Selles artiklis uurime edusamme, mida tööstussektor võtab oma võrkudes põhjaliku kaitse põhimõtte rakendamiseks.

See põhimõte viitab kriitiliste seadmete kaitsmise eelistele, asetades need mitme kaitsekihi taha, pakkudes mitmeid võimalusi ründe tuvastamiseks või peatamiseks enne, kui see mõjutab süsteemi kriitilisi elemente.

Peamine tööriist selleks on võrgu segmenteerimine või arenenumatel juhtudel mikrosegmenteerimine. Segmenteerimine hõlmab tehnikate ja seadmete kogumit, mida kasutatakse ühe võrgu eraldamiseks mitmeks segmendiks (tsooniks), mis suhtlevad ainult tuvastatud ja kaitstud kanalite (kanalite) kaudu.

Segmenteerimine aitab vähendada iga tsooni rünnatavat perimeetrit, kuna sissetulev ja väljaminev side piirdub kaitstud perimeetripunktidega. Võrguliikluse üle suurema kontrolli abil on võimalik luua keerukamaid arhitektuure, kasutades järgmist:

• Vertikaalne segmenteerimine: Erinevate privileegtasemetega tsoonide eraldamine. Tavaliselt luuakse ülemine tsoon üldisema juurdepääsuga kasutajatele või välisühendustele ja alumine tsoon, millel on piiratum juurdepääs.
• Horisontaalne segmenteerimine: tsoonide eraldamine, millel on sama õigustase, kuid erinevad juurdepääsutasemed, üldiselt eraldades tsoonid funktsioonide järgi.

Need ehitusplokid loovad populaarseks muutunud turvalised tööstusvõrgu arhitektuurid ja uued mudelid võetakse kasutusele arenenumates süsteemides.

Tööstuse segmenteerimise põhimudel #

Praegu on tööstusvõrgud suuruse, sektori ja riigi lõikes märkimisväärselt erinevad. Kui aga küberjulgeolekut on nende kavandamisel kas algselt või tagasiulatuvalt arvesse võetud, on suundumus homogeensele mudelile koos vajalike muudatustega, et need vastaksid konkreetsetele vajadustele.

Selle üldise kihilise turvamudeli võib kokku võtta kui meetmete seeriat, mis illustreerivad süvakaitse põhimõtet:

1. Tööstusvõrk eraldatakse ettevõtte võrgust, et vähendada tarbetut liiklust ja juurdepääsu tööstusvõrgule. Eraldamise aste varieerub sõltuvalt võrgust ja turvameetmete küpsusest.
2. Tööstusvõrk asub ettevõtte võrgu all. Nii on tööstusvõrk kaitstud eelneva kihiga, millest väline ründaja peab selleni jõudmiseks läbima.
3. Kahe võrgu vahel on kasutusel vahepealne võrk, mida tavaliselt nimetatakse demilitariseeritud tsooniks (DMZ). DMZ toimib turvapiirina võrkude vahel, pakkudes ohutut asukohta abisüsteemidele ja haldades mõlema keskkonna vahelist liiklust.

See laialdaselt kasutatav mudel on tööstusliku segmenteerimise lähtepunkt. See on lihtne ja kohandatav erinevatele süsteemidele, pakkudes samas vastuvõetavat turvalisuse taset.

Kuid kaks peamist tegurit soodustavad keerukamate mudelite kasutuselevõttu arenenud või kriitilistes võrkudes:

• IIoT-seadmete, IT-tehnoloogiate või AI-tehnoloogiate kaasamine: need tööriistad võivad oluliselt suurendada tootlikkust või tõhusust, kuid võivad olla vastuolus traditsiooniliste mudelitega, kuna paljud nõuavad pidevat ühendust välisvõrkude, traadita võrkudega või juurdepääsu ettevõtte võrgust.
• Ohtude mahu ja keerukuse suurenemine: kui ründajad omandavad kogemusi tööstuskeskkonnaga, on rünnakud muutunud sagedasemaks ja kahjustavamaks. Kuigi üldmudel on kohandatav, võib see kiiresti muutuda ebaefektiivseks ja kulukaks, kui lisate täiendavaid turvameetmeid võrreldes baasarhitektuuri muudatusega.

