A kiberbiztonság fokozása az OT (operációs technológiai) rendszerekben az IT hálózatokkal való integrációjuk során

Ahogy az OT-rendszerek továbbra is integrálódnak az IT-hálózatokkal, a gyártó vállalatoknak erőteljesebb kiberbiztonsági intézkedésekre van szükségük a kockázatok csökkentése érdekében.

Az Ipari Dolgok Internetének (IIoT) térnyerése tagadhatatlanul kiterjesztette az eszközszintről a felhőbe való kapcsolódást, ezáltal megnőtt az automatizált létesítmények támadási felülete. Míg a felhőhöz való közvetlen kapcsolatok lenyűgöző üzleti előnyöket kínálnak, például a távkarbantartás figyelését, a kulcsfontosságú teljesítménymutatók (KPI) nyomon követését és a folyamatok optimalizálását, ezek az előnyök a gyengült biztonság ára. Steve Fales, az ODVA marketing igazgatója kifejti: "Ezek az új kapcsolatok lehetővé tehetik a rossz szereplők beszivárgását az ipari hálózatokba, ami fokozott figyelmet fordít az olyan biztonsági koncepciókra, mint a Zero Trust, amely érvényesítést igényel, mielőtt bármilyen eszközhöz csatlakozna. Ezen túlmenően fontos a több eszköz telepítése. A hálózat minden részét lefedő biztonsági megközelítések jelentősen megnövekedtek."

A Zero Trust koncepció azt feltételezi, hogy a hálózat már kompromittálódott. Ez azt jelenti, hogy eredettől függetlenül minden kapcsolatot érvényesíteni kell, csak a minimális hozzáférést biztosítva a lehető legrövidebb ideig. Ezenkívül minden kommunikációnak biztonságosnak kell lennie. A Zero Trust felé való elmozduláshoz a vállalatoknak titkosítaniuk kell a kommunikációt, szerepköralapú hozzáférést kell biztosítaniuk, hitelesíteniük kell a végpontokat, és gondoskodniuk kell a kommunikáció hamisításmentességéről.

A Zero Trust alkalmazása mellett Steve több biztonsági módszer alkalmazását is javasolja a mélyreható védelmi stratégia részeként az ipari vezérlőhálózatok biztonságának biztosítása érdekében. A folyamatorientált holisztikus megközelítés részeként a fizikai biztonság és az alkalmazottak képzése kiváló kiindulópont. Ez két egyszerű, de hatékony módszer a rossz színészek elriasztására.

A fenyegetésmodellezés megvalósítása egy másik alapvető módja a hálózati sérülékenységek megértésének és a reagálási tervek megfogalmazásának. Ennek alapján a kapcsoló alapú tűzfalak, a mély csomagellenőrzés, a fehérlistázás és az egyéb hálózati védelmek rendezetten kerülnek telepítésre. Steve így folytatja: "Ha a közvetlen kapcsolódás miatt megnyílik egy második csatornás hálózat, akkor az eszközréteg védelme is kulcsfontosságú. Az eszközréteg védelmére példa az EtherNet/IP CIP Security, amely az eszköz hitelesítését, identitását, adatintegritását, bizalmas kezelését biztosítja, A felhasználói hitelesítés és a szabályzat érvényesítése a használattól függően igény szerint megvalósítható profilokon keresztül is rugalmas védelmet kínál. védőintézkedések."

A felhőhöz közvetlenül kapcsolódó automatizált eszközök számának növekedésével és a hálózatok ellaposodásával a megfelelő erőforrásokkal ellátott és megtervezett biztonsági stratégia elengedhetetlen. "Az új valóság az, hogy valószínűleg sebezhetőségek lépnek fel, ami a Zero Trust biztonsági megközelítés elterjedéséhez vezet, amely minden kapcsolatnál érvényesítést igényel, és csak a szükséges hozzáférést teszi lehetővé. Ugyanilyen fontos emlékezni arra, hogy a fizikai biztonság, az alkalmazottak képzése és a folyamat alapú megközelítések nagyon magas befektetési megtérülést kínálnak." Steve úgy véli, hogy a védelmet a legalacsonyabb szinten kell megvalósítani. A biztonság kulcsfontosságú tényező az automatizált eszközök felhőhöz való csatlakoztatásában, ami jelentős termelékenységnövekedést eredményez, így értékes befektetést jelent a jövőbeli ipari műveletek számára.

