Nisan 2022'de, Rusya'nın Ukrayna'ya saldırısının başlamasından birkaç ay sonra, Almanya'daki üç rüzgar enerjisi şirketi siber suçluların saldırısına uğradı. Saldırılar binlerce dijital olarak kontrol edilen rüzgar türbinini devre dışı bıraktı.
2050 yılına gelindiğinde dünya enerji sistemlerinin yüzde 70'inin başta güneş, rüzgar, gelgit, yağmur ve jeotermal kaynaklardan olmak üzere yenilenebilir enerjiye bağlı olacağı tahmin ediliyor. Bu enerji kaynakları tipik olarak merkezi olmayan, coğrafi olarak uzak ve nispeten küçüktür. Bunlar genellikle ulusal elektrik şebekesinin yaşlanan altyapısıyla doğrudan bağlantılı, yeterince güvenli olmayan dijital teknolojiler kullanılarak yönetiliyor ve işletiliyor. Siber saldırılara kapı açan bir durum.
Riskten dayanıklılığa
Dijital yenilenebilir enerji sistemlerine güçlü siber dayanıklılık uygulamak için öncelikle risk alanlarını anlamak önemlidir. En önemli 10 tanesi şunlardır:
1. Gömülü yazılımdaki kod açıkları ve yanlış yapılandırmalar. Yenilenebilir enerjiye olan talep, destekleyici teknolojilerin ve uygulamaların genellikle hızlı bir şekilde geliştirilip uygulamaya konulması ve güvenlik kontrollerinin dahil edilmesi veya test edilmesi için çok az zaman bırakılması anlamına gelir. Sağlayıcılar ve geliştiricileri elektrik mühendisliği alanında uzmandır ve bunu yapmak için uygun güvenlik bilgisine sahip olmayabilir. Yazılım düzenli olarak yamalanmazsa ve hata raporları sonrasında güncellenmezse risk artar.
2. Güvenli olmayan API'ler. Yazılımla ilgili diğer bir risk, API tabanlı uygulamaların, üçüncü taraf uygulamalar da dahil olmak üzere diğer uygulamalarla iletişim kurabilmesi ve veri ve işlevsellik paylaşabilmesidir. Bunlar ağ bağlantılı veya kamuya açık sistemlerin ortak bir özelliğidir. Saldırganların veri çalmak, cihazlara virüs bulaştırmak ve botnet oluşturmak için API'leri kullanmasını önlemek için web uygulaması güvenliği ve güvenlik duvarları çok önemlidir.
3. Yönetim, kontrol, raporlama ve analiz sistemleri. SCADA (Denetimsel Kontrol ve Veri Toplama) sistemleri gibi yönetim ve kontrol yazılımları ve enerji kaynaklarından verileri içe aktaran, analiz eden ve görselleştiren diğer sistemler, suçluların tüm sisteme erişmesine, verileri manipüle etmesine, talimat göndermesine ve Daha. Meteoroloji kuleleri gibi üçüncü taraf kaynaklardan gelen verileri entegre eden sistemler, uzlaşma için başka bir fırsat sunuyor. En azından çok düzeyli ancak ideal olarak sıfır güvene dayanan sağlam kimlik doğrulama önlemleri ve sınırlı erişim hakları, yalnızca yetkiye sahip olanların sisteme erişebilmesini sağlamak için çok önemlidir.
4. Otomasyon. Dağıtılmış ve merkezi olmayan yenilenebilir enerji sistemleri, özellikle büyük ölçekte, XNUMX/XNUMX izleme ve yönetim gerektirir ve bu da giderek otomatik olarak gerçekleştirilir. Risk, bu sistemlerin izinsiz giriş yapan birinin varlığına işaret edebilecek anormal veya şüpheli trafik açısından yeterince dikkatli bir şekilde izlenmemesidir. Gelişmiş algılama ve müdahalenin yanı sıra özel IoT güvenlik özellikleri sunan güvenlik çözümleri bu noktada yardımcı olabilir.
5. Uzaktan Erişim Hizmetleri. Yenilenebilir enerji kaynakları geniş bir alana dağılmış durumda ve sıklıkla izole yerlerde bulunuyor. Bu, verileri paylaşmak ve talimat ve raporları almak için örneğin bulut hizmetleri veya VPN'ler aracılığıyla bir tür uzaktan erişime ihtiyaç duydukları anlamına gelir. Uzaktan erişim hizmetleri, siber saldırılara karşı oldukça savunmasızdır ve sağlam kimlik doğrulama ve erişim önlemleri gereklidir.