Uute mudelite eesmärk on neid probleeme lahendada.

Kuidas mikrosegmenteerimist rakendada #

Mikrosegmenteerimine, mida tunnustatakse sellistes eeskirjades nagu IEC 62443, hõlmab tuntud segmenteerimismeetodite kasutamist (horisontaalne ja vertikaalne segmenteerimine), et luua klassikalises tööstusvõrgus iseseisvad tsoonid.

Tõhusaks mikrosegmenteerimiseks on oluline alustada potentsiaalsete tsoonide tuvastamisest tööstusvõrgus. Seda protsessi on kõige parem alustada võrguriski hindamisega: millised seadmed on tootmise jaoks kriitilised? Mis toob kaasa kõrgema riskitaseme? Kellel on tööks erivajadused? Nendele küsimustele vastamine aitab orgaaniliselt tuvastada sarnaste omadustega seadmerühmi.

Mikrosegmenteeritud võrkude ühiste tsoonide näited on järgmised:

Juhttsoonid: sisaldab olulisi seadmeid tootmisprotsessi juhtimiseks kõrgeima turvataseme ja piiratud juurdepääsuga. Võimaluse korral on soovitatav määratleda mitu sõltumatut juhtimistsooni. Näiteks tootmisettevõtte sõltumatute tootmisliinide juhtimissüsteemide eraldamine võib vältida intsidendi täielikku või osalist katkestamist.
Seiretsoonid: majaseadmed, mis koguvad tööstusprotsessi andmeid ilma juhtimisvõimalusteta. Selle kriitilisus sõltub käsitletavatest andmetest ja kavandatavatest adressaatidest. Tööstusprotsesside andmeid väljaspool võrku edastavate seadmete puhul on vaja erilist hoolt, kuna need toovad oma olemuselt kaasa konfidentsiaalsusriske ja potentsiaalseid sissetungivektoreid.
Ohutustsoonid: peremeesorganismi kaitse- ja intsidentide ennetamise seadmed. Need süsteemid toimivad tavaliselt välisvõrkudest isoleeritult, kuid nende kättesaadavus on kriitiline. Nende paigutamine üldisesse tööstusvõrku seab need tarbetutele riskidele, ilma et see pakuks tööeeliseid.
Vastavustsoonid: sõltub sektorist, suurusest ja ettevõtte kultuurist, jälgides sageli selliseid andmeid nagu heitmed, tootmise KPI-d, laoseisud, masina olek ja energiatarbimine. Need süsteemid nõuavad tavaliselt kõrget kättesaadavust ja sidet ettevõtte ja välisvõrkudega.
Täiendavad tsoonid:

• Andmemajutuse tsoonid: serverid, salvestusüksused ja andmebaasid, alates pidevalt juurde pääsetavatest tootmisandmetest kuni varukoopiate külmsalvestuseni.
• Abiteenindustsoonid: tavaliselt keskserverid tsoonideüleste teenuste jaoks, nagu meil, viirusetõrje, varade leidmine ja õiguste haldamine.
• Testimistsoonid: turvalised keskkonnad muudatuste kinnitamiseks enne nende rakendamist elukeskkondades.
• Liiastustsoonid: seadmete jaoks, mis tavaliselt tootmises ei osale, kuid pakuvad alternatiivseid toiminguid, kui esmased süsteemid on keelatud.

Nende tsoonide kombinatsioonid on peaaegu lõpmatud ja neid saab kohandada iga tööstuskeskkonna jaoks. Tsoon võib olla nii väike kui üksik isoleeritud seade või nii suur kui vaja, võimaldades kombinatsioone, näiteks konkreetse jälgimistsooni juurutamist juhttsoonis, et luua andmekanal ilma otse juhtimistsoonile juurde pääsemata.