A biztonság tervezése az alapoktól kezdve

Hagyományosan az ipari vállalatok a Purdue-modellre támaszkodtak biztonságos OT-környezet létrehozása során a fizikai folyamatok, érzékelők, felügyeleti vezérlők, műveletek és logisztika szegmentálásával. Azonban amint azt hallottuk, a nyitottabb platformok most az OT-hálózatok biztonságát helyezik élesebben.

Michael Lester, az Emerson kiberbiztonsági stratégiáért, irányításért és architektúráért felelős igazgatója azt mondja: "A szervezeteknek most már a vezérlőrendszer-projektek front-end tervezési és tervezési szakaszában figyelembe kell venniük a kiberbiztonságot, hogy a rendszert a tervezés révén biztonságossá tegyék. A múltban a kiberbiztonság A védekezést gyakran később adták hozzá. Ez drágább és kevésbé hatékony, mint a kiberbiztonságot a kezdetektől fogva beépíteni a projektbe.

Ezért a gyártó cégeknek most már az alapoktól kezdve kell megtervezniük az OT szoftveralkalmazásokat a Zero Trust elvei alapján, hogy a tervezés során eleve biztonságos gyárakat hozzanak létre. Az Emerson technológiai vezérigazgató-helyettese, Peter Zornio úgy véli, hogy a gyári biztonság tervezése révén nem megy egyik napról a másikra; ez évekig tartó erőfeszítést igényel, de ez csak akkor valósul meg teljesen, amikor a rendszerszoftvert fokozatosan frissítik, hogy beépítsék a biztonsági architektúrát. Minden alkalommal, amikor egy másik szoftverrel kommunikál, hitelesítést kell kérnie, és rendelkeznie kell a megfelelő adathozzáférési jogokkal. Az Emerson egyes legújabb termékei már tartalmaznak tervezési biztonsággal rendelkező szoftvereket, de reálisan 5-10 évbe telhet, mire a gyári szoftverek mindegyike támogatni tudja a Zero Trust rendszert. Ha azonban ez valósággá válik, ez lesz a végső megoldás a kiberbiztonsági problémákra.

Sőt, a kiberbiztonság nem csupán technológiát igényel. Michael úgy véli, hogy a kiberbiztonság a viselkedésben és a kultúrában is változtatásokat igényel. Az egész szervezetnek mélyen meg kell értenie, hogy miért és hogyan érheti el a kiberbiztonságot, ami kritikus fontosságú a viselkedés érdemi megváltoztatásához. Ezért fontos egy olyan kiberbiztonsági kultúra kialakítása, amely magában foglalja az embereket, a folyamatokat és a technológiát.

Erősebb intézkedések az OT rendszer védelmére

Ahogy az OT-rendszerek továbbra is integrálódnak az IT-hálózatokkal, bevezetve az internetalapú kommunikációs protokollokat, például az MQTT-t és a meglévő adatátviteli protokollokat, mint például a HTTPS, a CsCAN és a Modbus, a támadási felület bővül, új támadási vektorokat hozva. Ehhez erősebb kiberbiztonsági intézkedésekre van szükség a kockázatok csökkentése érdekében. Sean Mackey, a Horner Ireland kiberbiztonsági mérnöke a következő intézkedéseket javasolja az irányítástechnikai mérnököknek az OT környezet jobb védelmében:

1. Értsd meg a Környezetet: Teljes mértékben ismeri az OT infrastruktúrát, beleértve az ipari vezérlőrendszereket, SCADA-t, PLC-ket és más összekapcsolt eszközöket. Azonosítsa a lehetséges sebezhetőségeket az eszközök, a hálózati architektúra, a protokollok és a kommunikációs útvonalak dokumentálásával.
2. Kockázatértékelés és eszközleltár: Végezzen alapos kockázatértékelést a kritikus eszközök és a lehetséges sebezhetőségek azonosítása érdekében. Készítsen eszközleltárt, kategorizálja a rendszereket kritikusságuk alapján, és értékelje a kapcsolódó kockázatokat. Ezen értékelés alapján rangsorolja a biztonsági intézkedéseket.
3. Hálózati szegmentáció: Robusztus hálózati szegmentálás végrehajtása, például légrések, tűzfalak a forgalom szűrésére és figyelésére, valamint a kritikus rendszerek elkülönítése annak érdekében, hogy a kulcsfontosságú OT-eszközök elkülönítve legyenek a nem kritikus rendszerektől és a külső hálózatoktól. Korlátozza a sebezhetőségek vagy támadások hatását azáltal, hogy meghatározott hálózati szegmensekbe zárja őket, és csökkenti a támadási felületet.
4. Beléptetés és hitelesítés: Erős hozzáférés-ellenőrzési és hitelesítési mechanizmusok alkalmazása az OT-rendszerekhez való jogosulatlan hozzáférés korlátozása érdekében. A többtényezős hitelesítést, a szerepalapú hozzáférés-szabályozást és a legkisebb jogosultság elvét érvényesíteni kell annak biztosítása érdekében, hogy csak az arra jogosult személyzet férhessen hozzá a kritikus rendszerekhez.
5. Javítás kezelés: Fejlesszen ki és hajtson végre szigorú javításkezelési folyamatot, hogy az OT-rendszereket naprakészen tartsa az ismert sérülékenységekkel. Ez magában foglalja a PLC-k/HMI-k sebezhetőségének javításához kapcsolódó firmware- és szoftverfrissítéseket. A javítások prioritása a kritikusság alapján.
6. Hálózatfigyelés és behatolásészlelés: Robusztus hálózati megfigyelő eszközök és behatolásérzékelő rendszerek (IDS) telepítése a szokatlan tevékenységek valós időben történő észlelésére és reagálására. Figyelemmel kíséri a hálózati forgalmat, a rendszernaplókat és a viselkedési mintákat, hogy azonnal azonosítsa a lehetséges fenyegetéseket vagy biztonsági réseket.
7. Végpont biztonság: Végpontvédelmi megoldásokat, például tűzfalakat, víruskereső szoftvereket és behatolásgátló rendszereket valósítson meg ugyanazon a hálózaton lévő hasonló eszközökön, hogy megvédje ipari eszközeit a rosszindulatú programoktól és az illetéktelen hozzáféréstől.
8. Titkosítás: Titkosítja az adatokat átvitel közben és nyugalmi állapotban is, hogy megakadályozza a jogosulatlan elfogást vagy manipulációt. Alkalmazzon erős titkosítási protokollokat a hálózati kommunikációhoz, mint például a Transport Layer Security (TLS), különösen akkor, ha X.509-tanúsítványokat használ az MQTT-t erősítő iparágakban, és titkosítsa az OT-eszközökön tárolt érzékeny adatokat.
9. Eseményreagálási terv: Készítsen átfogó incidensreagálási tervet, amely felvázolja a kiberbiztonsági incidensek észlelésének, megfékezésének és mérséklésének eljárásait. Határozza meg a szerepköröket és felelősségeket, hozzon létre kommunikációs protokollokat, és tartson rendszeres gyakorlatokat a kibertámadásokra való felkészültség biztosítása érdekében.
10. Az alkalmazottak képzése és tudatosítása: Az OT személyzetének képzése a bevált kiberbiztonsági gyakorlatokra, beleértve az adathalászati ​​kísérletek felismerését, a gyanús tevékenységek azonosítását és a biztonsági incidensekre való reagálást. A kiberbiztonsági tudatosság kultúrájának előmozdítása, lehetővé téve az alkalmazottak számára, hogy aktívan részt vegyenek az OT-rendszerek védelmében.
11. Szállítói kockázatkezelés: Értékelje és kezelje az OT-összetevőket vagy szolgáltatásokat nyújtó külső szállítókkal és beszállítókkal kapcsolatos kiberbiztonsági kockázatokat. Dolgozzon ki szerződéses megállapodásokat, amelyek biztonsági követelményeket írnak elő, és rendszeresen ellenőrizzék a szállítókat.
12. Megfelelés és szabályozási követelmények: Legyen tájékozott az OT kiberbiztonsággal kapcsolatos iparág-specifikus szabályozásokról és megfelelőségi szabványokról, mint például a NIST SP 800-82 és az ISA/IEC 62443. Győződjön meg arról, hogy az OT-rendszerek megfelelnek ezeknek a követelményeknek a jogi és szabályozási következmények elkerülése és az OT kockázatának minimalizálása érdekében. a rossz kiberbiztonsági megvalósítás miatti jogsértések.

