Zlepšenie kybernetickej bezpečnosti v systémoch OT (operačných technológií) pri ich integrácii do IT sietí

Keďže OT systémy sa naďalej integrujú do IT sietí, výrobné spoločnosti vyžadujú robustnejšie opatrenia kybernetickej bezpečnosti na zmiernenie rizík.

Vzostup priemyselného internetu vecí (IIoT) nepopierateľne rozšíril konektivitu z úrovne zariadení na cloud, čím zvýšil útočnú plochu automatizovaných zariadení. Zatiaľ čo priame pripojenia ku cloudu ponúkajú presvedčivé obchodné výhody, ako je napríklad vzdialené monitorovanie údržby, sledovanie kľúčových ukazovateľov výkonu (KPI) a optimalizácia procesov, tieto výhody prichádzajú za cenu oslabenej bezpečnosti. Steve Fales, riaditeľ marketingu spoločnosti ODVA, vysvetľuje: „Tieto nové prepojenia môžu umožniť zlým hráčom preniknúť do priemyselných sietí, čím sa zvýši dôraz na bezpečnostné koncepty, ako je Zero Trust, ktorá si vyžaduje overenie pred pripojením k akémukoľvek zariadeniu. bezpečnostné prístupy na pokrytie všetkých častí siete sa výrazne zvýšili.“

Koncept Zero Trust predpokladá, že sieť je už ohrozená. To znamená, že každé spojenie, bez ohľadu na pôvod, musí byť overené a poskytuje len minimálny potrebný prístup na čo najkratší čas. Okrem toho musí byť všetka komunikácia bezpečná. Aby sa spoločnosti posunuli smerom k nulovej dôvere, musia šifrovať komunikáciu, poskytovať prístup na základe rolí, autentifikovať koncové body a zabezpečiť, aby bola komunikácia chránená proti neoprávnenej manipulácii.

Okrem prijatia nulovej dôvery Steve odporúča použiť viacero bezpečnostných metód ako súčasť stratégie hĺbkovej obrany na zaistenie bezpečnosti priemyselných riadiacich sietí. Ako súčasť holistického prístupu orientovaného na procesy sú fyzická bezpečnosť a školenia zamestnancov výbornými východiskovými bodmi. Toto sú dva jednoduché, ale účinné spôsoby, ako odradiť zlých hercov.

Implementácia modelovania hrozieb je ďalším nevyhnutným spôsobom, ako pochopiť zraniteľnosť siete a formulovať plány reakcie. Na základe toho budú firewally založené na prepínačoch, hĺbková kontrola paketov, whitelisting a ďalšie sieťové ochrany nasadené usporiadaným spôsobom. Steve pokračuje: "Ak je sieť druhého kanála otvorená kvôli priamej konektivite, je tiež dôležité chrániť vrstvu zariadenia. Príkladom ochrany na vrstve zariadenia je EtherNet/IP's CIP Security, ktorý poskytuje autentifikáciu zariadenia, identitu, integritu údajov, dôvernosť, autentifikácia používateľov a presadzovanie zásad CIP Security tiež ponúka flexibilnú ochranu prostredníctvom profilov, ktoré je možné implementovať na požiadanie na základe používania. Napokon, keďže správanie a metódy sieťových útokov sa neustále vyvíjajú, je potrebné pravidelne kontrolovať a revidovať bezpečnostné stratégie, školenia a. ochranné opatrenia“.

So zvyšujúcim sa počtom automatizovaných zariadení priamo pripojených ku cloudu a sploštením sietí je rozhodujúca dobre zabezpečená a plánovaná bezpečnostná stratégia. "Novou realitou je, že sa pravdepodobne vyskytnú slabé miesta, čo vedie k vzostupu bezpečnostného prístupu nulovej dôvery, ktorý vyžaduje overenie každého pripojenia a umožňuje len nevyhnutný prístup. Rovnako dôležité je mať na pamäti, že fyzická bezpečnosť, školenia zamestnancov a procesné založené prístupy môžu ponúknuť veľmi vysokú návratnosť investícií." Steve verí, že ochrana musí byť implementovaná na najnižších úrovniach. Zabezpečenie je kľúčovou hnacou silou pri pripájaní automatizovaných zariadení ku cloudu, čo vedie k výraznému zvýšeniu produktivity, čo z neho robí cennú investíciu pre budúce priemyselné prevádzky.

Navrhovanie bezpečnosti od základov

Priemyselné podniky sa tradične spoliehali na model Purdue pri vytváraní bezpečných prostredí OT segmentovaním fyzických procesov, senzorov, monitorovacích kontrol, operácií a logistiky. Ako sme však už počuli, otvorenejšie platformy teraz približujú bezpečnosť siete OT do ostrejšej pozornosti.

