Posílení kybernetické bezpečnosti v systémech OT (operační technologie) při jejich integraci do IT sítí

Vzhledem k tomu, že se OT systémy nadále integrují do IT sítí, vyžadují výrobní společnosti robustnější opatření kybernetické bezpečnosti ke zmírnění rizik.

Vzestup průmyslového internetu věcí (IIoT) nepopiratelně rozšířil konektivitu z úrovně zařízení do cloudu, čímž zvýšil útočnou plochu automatizovaných zařízení. Zatímco přímé připojení ke cloudu nabízí přesvědčivé obchodní výhody, jako je vzdálené monitorování údržby, sledování klíčových ukazatelů výkonu (KPI) a optimalizace procesů, tyto výhody přicházejí za cenu oslabeného zabezpečení. Steve Fales, ředitel marketingu společnosti ODVA, vysvětluje: „Tato nová připojení mohou umožnit špatným aktérům proniknout do průmyslových sítí, což vede ke zvýšenému zaměření na bezpečnostní koncepty, jako je Zero Trust, která vyžaduje ověření před připojením k jakémukoli zařízení. bezpečnostní přístupy k pokrytí všech částí sítě se výrazně zvýšily."

Koncept Zero Trust předpokládá, že síť je již kompromitována. To znamená, že každé připojení, bez ohledu na původ, musí být ověřeno a poskytuje pouze minimální přístup potřebný na co nejkratší dobu. Kromě toho musí být veškerá komunikace bezpečná. Aby se společnosti posunuly směrem k nulové důvěře, musí šifrovat komunikaci, poskytovat přístup na základě rolí, ověřovat koncové body a zajistit, aby komunikace byla odolná proti neoprávněné manipulaci.

Kromě přijetí nulové důvěry Steve doporučuje používat více bezpečnostních metod jako součást strategie hloubkové obrany k zajištění bezpečnosti průmyslových řídicích sítí. Jako součást holistického přístupu orientovaného na procesy jsou vynikajícími výchozími body fyzická bezpečnost a školení zaměstnanců. To jsou dvě jednoduché, ale účinné metody, jak odradit špatné herce.

Implementace modelování hrozeb je dalším zásadním způsobem, jak porozumět zranitelnostem sítě a formulovat plány reakce. Na základě toho budou brány firewall založené na přepínačích, hloubková kontrola paketů, whitelisting a další síťové ochrany nasazeny řádným způsobem. Steve pokračuje: "Pokud je otevřena síť druhého kanálu kvůli přímé konektivitě, je také důležité chránit vrstvu zařízení. Příkladem ochrany na vrstvě zařízení je zabezpečení CIP EtherNet/IP, které poskytuje autentizaci zařízení, identitu, integritu dat, důvěrnost, ochranu dat na vrstvě zařízení." autentizace uživatelů a vynucování zásad CIP Security také nabízí flexibilní ochranu prostřednictvím profilů, které lze implementovat na vyžádání na základě použití. A konečně, jak se chování a metody síťových útoků neustále vyvíjejí, je nutné pravidelně kontrolovat a revidovat bezpečnostní strategie, školení a další. ochranná opatření."

S rostoucím počtem automatizovaných zařízení přímo připojených ke cloudu a zploštěním sítí je kriticky důležité mít dobře zajištěnou a plánovanou bezpečnostní strategii. "Novou realitou je, že se pravděpodobně vyskytnou zranitelnosti, což vede ke vzestupu bezpečnostního přístupu nulové důvěry, který vyžaduje ověření pro každé připojení a umožňuje pouze nezbytný přístup. Stejně důležité je mít na paměti, že fyzické zabezpečení, školení zaměstnanců a proces- založené přístupy mohou nabídnout velmi vysokou návratnost investic." Steve věří, že ochrana musí být implementována na nejnižších úrovních. Zabezpečení je klíčovým faktorem při připojování automatizovaných zařízení ke cloudu, což vede k výraznému zvýšení produktivity, což z něj činí cennou investici pro budoucí průmyslové provozy.

Navrhování zabezpečení od základů

Průmyslové podniky tradičně spoléhaly na Purdueův model pro vytváření bezpečných OT prostředí segmentací fyzických procesů, senzorů, monitorovacích kontrol, operací a logistiky. Jak jsme však slyšeli, otevřenější platformy nyní přinášejí zabezpečení sítě OT do ostřejšího zájmu.

Michael Lester, ředitel pro strategii, řízení a architekturu kybernetické bezpečnosti ve společnosti Emerson, říká: "Organizace nyní musí zvážit kybernetickou bezpečnost v počáteční fázi projektování a návrhu projektů řídicích systémů, aby byl systém bezpečný již od návrhu. V minulosti byla kybernetická bezpečnost obrana byla často přidána později, což je dražší a méně efektivní než začlenění kybernetické bezpečnosti do projektu od začátku.