Az OT rendszerek teljes körű védelmének biztosítása

OT környezetben a legtöbb rendszer kritikus, ami azt jelenti, hogy minden megszakítás vagy kompromisszum messzemenő következményekkel járhat. Daniel Sukowski, a Paessler Global Business Development IIOT munkatársa hangsúlyozza, hogy a tét miatt az OT környezetek hatékony védelme soha nem volt még fontosabb. Ennek a célnak az elérése azonban soha nem volt nagyobb kihívás. Az összekapcsolt és digitális világban az IIOT-eszközök exponenciális növekedése egyre bonyolultabb rendszerekhez vezet. A korábban elszigetelt OT-hálózatokat most nyitják meg, hogy új rendszereket és eszközöket kapcsolódjanak külső forrásokból, gyakran régiókon keresztül. Bár ez a csatlakozás számos előnnyel jár, jelentős kockázatokat is rejt magában.

Az OT-rendszerek teljes védelme érdekében a vállalatoknak be kell ruházniuk a felügyeleti technológiába. Daniel azt javasolja: "Egy hatékony felügyeleti rendszer központi műszerfallal és riasztási képességekkel átfogóbb képet nyújthat a vállalkozásoknak. Minden helyről (OT-környezetek, IIoT-érzékelők, vezetékes és vezeték nélküli hálózatok, valamint hagyományos informatikai eszközök és rendszerek) konszolidálni tudja az adatokat. egy védelmi platform átfogó láthatóságot biztosít, ami minden eddiginél fontosabb, mivel a kiberbűnözők folyamatosan fejlődnek és érnek."

Ezenkívül a vállalatoknak rendszeresen biztonsági auditokat és kockázatértékeléseket kell végezniük működési rendszereiken a sebezhetőségek azonosítása érdekében. Ennek tartalmaznia kell az információbiztonsági kockázatokat, a kiberkockázatokat és az összes általános OT működési kockázatot. A kihívás másik része az összes érintett alkalmazott folyamatos képzése. A képzési tartalmat rendszeresen frissíteni kell annak biztosítása érdekében, hogy a vállalatok a legújabb irányelveknek és előírásoknak megfelelően működjenek. Például amikor 2024 októberében a készülő NIS2-irányelv nemzeti joggá válik az összes EU-tagállamban, az alkalmazottaknak biztosítaniuk kell, hogy saját maguk és szélesebb körű üzleti tevékenységük is megfeleljen az előírásoknak.

A NIS2-irányelv az eredeti NIS-irányelvre (NISD) épít az EU jelenlegi kiberbiztonsági törvényeinek frissítésével. Célja az OT biztonságának erősítése, a jelentéskészítés ésszerűsítése, valamint egységes szabályok és szankciók létrehozása az EU-ban. Hatályának kiterjesztésével a NIS2 több vállalatot és ágazatot igényel kiberbiztonsági intézkedések végrehajtásához.

Kérjük, kattintson az alábbi linkre, ha többet szeretne olvasni:

Bemutatkozik a Reeman Moon Knight robot alváz

Bemutatjuk a Flash ételszállító robotot

Bemutatkozik a Nurse Hospital Delivery Robot