Michael Lester, riaditeľ pre stratégiu, riadenie a architektúru kybernetickej bezpečnosti v spoločnosti Emerson, hovorí: "Organizácie teraz musia zvážiť kybernetickú bezpečnosť vo fáze prvotného inžinierstva a návrhu projektov riadiacich systémov, aby bol systém bezpečný už od návrhu. V minulosti bola kybernetická bezpečnosť obrany boli často pridané neskôr, je to drahšie a menej efektívne ako začlenenie kybernetickej bezpečnosti do projektu od začiatku.“

Výrobné spoločnosti preto teraz potrebujú navrhnúť softvérové ​​aplikácie OT od základov, založené na princípoch nulovej dôvery, aby vytvorili vo svojej podstate bezpečné továrne už od návrhu. Technologický riaditeľ spoločnosti Emerson Peter Zornio je presvedčený, že k dosiahnutiu inherentnej bezpečnosti továrne už na základe návrhu nedochádza zo dňa na deň; bude to trvať roky úsilia, ktoré sa plne prejaví, až keď sa systémový softvér postupne aktualizuje, aby zahŕňal bezpečnostnú architektúru. Zakaždým, keď komunikuje s iným softvérom, bude musieť požiadať o overenie a vlastniť správne prístupové práva k údajom. Niektoré z najnovších produktov spoločnosti Emerson už obsahujú softvér s inherentným zabezpečením dizajnu, ale reálne môže trvať 5 až 10 rokov, kým bude všetok softvér v továrňach podporovať Zero Trust. Keď sa to však stane realitou, bude to konečné riešenie problémov kybernetickej bezpečnosti.

Okrem toho kybernetická bezpečnosť vyžaduje viac ako len technológiu. Michael je presvedčený, že kybernetická bezpečnosť si vyžaduje aj zmeny v správaní a kultúre. Celá organizácia musí hlboko pochopiť, prečo a ako dosiahnuť kybernetickú bezpečnosť, ktorá je rozhodujúca pre zmysluplnú zmenu správania. Preto je dôležité vybudovať kultúru kybernetickej bezpečnosti, ktorá zahŕňa ľudí, procesy a technológie.

Prísnejšie opatrenia na ochranu systému OT

Keďže OT systémy pokračujú v integrácii s IT sieťami a zavádzajú internetové komunikačné protokoly ako MQTT a existujúce protokoly prenosu údajov, ako sú HTTPS, CsCAN a Modbus, útočná plocha sa rozširuje a prináša nové útočné vektory. To si vyžaduje súbor prísnejších opatrení v oblasti kybernetickej bezpečnosti na zníženie rizík. Sean Mackey, inžinier kybernetickej bezpečnosti v spoločnosti Horner Ireland, navrhuje nasledujúce opatrenia, ktoré pomôžu riadiacim technikom lepšie chrániť ich prostredia OT:

1. Pochopte životné prostredie: Plne rozumiete infraštruktúre OT, vrátane priemyselných riadiacich systémov, SCADA, PLC a iných vzájomne prepojených zariadení. Identifikujte potenciálne zraniteľné miesta dokumentovaním aktív, sieťovej architektúry, protokolov a komunikačných ciest.
2. Hodnotenie rizika a inventarizácia majetku: Vykonajte dôkladné posúdenie rizika s cieľom identifikovať kritické aktíva a potenciálne slabiny. Vytvorte inventár majetku, kategorizujte systémy na základe ich kritickosti a posúďte súvisiace riziká. Na základe tohto hodnotenia uprednostnite bezpečnostné opatrenia.
3. Segmentácia siete: Implementujte robustnú sieťovú segmentáciu, ako sú vzduchové medzery, firewally na filtrovanie a monitorovanie prevádzky a izoláciu kritických systémov, aby ste udržali kľúčové aktíva OT oddelené od nekritických systémov a externých sietí. Obmedzte dopad slabých miest alebo útokov tým, že ich zadržíte v rámci špecifických segmentov siete a znížite plochu útoku.
4. Kontrola prístupu a autentifikácia: Implementujte silnú kontrolu prístupu a autentifikačné mechanizmy na obmedzenie neoprávneného prístupu k systémom OT. Malo by sa presadzovať viacfaktorová autentifikácia, kontrola prístupu na základe rolí a zásada najmenších privilégií, aby sa zabezpečilo, že do kritických systémov bude mať prístup iba oprávnený personál.
5. Správa opráv: Vyviňte a implementujte prísny proces správy opráv, aby boli OT systémy aktuálne so známymi zraniteľnosťami. To zahŕňa aktualizácie firmvéru a softvéru súvisiace s akýmikoľvek opravami zraniteľností pre PLC/HMI. Uprednostňujte opravy na základe kritickosti.
6. Monitorovanie siete a detekcia narušenia: Nasaďte robustné nástroje na monitorovanie siete a systémy na detekciu narušenia (IDS) na detekciu a reakciu na nezvyčajné aktivity v reálnom čase. Monitorujte sieťovú prevádzku, systémové protokoly a vzorce správania, aby ste mohli okamžite identifikovať potenciálne hrozby alebo narušenia bezpečnosti.
7. Zabezpečenie koncového bodu: Implementujte riešenia ochrany koncových bodov, ako sú brány firewall, antivírusový softvér a systémy prevencie narušenia, pre podobné zariadenia v rovnakej sieti, aby ste ochránili svoje priemyselné zariadenia pred škodlivým softvérom a neoprávneným prístupom.
8. Šifrovanie: Šifrujte dáta počas prenosu aj v pokoji, aby ste zabránili neoprávnenému odpočúvaniu alebo manipulácii. Implementujte silné šifrovacie protokoly pre sieťovú komunikáciu, ako napríklad Transport Layer Security (TLS), najmä pri používaní certifikátov X.509 v odvetviach náročných na MQTT, a šifrujte citlivé údaje uložené na zariadeniach OT.
9. Plán reakcie na incidenty: Vypracujte komplexný plán reakcie na incidenty, ktorý načrtáva postupy na zisťovanie, zadržiavanie a zmierňovanie incidentov kybernetickej bezpečnosti. Definujte úlohy a zodpovednosti, zaveďte komunikačné protokoly a vykonajte pravidelné cvičenia na zabezpečenie pripravenosti na kybernetické útoky.
10. Školenie a povedomie zamestnancov: Školiť personál OT o osvedčených postupoch kybernetickej bezpečnosti vrátane rozpoznávania pokusov o phishing, identifikácie podozrivých aktivít a reagovania na bezpečnostné incidenty. Podporujte kultúru povedomia o kybernetickej bezpečnosti, ktorá zamestnancom umožní aktívne sa podieľať na ochrane OT systémov.
11. Riadenie rizika dodávateľa: Posúdenie a riadenie rizík kybernetickej bezpečnosti spojených s predajcami a dodávateľmi tretích strán, ktorí poskytujú OT komponenty alebo služby. Vypracujte zmluvné dohody, ktoré stanovia bezpečnostné požiadavky a pravidelne kontrolujte predajcov.
12. Súlad a regulačné požiadavky: Buďte informovaní o špecifických odvetvových predpisoch a štandardoch zhody súvisiacich s OT kybernetickou bezpečnosťou, ako sú NIST SP 800-82 a ISA/IEC 62443. Zabezpečte, aby OT systémy spĺňali tieto požiadavky, aby ste sa vyhli právnym a regulačným dôsledkom a minimalizovali riziko OT narušenia v dôsledku zlej implementácie kybernetickej bezpečnosti.