Výrobní společnosti proto nyní potřebují navrhovat softwarové aplikace OT od základů, založené na principech Zero Trust, aby vytvořily v podstatě bezpečné továrny již od návrhu. Technologický ředitel společnosti Emerson Peter Zornio věří, že k dosažení inherentní bezpečnosti továrny již od návrhu nedojde přes noc; bude to trvat roky úsilí, plně se projeví, až bude systémový software postupně aktualizován, aby zahrnoval architekturu zabezpečení. Pokaždé, když komunikuje s jiným softwarem, bude muset požádat o ověření a vlastnit správná přístupová práva k datům. Některé z nejnovějších produktů Emerson již obsahují software s inherentním zabezpečením návrhu, ale realisticky může trvat 5 až 10 let, než bude veškerý software v továrnách podporovat Zero Trust. Když se to však stane realitou, bude to konečné řešení problémů kybernetické bezpečnosti.

Kybernetická bezpečnost navíc vyžaduje více než jen technologii. Michael věří, že kybernetická bezpečnost také vyžaduje změny v chování a kultuře. Celá organizace musí hluboce porozumět tomu, proč a jak dosáhnout kybernetické bezpečnosti, která je zásadní pro smysluplnou změnu chování. Proto je důležité vybudovat kulturu kybernetické bezpečnosti, která zahrnuje lidi, procesy a technologie.

Přísnější opatření pro ochranu systému OT

Vzhledem k tomu, že OT systémy pokračují v integraci s IT sítěmi a zavádějí internetové komunikační protokoly, jako je MQTT, a stávající protokoly pro přenos dat, jako jsou HTTPS, CsCAN a Modbus, rozšiřuje se útočná plocha a přináší nové útočné vektory. To vyžaduje soubor silnějších opatření v oblasti kybernetické bezpečnosti ke snížení rizik. Sean Mackey, kybernetický inženýr společnosti Horner Ireland, navrhuje následující opatření, která pomohou řídicím technikům lépe chránit jejich prostředí OT:

1. Porozumět životnímu prostředí: Plně porozumět infrastruktuře OT, včetně průmyslových řídicích systémů, SCADA, PLC a dalších vzájemně propojených zařízení. Identifikujte potenciální zranitelnosti dokumentováním aktiv, síťové architektury, protokolů a komunikačních cest.
2. Hodnocení rizik a inventarizace aktiv: Proveďte důkladné posouzení rizik, abyste identifikovali kritická aktiva a potenciální zranitelnosti. Vytvořte inventář majetku, kategorizujte systémy na základě jejich kritičnosti a vyhodnoťte související rizika. Na základě tohoto posouzení upřednostněte bezpečnostní opatření.
3. Segmentace sítě: Implementujte robustní segmentaci sítě, jako jsou vzduchové mezery, firewally pro filtrování a monitorování provozu a izolování kritických systémů, abyste udrželi klíčová aktiva OT oddělená od nekritických systémů a externích sítí. Omezte dopad zranitelností nebo útoků tím, že je zadržíte ve specifických segmentech sítě a snížíte plochu útoku.
4. Řízení přístupu a ověřování: Implementujte silné mechanismy řízení přístupu a ověřování k omezení neoprávněného přístupu k systémům OT. Měly by být vynucovány vícefaktorové ověřování, řízení přístupu na základě rolí a zásada nejmenších oprávnění, aby bylo zajištěno, že ke kritickým systémům mohou přistupovat pouze oprávněné osoby.
5. Správa oprav: Vyvinout a implementovat přísný proces správy oprav, aby byly OT systémy aktuální se známými zranitelnostmi. To zahrnuje aktualizace firmwaru a softwaru související s případnými opravami zranitelnosti pro PLC/HMI. Upřednostňujte opravy na základě kritičnosti.
6. Monitorování sítě a detekce narušení: Nasaďte robustní nástroje pro monitorování sítě a systémy detekce narušení (IDS) pro detekci a reakci na neobvyklé aktivity v reálném čase. Monitorujte síťový provoz, systémové protokoly a vzorce chování, abyste mohli okamžitě identifikovat potenciální hrozby nebo narušení zabezpečení.
7. Zabezpečení koncových bodů: Implementujte řešení ochrany koncových bodů, jako jsou firewally, antivirový software a systémy prevence narušení, pro podobná zařízení ve stejné síti, abyste ochránili svá průmyslová zařízení před malwarem a neoprávněným přístupem.
8. Šifrování: Šifrujte data při přenosu i v klidu, abyste zabránili neoprávněnému zachycení nebo manipulaci. Implementujte silné šifrovací protokoly pro síťovou komunikaci, jako je Transport Layer Security (TLS), zejména při použití certifikátů X.509 v odvětvích náročných na MQTT, a šifrujte citlivá data uložená na zařízeních OT.
9. Plán reakce na incidenty: Vytvořte komplexní plán odezvy na incidenty, který nastiňuje postupy pro zjišťování, omezování a zmírňování incidentů kybernetické bezpečnosti. Definujte role a odpovědnosti, zaveďte komunikační protokoly a provádějte pravidelná cvičení, abyste zajistili připravenost na kybernetické útoky.
10. Školení a povědomí zaměstnanců: Školení personálu OT o osvědčených postupech kybernetické bezpečnosti, včetně rozpoznávání pokusů o phishing, identifikace podezřelých aktivit a reakce na bezpečnostní incidenty. Podporujte kulturu povědomí o kybernetické bezpečnosti, která zaměstnancům umožní aktivně se podílet na ochraně OT systémů.
11. Řízení rizik dodavatele: Posuďte a spravujte rizika kybernetické bezpečnosti spojená s dodavateli a dodavateli třetích stran, kteří poskytují součásti nebo služby OT. Vypracujte smluvní dohody, které stanoví bezpečnostní požadavky, a pravidelně kontrolujte dodavatele.
12. Shoda a regulační požadavky: Zůstaňte informováni o průmyslových předpisech a standardech shody souvisejících s kybernetickou bezpečností OT, jako je NIST SP 800-82 a ISA/IEC 62443. Zajistěte, aby systémy OT splňovaly tyto požadavky, abyste se vyhnuli právním a regulačním důsledkům a minimalizovali riziko OT porušení kvůli špatné implementaci kybernetické bezpečnosti.

