Aki megveszi a szettet, az különösebb programozói tudás nélkül is könnyen felépíthet egy ipari folyamatirányító rendszerek elleni szoftveres támadást. Figyelemre, elővigyázatosságra szükség van, aggodalomra viszont nincs ok – nyugtat meg a VirusBuster szakértője.

Az atomerőmûvek, olajfinomítók, üzemek felügyeletét, vezérlését, az ehhez kapcsolódó adatgyûjtést ellátó programokban éppúgy lehetnek – esetenként akár súlyos – javítatlan hibák, mint az irodai alkalmazásokban vagy a hétköznapi operációs rendszerekben. Ha egy számítógépes bûnözőnek sikerül kiaknáznia egy ilyen sérülékeny pontot, akkor saját parancsait hajtathatja végre a megcélzott gépen, s ezzel rendkívül súlyos károkat okozhat.

Szaklapok a napokban arról számoltak be, hogy egy moszkvai cég ilyen programrésekből akar pénzt csinálni. A Gleg nevû orosz vállalkozás ipari folyamatirányító szoftverek sérülékenységeiből, illetve az ellenük bevethető kódból gyúrt össze támadókészletet, majd website-ján árulni kezdte a csomagot. Az Agora SCADA+ Pack 23 modulból áll, s állítólag a vevő a célba vehető szoftverek gyenge pontjairól szóló magyarázatot is talál az összeállításban.

Tavaly világszerte nagy visszhangot keltett az első olyan számítógépes kártevő felfedezése, amelyet kimondottan ipari folyamatirányító rendszerek elleni támadásra terveztek. A Stuxnetnek keresztelt féreg – melyet szakértők szerint az iráni atomprogram tönkretétele vagy legalábbis hátráltatása céljával fejlesztettek ki – új fejezetet nyitott a számítógépes bûncselekmények (és hadviselés) történetében. Vajon a Gleg támadó csomagja ilyen jellegû akciókat szabadíthat ránk? – tettük fel a kérdést Szappanos Gábornak, az informatikai biztonsági megoldásokat fejlesztő VirusBuster víruslaboratórium-vezetőjének.

„Szerencsére egy ipari folyamatirányító géphez nem olyan könnyû hozzáférni. Meg aztán, bár az orosz szett összeállítói ügyesen igyekeznek meglovagolni a Stuxnet keltette érdeklődést, nem hiszem, hogy csomagjuk kasszasikert arat. Aki egy folyamatirányító rendszert akar megtámadni, az bizonyára óvatosabb annál, semhogy fegyverét az interneten vásárolja meg. Az sem valószínû, hogy egy hacker többféle rendszert venne célba, vagyis a potenciális vásárlóknak legfeljebb a csomag egy kis részére lenne szükségük – magyarázza a szakember. – Mindenesetre az orosz cég lépése újra ráirányítja a figyelmet arra, amivel eddig nem sokat foglalkoztunk: a kritikus infrastruktúra felügyeletét ellátó számítógépes rendszerek sem sebezhetetlenek. Ugyanúgy hardver- és szoftver­komponensekből állnak, mint irodai társaik, vagyis óhatatlanul tartalmaznak kisebb-nagyobb sérülékenységeket. Mivel pedig ezek a rendszerek a kritikus infrastruktúra részei, kiemelt célpontnak számíthatnak, s ezért kiemelt figyelmet érdemelnek.”