Zabezpečenie úplnej ochrany OT systémov

V prostrediach OT je väčšina systémov kritická, čo znamená, že akékoľvek narušenie alebo kompromis môže mať ďalekosiahle následky. Daniel Sukowski, Global Business Development IIOT v spoločnosti Paessler, zdôrazňuje, že vzhľadom na stávky, efektívna ochrana OT prostredia nebola nikdy dôležitejšia. Dosiahnutie tohto cieľa však nikdy nebolo náročnejšie. V prepojenom a digitálnom svete vedie exponenciálny rast zariadení IIOT k čoraz zložitejším systémom. Predtým izolované siete OT sa teraz otvárajú na pripojenie nových systémov a zariadení z externých zdrojov, často naprieč regiónmi. Aj keď táto konektivita ponúka mnoho výhod, prináša so sebou aj značné riziká.

Na úplnú ochranu OT systémov by spoločnosti mali investovať do monitorovacej technológie. Daniel navrhuje: "Efektívny monitorovací systém s centralizovaným prístrojovým panelom a funkciami upozorňovania môže podnikom poskytnúť komplexnejší obraz. Dokáže konsolidovať dáta zo všetkých miest (OT prostredia, IIoT senzory, káblové a bezdrôtové siete a tradičné IT zariadenia a systémy) jedna ochranná platforma poskytuje komplexnú viditeľnosť, ktorá je dôležitejšia než kedykoľvek predtým, keďže kyberzločinci sa neustále vyvíjajú a dospievajú.“

Okrem toho musia spoločnosti pravidelne vykonávať bezpečnostné audity a hodnotenia rizík svojich operačných systémov, aby pomohli identifikovať slabé miesta. To by malo zahŕňať riziká informačnej bezpečnosti, kybernetické riziká a všetky bežné prevádzkové riziká OT. Ďalšou súčasťou výzvy sú priebežné školenia pre všetkých relevantných zamestnancov. Obsah školenia by sa mal pravidelne aktualizovať, aby sa zabezpečilo, že spoločnosti fungujú v súlade s najnovšími usmerneniami a nariadeniami. Napríklad, keď sa pripravovaná smernica NIS2 v októbri 2024 stane vnútroštátnym zákonom vo všetkých členských štátoch EÚ, zamestnanci musia zabezpečiť, aby oni a ich širšie podnikanie zostali v súlade.

Smernica NIS2 stavia na pôvodnej smernici NIS (NISD) aktualizáciou súčasných zákonov EÚ o kybernetickej bezpečnosti. Jeho cieľom je posilniť bezpečnosť OT, zefektívniť reporting a vytvoriť konzistentné pravidlá a sankcie v celej EÚ. Rozšírením svojho rozsahu bude NIS2 vyžadovať, aby viac spoločností a sektorov implementovalo opatrenia kybernetickej bezpečnosti.

Ak si chcete prečítať viac, kliknite na odkaz nižšie:

Predstavujeme podvozok robota Reeman Moon Knight

Predstavujeme Flash Food Delivery Robot

Predstavujeme pôrodného robota zdravotnej sestry