

Panduan ini juga merekomendasikan untuk menyimpan salinan rencana isolasi secara offline atau cetak yang aman sehingga tetap tersedia jika akses ke jaringan perusahaan atau server penyimpanan terganggu.

Setelah sistem diisolasi, operator harus terus memantau lalu lintas jaringan, informasi perutean, dan sistem manajemen untuk memastikan bahwa koneksi yang tidak sah atau tidak disengaja tidak memulihkan akses antara jaringan kritis dan non-kritis.

Namun, badan-badan tersebut memperingatkan bahwa isolasi juga menimbulkan risiko, termasuk sistem tertinggal dalam pembaruan keamanan, berkurangnya pemantauan, dan peningkatan penggunaan media yang dapat dipindahkan untuk mentransfer data antar sistem.

Oleh karena itu, organisasi harus bersiap tidak hanya untuk memutuskan sambungan sistem penting, tetapi juga untuk mengoperasikan, memantau, memperbarui secara manual hingga pada akhirnya mereka dapat menyambungkan kembali sistem.