Robertas Janickas. Aplink saulės, vėjo elektrines ir kaupiklius telkiasi kibernetinių grėsmių debesys

Saulės elektrinių plėtra Lietuvoje toliau artėja strateginių valstybės tikslų link. Vasarą gaminančių vartotojų skaičius perkopė 150 tūkstančių. Augimas nuo metų pradžios – daugiau negu 20 procentų. Tačiau kibernetinių incidentų skaičius pastaraisiais metais auga dar įnirtingiau. Neseniai JAV atliktas tyrimas atskleidė ir saulės elektrinių sistemose paplitusios programinės įrangos pažeidžiamumus, ir tarptautiniu mastu priminė apie Lietuvoje įvykusius kibernetinius incidentus.

Pernai Lietuvoje Nacionalinis kibernetinio saugumo centras užregistravo beveik 3,9 tūkst. kibernetinių incidentų – 63 proc. daugiau negu prieš metus. Vienas iš tokių incidentų buvo „Just Evil“ programišių grupuotės pastangos prisijungti prie saulės elektrinių stebėjimo sistemų Lietuvoje pernai rudenį.

Anot „Ignitis grupės“ pranešimų, incidentas buvo nereikšmingas ir nesutrikdė energijos gamybos. Tačiau JAV bendrovės „ForeScout“ ekspertų teigimu, tai yra pavyzdys, kad saulės elektrinių sistemos gali tapti įsilaužėlių taikiniu. Ypač Europoje, kur išmanioji saulės elektrinių stebėjimo ir valdymo įranga yra labai paplitusi, o greta elektrinių plėtojamos ir energijos kaupiklių sistemos.

Ne veltui „ForeScout“ ataskaitoje dėmesio sulaukė smarkūs elektros tinklo gedimai Ispanijoje ir Portugalijoje, kai šiemet balandį nutrūkus energijos tiekimui stojo traukiniai, sutriko oro uostų veikla, neveikė mobilusis ryšys, internetas, mokėjimų sistemos ir kilo daugybė kitų nepatogumų. Beprecedentis įvykis Pirėnų pusiasalyje sukėlė daug diskusijų, jog vykstant žaliajai energetikos transformacijai, būtina nedelsiant tobulinti tiek tinklo infrastruktūrą, tiek saugumą, įskaitant kibernetinį.

Įspėjo, kad įrangos pažeidžiamumais gali pasinaudoti programišiai

Ekspertai atkreipia dėmesį, jog daugybė saulės energiją elektra paverčiančių įrenginių kasmet nukeliauja į namų ūkius ir mažas įmones, kuriose taikomi pakankamai žemi kibernetinio saugumo standartai ir nėra šių rizikų valdymo patirties. Taigi, pavojus gali kilti iš bet kur.

Iš viso amerikiečių bendrovės komanda šiemet gegužę ištyrė 42 gamintojų įrenginius ir aptiko net 35 tūkst. atvejų, kai valdymo sąsajos buvo neapsaugotos. Tarp šių įrenginių pateko keitikliai, prieigos taškai, duomenų registratoriai, monitoriai ir kita įranga. Ataskaitos autoriai teigia, kad gamintojai buvo informuoti apie tyrimo metu atrastus pažeidžiamumus ir kitas rizikas.

Tyrime buvo analizuojami ir didžiųjų pasaulio gamintojų, tokių kaip „Huawei“, „Sungrow“, „Ginlong Solis“, „Growatt“, „GoodWe“ ir SMA produktai. Būtent „Sungrow“, „Growatt“ ir SMA tiekiami komponentai išsiskyrė pažeidžiamumų gausa – nustatyti net 46. Anot „ForeScout“ analitikų, kai kurios spragos programišiams atveria kelius užgrobti kitus išmaniuosius įrenginius vartotojų namuose. O plataus masto atakų atveju kyla grėsmė elektros tinklo stabilumui ir daugybės vartotojų privatumui.