Selliste arhitektuuride juurutamine traditsiooniliste tehnoloogiate abil muutub aga kiiresti ebapraktiliseks. Tsoonide arvu korrutamine suurendab ostmist, juurutamist ja hooldamist vajavate võrguseadmete ja piiride arvu. Seetõttu on oluline mõista tehnoloogiaid, mis seda täiustatud segmenteerimist toetavad.

Mikrosegmenteerimise tehnoloogiad #

Mikrosegmenteerimise toetamiseks on arenenud mitu võrgutehnoloogia perekonda, millest peamised näited on:

• OT tulemüürid: Tavaliselt paigaldatakse paljude ühenduste jaoks statiivile, hiljutised tulemüürimudelid on miniatuursed, et neid saaks paigaldada elektrikilpi, väikestesse ruumidesse või karmidesse tingimustesse. Need seadmed võimaldavad tavaliselt tsentraliseeritud haldust põhikonsoolilt, et juhtida iga juhtumi jaoks mitut piiripunkti üksikasjalike reeglitega.
• Hallatavad lülitid: Kuigi hallatavad kommutaatorid, mis on võimelised segmenteeritud võrke ja liiklust juhtima, on saadaval, on mikrosegmenteerimine ajendanud paindlikumate mudelite väljatöötamist suuruse, võimaluste ja turvafunktsioonide osas.
• EDR (lõpp-punkti tuvastamine ja reageerimine): sarnane OT tulemüüridele, kuid lisatud turvafunktsioonidega. EDR-id võivad sisaldada viirusetõrjet, valge nimekirja lisamist, DoS-kaitset ja IDS/HIDS-i võimalusi, pakkudes kõik-ühes lahendusi keskkondades, kus traditsioonilised turvameetmed on ebapraktilised.
• IoT lüüsid: Sarnaselt traditsioonilistele lüüsidele tsentraliseerivad ja levitavad need seadmed IIoT-protokolli liiklust, lihtsustades selle haldamist ja segmenteerimist. Tööstusliku disainiga mudelid lisavad sageli turvavõimalusi, nagu krüpteerimine, juurdepääsukontroll, koormuse tasakaalustamine ja kasutuselevõtt keerulistes tingimustes.

Nagu näha, on enamik uusi mikrosegmenteerimistehnoloogiaid praegu traditsiooniliseks segmenteerimiseks kasutatavate seadmete uuendatud versioonid, mis on loodud võrguhalduse lihtsustamiseks, kohanedes samal ajal tööstusvõrkude ainulaadsete vajadustega.

Järeldused #

Mikrosegmenteerimine muutub üha enam oluliseks vahendiks tööstusliku juhtimissüsteemi kaitsmisel erinevate tegurite tõttu:

• Uued tehnoloogiad hõlbustavad rakendamist.
• Võrguhaldus on lihtsam, kui see on algusest peale loodud põhjalike kaitsepõhimõtetega.
• Tööstusvõrkude seadmete ja tehnoloogiate mitmekesisus toob kaasa mitmeid ühenduvusvajadusi.
• Tööstussüsteemide suurem ühenduvus suurendab liiklust ja kasutajate haldamist.

Need tegurid muudavad mikrosegmenteerimise üha enam soovitatavaks igat tüüpi tööstusvõrkude jaoks. Kuid isegi väikesed või vähem arenenud võrgud võivad selle küberturvalisuse eelistest kasu saada, näiteks:

• Liikluse juhtimine haavatavatest või spetsiifilistest seadmetest sõltumatute tulemüüride taga.
• Pakkujatele ja välistele üksustele juurdepääsetavate seadmete eraldamine ülejäänud võrgust kahe sõltumatu juhtimisvõrguga.
• Turvavarustuse isoleerimine läbi õhuvahede.

Seetõttu on uute tööstusvõrkude kavandamisel või olemasolevates võrkudes muudatuste tegemisel või uute seadmete kasutuselevõtmisel soovitatav kaaluda mikrosegmenteerimise praktikate rakendamist.