6. Fiziksel Konum. Diğer bir coğrafi risk ise konumun bir olaydan sonra müdahale ve kurtarma sürelerini yavaşlatabilmesidir. Örneğin sensörlerin onarımı veya yeniden görüntülenmesi için açık denizdeki bir rüzgar çiftliğine gidip gelmenin lojistiği karmaşık, zaman alıcı ve pahalı olabilir. Uzak konumlara seyahat eden kişiler genellikle BT uzmanları değildir; bu nedenle, güvenlik uzmanı olmayan bir kişi tarafından kurulumu ve değiştirilmesi kolay bir güvenlik çözümü önemlidir. Bir elektrikçinin, bozuk bir cihazı Pazar akşamı değiştirebilmesi gerekir.
7. Ağ trafiği. Ağ üzerinden geçen tüm veriler izlenmeli ve şifrelenmelidir. Bağlı güç sistemlerinde, bir cihaz ile merkezi uygulama arasındaki veri trafiği genellikle şifrelenmez ve kurcalanmaya karşı savunmasızdır. Saldırganlar, hareketsiz ve hareket halindeki verilere müdahale edebilir. Veya DoS saldırıları trafik sistemlerini aşırı yükler.
8. İnternet bağlantısı. Gaz yakıtlı enerji santralleri gibi geleneksel enerji santralleri genellikle internete bağlı değildir ve siber saldırı riskini azaltan "hava boşluklu" altyapıya sahiptir. Ancak yenilenebilir enerji kaynakları internete bağlı olduğundan genellikle bu korumaya sahip değildir. İnternete bağlı tüm sistemlerin güvenliği sağlanmalıdır.
9. Eski elektrik şebekesi altyapısı. Çoğu ülkede, elektrik şebekesinin önemli bir kısmı güncelliğini yitirmiş olacak ve bu nedenle güvenlik güncellemelerini alamayacak. Bu sistemleri korumanın en iyi yolu, güvenli kimlik doğrulama ve erişim önlemlerini bunlara dahil etmektir.
10. Düzenleme ve güvenlik koordinasyonunun eksikliği. Uzun vadeli güvenlik için, Avrupa'daki NIS 2.0 gibi yasa ve yönetmelikler, ne kadar küçük olursa olsun, yenilenebilir enerji tesislerine yönelik katı standartların olmasını sağlamalıdır. Ayrıca yenilenebilir enerji teknolojisi hızla gelişiyor ve tedarik zincirleri karmaşık; bu da güvenlikten kimin sorumlu olduğu konusunda kafa karışıklığına yol açabiliyor. Bulut sağlayıcıları için geçerli olan "paylaşılan sorumluluk" modeli de bu noktada yardımcı olabilir.
sürdürülebilir güvenlik
Bazı açılardan yenilenebilir enerji sistemleri diğer IoT sistemlerinden çok da farklı değil. Saldırganlar, savunmasız bileşenleri, yama yapılmamış yazılımları, güvenli olmayan varsayılan ayarları ve korumasız bağlantıları tarayabilir ve bunlara saldırabilir. Sürdürülebilir, bağlantılı bir yenilenebilir enerji endüstrisi, başlangıçtan itibaren güvenlik ve siber dayanıklılıkla inşa edilmeli ve daha sonra adım adım sürekli olarak sürdürülmelidir.
Karmaşık bir ortamın güvenliğini sağlamanın karmaşık olması gerekmez. İnsanları, cihazları ve nesneleri, nerede olurlarsa olsunlar uygulamalarına güvenli bir şekilde bağlayan entegre bir çözüm olan SASE'yi (Güvenli Erişim Hizmeti Uç Noktası) göz önünde bulundurmaya değer. Karışıma ağ segmentasyonunu ve kullanıcı eğitimini de eklediğinizde, kuruluşların yalnızca bir saldırıyı önlemek için değil, aynı zamanda bir saldırı meydana gelmesi durumunda etkisini azaltmak için sağlam bir siber dirençli temele sahip olmasını sağlar.
Barracuda Networks Ağ Güvenliği Kıdemli Ürün Müdürü Stefan Schachinger'in yorumu
Barracuda Ağları Hakkında Barracuda, dünyayı daha güvenli bir yer haline getirmek için çabalıyor ve her işletmenin satın alması, devreye alması ve kullanması kolay, bulut özellikli, kurumsal çapta güvenlik çözümlerine erişimi olması gerektiğine inanıyor. Barracuda, müşteri yolculuğu boyunca büyüyen ve uyum sağlayan yenilikçi çözümlerle e-postayı, ağları, verileri ve uygulamaları korur. Dünya çapında 150.000'den fazla şirket, işlerini büyütmeye odaklanabilmek için Barracuda'ya güveniyor. Daha fazla bilgi için www.barracuda.com adresini ziyaret edin.
Konuyla ilgili makaleler