Kaip pavyzdys šiandien dažnai minimas kibernetinė ataka Japonijoje, kai taikiniu tapo vietinės gamintojos „Contec“ nuotolinio stebėjimo sistema „SolarView Compact“. Programišiai užgrobė 800 įrenginių, siekdami gauti prieigą prie vartotojų bankų sąskaitų. Bendrovė apie įsilaužimą informavo klientus ir paragino atnaujinti programinę įrangą. Tačiau praėjus metams po šios „pamokos“ kibernetinio saugumo specialistai nustatė, kad vis dar yra keli tūkstančiai „SolarView Compact“ įrenginių, kurie nėra tinkamai apsaugoti.

Lietuvos užmojai sumažėjo

Dauguma populiarių saulės elektrinių sistemų yra sukurtos ir gaminamos trečiosiose užsienio šalyse. Ne paslaptis, kad rinkoje dominuoja Kinijos gamintojai ir jų produktai. Energetikos ministerijos duomenimis, Lietuvoje veikia daugiau nei 1 tūkst. didesnių nei 100 kW saulės ir vėjo parkų bei kelios tokios pat galios baterijos, o dalies jų valdymo sistemos – kiniškos ir valdomos nuotoliu. Mažesnė kiniškų technologijų kaina buvo viena iš pagrindinių priežasčių, kodėl rinkoje įsitvirtino šios šalies gamintojų produkcija.

Tai pripažindama Lietuva atsisakė idėjos visiškai uždrausti kiniškos įrangos naudojimą vėjo ir saulės parkuose. Kita vertus, nuo šių metų gegužės Lietuvoje yra uždrausta Kinijos ir kitų šalies saugumui grėsmę keliančių valstybių įmonių prieiga prie didesnių nei 100 kilovatų (kW) galios saulės ir vėjo parkų bei baterijų valdymo sistemų, taip pat nuotolinis jų valdymas.

Elektrinių operatoriai Lietuvoje įpareigoti įdiegti papildomas apsaugos priemones, kurios užtikrina kibernetinį saugumą, nes pabrėžiama rizika, jog pasinaudojus priešiškų šalių įranga nuotoliu gali būti trikdomas elektros energetikos sistemos veikimas ir stabilumas. Verta pažymėti, jog Kinija patenka tarp šalių, kurios pagal Nacionalinio saugumo strategiją kelia grėsmę Lietuvos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui.

Energetikos sektoriaus apsauga – nacionalinės reikšmės uždavinys

Lyg tyčia, taip pat šių metų gegužę naujienų agentūra „Reuters“ paskelbė apie tyrimą, kuris atskleidė, kad Kinijoje pagamintuose fotovoltiniuose keitikliuose (inverteriuose) JAV pareigūnai rado įtartinų ryšio įrenginių. Energetikos departamento informacija paskatino JAV ir kitų šalių vyriausybes rimčiau įvertinti galimą šių keitiklių išjungimo nuotoliu poveikį.

Nesunku suprasti, kodėl Federalinis tyrimų biuras (FTB) dar prieš metus išplatino JAV energetikos įmonėms skirtą pranešimą, kuriuo įspėjo apie augančias kibernetines grėsmes atsinaujinančiosios energijos sektoriui.

Primindama šį įspėjimą „ForeScout“ tyrimų padalinys „Vedere Labs“ savo ataskaitoje pateikė kelias esmines rekomendacijas saulės ir vėjo elektrinių parkų valdytojams ir operatoriams, pavyzdžiui, užtikrinti, kad keitiklio valdymo sąsajos nebūtų prieinamos internetu. Taip pat rizikas sumažintų derama programinės įrangos atnaujinimų strategija ir nuolatinė priežiūra, patikėta profesionalams – specializuotoms įmonėms.

Apskritai, ataskaitos autoriai siunčia įspėjamą signalą organizacijoms kuo greičiau atnaujinti sistemų stebėjimo ir nuotolinio valdymo sprendimus ir sudaryti sąrašą tokių, kurių dėl kokių nors priežasčių atnaujinti neįmanoma. Siūloma apsvarstyti, ar šių vis dar naudojamų sprendimų nereikėtų pašalinti pakeičiant juos naujais.