Mengamankan Infrastruktur Kritis

Karena perangkat OT dan protokol individual sering tidak dapat melindungi diri, keamanan infrastruktur penting terutama dicapai melalui arsitektur: cara jaringan dibagi menjadi zona, apa yang diizinkan berkomunikasi dengan apa, dan cara seluruh lingkungan dipantau.

Pelajaran ini membangun pertahanan berlapis di sekitar komponen dan protokol yang telah Anda pelajari, dengan model Purdue sebagai landasannya.

Arsitektur Referensi Perusahaan Purdue mengatur ICS ke dalam tingkat berlapis, memisahkan IT bisnis dari kendali proses.

• Tingkat 0 — sensor dan aktuator
• Tingkat 1 — PLC, unit terminal jarak jauh, pengendali
• Tingkat 2 — SCADA, HMI, kendali pengawasan
• Tingkat 3 — operasi lokasi, pencatat riwayat, EWS
• Tingkat 4-5 — IT perusahaan dan jaringan bisnis

Nilai model ini terletak pada penetapan batas yang jelas tempat lalu lintas harus dikendalikan.

Batas terpenting berada antara IT (Tingkat 4-5) dan OT (Tingkat 0-3). Sebuah DMZ industri (Tingkat 3.5) khusus berada di antaranya sehingga kedua jaringan tidak pernah berkomunikasi secara langsung.

• Perantara data dan pencatat riwayat yang direplikasi berada di DMZ
• Data OT mengalir keluar ke IT melalui perantara yang dikendalikan
• Tidak ada jalur langsung yang memungkinkan kompromi dari IT (misalnya, serangan pemerasan) mencapai pengendali

Keputusan arsitektur tunggal ini memblokir jalur penyebaran lintas jaringan yang paling umum.

Selain memisahkan IT/OT, bagi OT sendiri menjadi zona yang dihubungkan oleh saluran terkendali, sebagaimana dipromosikan standar IEC 62443.

• Kelompokkan aset berdasarkan fungsi dan tingkat kekritisan ke dalam zona
• Izinkan hanya lalu lintas yang diperlukan melintasi saluran antar-zona
• Batasi penyusupan pada satu zona, bukan seluruh pabrik

Kompromi pada satu sel atau lini seharusnya tidak dapat menjangkau sel atau lini lainnya.

Tembok api standar menyaring berdasarkan IP dan porta; OT memerlukan tembok api yang memahami protokol industri dan dapat menegakkan aturan sesuai tujuan komunikasi.

Sistem Instrumentasi Keselamatan memerlukan isolasi terkuat. Tugasnya adalah membawa proses ke kondisi aman, dan penyerang yang berhasil menjangkaunya dapat menonaktifkan garis pertahanan terakhir itu.

• Pertahankan SIS pada jaringan yang terpisah dan terisolasi dari sistem kendali
• Batasi akses EWS ke pengendali keselamatan secara ketat
• Pantau setiap upaya tidak sah untuk membaca atau mengubah logika keselamatan

Sebuah serangan yang menjadi tonggak sejarah secara khusus menargetkan SIS; perlakukan integritasnya sebagai hal yang tidak dapat ditawar.

Akses jarak jauh untuk pemasok dan teknisi merupakan jalur penyusupan yang sering digunakan. Ganti koneksi jaringan privat virtual tanpa segmentasi langsung ke OT dengan akses yang dimediasi dan dipantau.

• Jangan mengekspos sistem OT secara langsung ke internet atau RDP
• Rutekan melalui komputer perantara di DMZ dengan MFA
• Berikan sesi sesuai kebutuhan, terbatas waktu, dan dengan hak akses minimum
• Catat sesi untuk keperluan pemeriksaan

Pemeliharaan jarak jauh oleh pemasok harus diaktifkan saat diperlukan dan dinonaktifkan setelahnya, bukan dibiarkan selalu aktif.

Anda tidak dapat melindungi sesuatu yang tidak dapat Anda lihat, dan sebaiknya tidak memindai OT yang rentan secara aktif. Gunakan teknik pasif.

• Bangun dan pelihara inventaris aset lengkap dari lalu lintas yang diamati
• Tetapkan tolok ukur komunikasi normal, lalu beri peringatan atas penyimpangan
• Deteksi perangkat baru, penulisan yang tidak terduga, atau komputer yang tidak berwenang
• Salurkan peringatan OT ke SOC yang memahami konteks proses

Sensor pasif di batas zona memberikan visibilitas tanpa mengganggu operasi.

Terisolasi secara fisik tidak berarti aman. Beberapa insiden ICS besar menembus isolasi tersebut melalui perangkat penyimpanan USB dan peralatan pemasok yang telah disusupi.

• Kendalikan dan pindai media yang dapat dilepas di kios khusus
• Periksa secara menyeluruh komputer jinjing milik pemasok sebelum menghubungkannya
• Verifikasi perangkat tegar serta asal-usul pembaruan untuk pengendali
• Tangani rantai pasokan OT dengan ketelitian seperti pada kursus sebelumnya

Titik masuk manusia dan fisik sering kali lebih penting daripada perimeter jaringan.

Rencanakan respons dengan mempertimbangkan kenyataan OT, karena mematikan proses itu sendiri dapat berbahaya.

• Susun panduan operasional khusus OT bersama teknisi proses
• Tentukan pengoperasian manual cadangan yang aman untuk menjalankan proses jika sistem kendali gagal
• Simpan salinan cadangan yang tidak terhubung dari logika PLC dan konfigurasi
• Latih bersama tim operasi agar keselamatan terjaga selama respons

Ketahanan, yaitu kemampuan untuk tetap berjalan atau gagal dengan aman, sama pentingnya dengan pencegahan.

Kerangka kerja mengubah praktik ini menjadi program yang dapat diaudit.

• IEC 62443 — standar inti untuk keamanan otomasi industri (zona, saluran, tingkat keamanan)
• NIST SP 800-82 — panduan untuk mengamankan OT
• Peraturan sektoral untuk energi, air, dan jaringan pipa

Gabungkan arsitektur (Purdue, DMZ, segmentasi), pemantauan, kontrol akses, dan respons menjadi program yang dinilai secara berkelanjutan, bukan proyek sekali jadi.

Anda telah menyusun pertahanan berlapis untuk lingkungan OT.

• Model Purdue menentukan tingkat dan batas yang harus dikendalikan
• DMZ industri mencegah lalu lintas langsung dari IT ke OT; zona dan saluran (IEC 62443) membatasi penyusupan
• Tembok api yang memahami protokol menegakkan perintah yang diizinkan; SIS tetap terisolasi
• Akses jarak jauh yang dimediasi, pemantauan pasif, dan pengendalian media yang dapat dilepas menutup jalur-jalur penting
• Rencanakan respons dan ketahanan yang memahami OT, berpedoman pada IEC 62443 dan NIST 800-82

Kursus selesai: Anda kini dapat menganalisis dan melindungi sistem kendali industri.