Zajištění plné ochrany OT systémů

V prostředí OT je většina systémů kritická, což znamená, že jakékoli narušení nebo kompromis může mít dalekosáhlé důsledky. Daniel Sukowski, Global Business Development IIOT ve společnosti Paessler, zdůrazňuje, že vzhledem k těmto sázkám nebyla účinná ochrana OT prostředí nikdy důležitější. Dosažení tohoto cíle však nikdy nebylo náročnější. V propojeném a digitálním světě vede exponenciální růst zařízení IIOT ke stále složitějším systémům. Dříve izolované sítě OT se nyní otevírají pro připojení nových systémů a zařízení z externích zdrojů, často napříč regiony. I když tato konektivita nabízí mnoho výhod, přináší také značná rizika.

Pro plnou ochranu OT systémů by společnosti měly investovat do monitorovací technologie. Daniel navrhuje: "Efektivní monitorovací systém s centralizovaným řídicím panelem a možnostmi upozorňování může podnikům poskytnout komplexnější obrázek. Dokáže konsolidovat data ze všech míst (OT prostředí, IIoT senzory, kabelové a bezdrátové sítě a tradiční IT zařízení a systémy) Jedna ochranná platforma poskytuje komplexní viditelnost, což je důležitější než kdy jindy, protože kyberzločinci se neustále vyvíjejí a dospívají."

Kromě toho musí společnosti pravidelně provádět bezpečnostní audity a hodnocení rizik svých operačních systémů, aby pomohly identifikovat slabá místa. To by mělo zahrnovat rizika informační bezpečnosti, kybernetická rizika a všechna běžná operační rizika OT. Další součástí výzvy je průběžné školení všech relevantních zaměstnanců. Obsah školení by měl být pravidelně aktualizován, aby bylo zajištěno, že společnosti fungují v souladu s nejnovějšími směrnicemi a předpisy. Když se například připravovaná směrnice NIS2 v říjnu 2024 stane vnitrostátním zákonem ve všech členských státech EU, zaměstnanci musí zajistit, aby oni i jejich širší podnikání zůstali v souladu.

Směrnice NIS2 staví na původní směrnici NIS (NISD) aktualizací současných zákonů EU o kybernetické bezpečnosti. Jeho cílem je posílit bezpečnost OT, zefektivnit reporting a vytvořit konzistentní pravidla a sankce v celé EU. Rozšířením své působnosti bude NIS2 vyžadovat, aby více společností a sektorů zavedlo opatření v oblasti kybernetické bezpečnosti.

Klikněte prosím na níže uvedený odkaz a přečtěte si více:

Představujeme podvozek robota Reeman Moon Knight

Představujeme Flash Food Delivery Robot

Představujeme porodního robota zdravotní sestry