Ճարտարապետական դիմացկունություն. Աշխատավարձային տեխնոլոգիայի (OT) մեջ անվտանգ կապի սկզբունքների կիրառում

Օպերացիոն տեխնոլոգիաների (OT) ֆիզիկական այլանդակման՝ «օդային բացվածքի» միջոցով պաշտպանության ավանդական մոդելը այլևս չի ապահովում անվտանգություն: Չորսրդ արդյունաբերական հեղափոխության (Industry 4.0) շնորհիվ IT և OT համակարգերի միաձուլումը հնարավորություն է տալիս ստանալ մեծ արդյունավետություն, օրինակ՝ իրական ժամանակում հեռատեղադրված տվյալների հավաքագրում և կանխատեսող սպասարկում: Սակայն այս միմյանց կապվածությունը կտրուկ ընդարձակել է արդյունաբերական հարձակման մակերեսը:

Այս համակարգային խոցելիությունները թուլացնելու համար Միացյալ Թագավորության ազգային կիբերանվտանգության կենտրոնը (NCSC), ինչպես նաև միջազգային գործակալությունները, այդ թվում՝ ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) և ՖԲՌ-ը, հրապարակել են Անվտանգ կապի սկզբունքները oT-ի համար: Այս պահանջների կատարումը այլևս ոչ թե ընտրովի լավավիճակ է, այլ՝ ենթակառուցվածքների դիմացկունության, տնտեսական կայունության և մարդկային կյանքի պաշտպանության հիմնարար պայման:

1. Ստրատեգիական նշանակությունը Անվտանգ OT միացում Համակարգեր

Եթե IT-ի խախտումները հիմնականում սպառնում են տվյալների գաղտնիությանը, ապա OT միջավայրերում առկա թույլատրելիությունները սպառնում են ֆիզիկական ակտիվներին: Արդյունաբերական կառավարման համակարգի (ICS) հաջող ներխուժումը կարող է առաջացնել անմիջական ֆիզիկական վնաս, առաջացնել սարքավորումների խափանումներ, վտանգել աշխատողների անվտանգությունը, առաջացնել թույլատրելի չեն համարվող միջավայրային արտահոսքեր կամ անջատել կրիտիկական ազգային ենթակառուցվածքը (CNI), օրինակ՝ էլեկտրական ցանցերը:

Վերջերս ստացված փորձառական տվյալները մեծացող ռիսկի վրա են շեշտադրում ուշադրություն: Աշխարհային կիբերտեղեկատվության զեկուցումները ցույց են տալիս, որ արդյունաբերական կազմակերպությունների դեմ ուղղված վարձավճարային ծրագրերի հարձակումները տարեկան աճել են 50%-ից ավելի: Պատմության մեջ մեկ այլ հայտնի օրինակ է հակտիվիստների խմբի կողմից Ստրայքերի դեմ հարձակումը: Microsoft Intune-ի ներսում վարչական կարգավորումների օգտագործմամբ նրանք ջնջել են տվյալներ 200 000-ից ավելի միմյանց հետ կապված սարքերում: Քանի որ շատ արտադրամասեր կախված են ժամանակակից կիբերռիսկերի առաջացումից տասնամյակներ առաջ ստեղծված հին սարքավորումներից, կողք առ կողք ռիսկերի տեսանկյունից մտածված կապման համակարգը անհրաժեշտ է՝ կանխելու սպառնալիքների կողային տարածումը և կանխելու արտադրական կայունության կատաստրոֆիկ ընդհատումը:

2. «Հիմնարար իմաստը» Անվտանգ կապի սկզբունքները

Ապահով կապման սկզբունքները ապահովում են ինժեներական ծրագիր՝ հասնելու  թվայնացման վերափոխում առանց արտադրական ավարտի ռիսկի: Այս համակարգը չի պահանջում բացարձակ ապակապում, այլ ուղղորդում է, թե ինչպես պետք է կառուցվեն կապերը՝ ռիսկը նվազագույնի հասցնելու համար:

Ռիսկերի վրա հիմնված հավասարակշռություն. Իրականացնել ապացույցների վրա հիմնված սպառնալիքների մոդելավորում, սարքերի միջև կախվածությունների քարտեզագրում և տեղադրել բաժանված վստահելի գոտիներ վատ պահպանվող հին սարքավորումների շուրջ։

Արտահայտվածության նվազեցում. Փոքրացնել ինտերնետային սկանավորման ենթակա տեսանելի սահմանը՝ ապահովելով միայն ելքային կապ և կիրառելով «ճիշտ ժամանակին» (JIT) մուտքի մոդելներ։

Մուտքի արահետների ստանդարտացում. Հեռացնել անկանոն հեռակառավարվող դեսկտոպի կարգավորումները և դրանց փոխարեն օգտագործել միասնական, կենտրոնացված և հիմնավորված մուտքի արահետներ։

Պրոտոկոլների ամրապնդում. Անցում կատարել բաց տեքստով կապից դեպի հաստատված և գաղտնագրված պրոտոկոլներ, ինչպես նաև օգտագործել խորը փաթեթների ստուգում՝ արգելափակելու վնասակար բեռնվածքները։

Գործնական իրականացումներ  արդյունաբերական միջավայրերում

Սցենար A. Ապահովված հեռակառավարվող մատակարարների սպասարկում

Սովորաբար սարքավորումները պահանջում են, որ երրորդ կողմի սկզբնական սարքավորումների արտադրողները (OEM-ներ) վերացնեն մասնագիտացված սարքավորումների խնդիրները: Ավանդական «մշտական միացված» վիրտուալ մասնավոր ցանցերը (VPN-ներ) ստեղծում են ծանր վտանգավոր իրավիճակ. մեկ գողացված հավաստագիր թույլ է տալիս հարձակվողին կողային տեղաշարժ իրականացնել ամբողջ արտադրամասում:

Կիրառելով վտանգի նվազեցում և մուտքի ստանդարտացում, սարքավորումը ամբողջությամբ վերացնում է ուղիղ ներմուտքային պորտերի մարշրուտավորումը: Արտաքին միացումները կատարվում են անվտանգ դարպասի միջոցով, որը տեղակայված է առանձնացված արդյունաբերական դեմիլիտարիզացված գոտում (iDMZ): Անձնակազմը ժամանակավոր մուտք է ստանում միայն JIT կանոնների համաձայն՝ ֆիշինգի դեմ դիմացող բազմագործոն հաստատման (MFA) միջոցով: Միացումից հետո ծրագրային սահմանված մուտքի վերահսկման ցուցակները (ACL-ները) սահմանափակում են տեսանելիությունը միայն նպատակային սարքավորման համար, իսկ անընդհատ նստավայրի մատյանագրումը անմիջապես նշում է անսպասելի վարքագիծը:

Սցենար B. Հնացած արդյունաբերական կառավարման սարքավորումների ամրապնդում

Դիտարկեք 15 տարեկան ծրագրավորելի տրամաբանական կառավարիչ (PLC) կողմից կառավարվող կրիտիկական արտադրական գիծ: Սարքը ճիշտ է աշխատում, սակայն նրա ֆիրմային ծրագրային ապահովումը պարունակում է չվերացվող թույլատրելի թերություններ:

Այս ակտիվը ա izոլացնելու համար՝ առանց թանկարժեք սարքավորումների փոխարինման, գործարանը իրականացնում է ցանցի միկրո-սեգմենտավորում: Հնացած PLC-ն տեղակայվում է հատուկ ապահովված ցանցային գոտում՝ սահմանափակված սարքային ֆայրվոլով: Նվազագույն մատակարարման սկզբունքի կիրառմամբ ցանցային ACL-ները սահմանափակում են PLC-ի հաղորդակցությունը միայն նրա նշանակված մարդ-մեքենայական ինտերֆեյսի (HMI) հետ: Անընդհատ անոմալիաների հայտնաբերման ծրագրային ապահովումը մշտադիտարկում է այս ապահովված գոտին: Այս պատճառով, եթե կորպորատիվ IT աշխատաստայնը վարակվում է վնասակար ծրագրային ապահովմամբ, վարակը մնում է տրամաբանորեն սահմանափակված և չի հասնում հիմնական արտադրական գծին:

Եզրակացություն

Արդյունաբերական թվայնացումը տալիս է մեծ մրցակցային առավելություններ, սակայն ներմուծում է ծանրաբեռնված անվտանգության փոխզիջումներ: Այդ Անվտանգ կապի սկզբունքները oT-ի համար նախատեսված լուծումները կամրջում են այս բաժանումը՝ առաջարկելով պրակտիկ ռազմավարություն ժամանակակից նորարարությունների ձեռքբերման համար՝ առանց ֆիզիկական անվտանգության զիջումների:

Այս բազմաշերտ պաշտպանության կիրառման համար անհրաժեշտ են մասնագիտացված գործիքներ: Ընդլայնված ծրագրային ապահովման հավաքածուներ, օրինակ՝ SecureOT ճարտարապետության պորտֆոլիոն, օգնում են կազմակերպություններին՝ ապահովելով խորը ակտիվների տեսանելիություն մինչև սարքի մակարդակ, պարզեցնելով ցանցի ամրապնդումը և ավտոմատացնելով միկրո-սեգմենտավորումը: Այս սկզբունքների ներդրումը հիմնական ավտոմատացման պրակտիկաների մեջ ապահովում է, որ կրիտիկական ֆիզիկական գործընթացները պաշտպանված մնան փոփոխական գլոբալ սպառնալիքների միջավայրից:

ՀՏՀ. ՕՏ-ում անվտանգ կապի սկզբունքներ

1. Ի՞նչ են ՕՏ-ի համար անվտանգ կապի սկզբունքները

Դա ուղղորդումներ են, որոնք մշակվել են արդյունաբերական համակարգերը ապահովելու համար՝ կառուցելով կապի կառուցվածքը, նվազեցնելով այն արտաքին սպառնալիքների նկատմամբ ենթադրվող ազդեցությունը և ապահովելով անվտանգ IT-ՕՏ ինտեգրում՝ առանց ամբողջական «օդային միջավայրի» (air-gapping) վստահելու:

2. Ինչու՞ է ավանդական «օդային միջավայրը» այլևս բավարար չէ

Քանի որ ժամանակակից Industry 4.0 համակարգերը իրական ժամանակում տվյալների և հեռացված մուտքի համար պահանջում են IT-ՕՏ ինտեգրում, ինչը ամբողջական ապամիացումը դարձնում է անգործնական և ավելի ու ավելի հաճախ արտա bypass են անում:

3. Անվտանգ ՕՏ կապի հիմնական ռիսկը ի՞նչն է

Կիբերատակումները կարող են տեղափոխվել IT-ից OT համակարգեր, ինչը հնարավոր է ֆիզիկական գործընթացների խափանման, սարքավորումների վնասման կամ անվտանգության համար կրիտիկական նշանակություն ունեցող ենթակառուցվածքի վրա ազդելու հնարավորություն տալ։

4. Ինչպես է Just-In-Time (JIT) մուտքը բարելավում OT անվտանգությունը։

JIT մուտքը տրամադրում է ժամանակավոր և սահմանափակ թույլտվություններ միայն այն դեպքում, երբ դրանք անհրաժեշտ են, ինչը նվազեցնում է մշտական կամ գողացված հավաստագրերի օգտագործման ռիսկը հարձակվողների կողմից։

5. Ինչպես կարելի է ապահովել հնացած OT սարքավորումները՝ առանց դրանց փոխարինման։

Համակարգի ցանցային սեգմենտավորման, ֆայրվոլների և խիստ մուտքի վերահսկման միջոցով՝ հնացած սարքերը ապահովելով և սահմանափակելով դրանց հաղորդակցությունը միայն անհրաժեշտ համակարգերի հետ։

Աղբյուրներ՝

https://www.rockwellautomation.com/en-us/company/news/blogs/secure-connectivity-principles-for-operational-technology.html

(Եթե կա հեղինակային իրավունքի խախտում, խնդրում ենք կապվել ինձ հետ՝ այս հոդվածը հեռացնելու համար։)