Różnice między bezpieczeństwem OT i IT

Bezpośrednie stosowanie praktyk bezpieczeństwa IT w OT często przynosi więcej szkody niż pożytku. Obie dziedziny mają inne cele, wykorzystują inne technologie i ulegają awariom w inny sposób. Osoba przechodząca z IT do OT musi oduczyć się kilku odruchowych działań.

W tej lekcji porównano priorytety, ograniczenia i zagrożenia, które sprawiają, że bezpieczeństwo OT jest odrębną dziedziną.

W IT priorytety triady CIA to kolejno poufność, integralność i dostępność. W OT kolejność ta jest w praktyce odwrócona.

• Dostępność przede wszystkim — proces musi działać; przestój może być niebezpieczny lub niezwykle kosztowny
• Integralność na drugim miejscu — odczyty i polecenia muszą być wiarygodne
• Poufność na końcu — wartości z czujników rzadko są tajne

Ponad tym wszystkim ma nadrzędne znaczenie kwestia, której IT nie uwzględnia w takim samym stopniu: bezpieczeństwo procesowe. Ochrona życia ludzkiego i środowiska ma pierwszeństwo przed wszystkim.

W OT zabezpieczenie, które mogłoby spowodować nieprzewidywalne zachowanie procesu, może być gorsze niż samo zagrożenie. Automatyczne działanie, które wyłączy turbinę lub zamknie zawór w niewłaściwym momencie, może doprowadzić do obrażeń.

• Zmiany w zakresie bezpieczeństwa nigdy nie mogą naruszać funkcji bezpieczeństwa procesowego
• Zmiany muszą zatwierdzać inżynierowie, a nie tylko pracownicy odpowiedzialni za bezpieczeństwo
• SIS musi pozostać niezależny i godny zaufania

Dlatego agresywne taktyki znane z IT, takie jak automatyczna izolacja, wymagają ostrożnego dostosowania do OT.

W IT szybkie instalowanie poprawek jest zasadą nadrzędną. W OT podlega ograniczeniom.

• Instalacja poprawek może wymagać zatrzymania zakładu, które planuje się z kilkumiesięcznym wyprzedzeniem
• Certyfikacja producenta może zabraniać instalowania niezatwierdzonych poprawek
• Nieudana poprawka może zatrzymać produkcję lub podważyć dokumentację bezpieczeństwa

Ponieważ instalowanie poprawek przebiega powoli, OT w większym stopniu opiera się na środkach kompensacyjnych: segmentacji, monitorowaniu i kontroli dostępu, które chronią systemy niemożliwe do szybkiej aktualizacji.

Urządzenia OT działają przez dziesięciolecia. Często spotyka się sterowniki i systemy operacyjne, które od dawna nie są już wspierane przez producenta, ale nadal działają na produkcji, ponieważ ich wymiana oznaczałaby przebudowę fizycznej linii.

• Niewspierane wersje systemów operacyjnych, dla których nie są dostępne poprawki
• Sprzęt, na którym nie można uruchomić nowoczesnych agentów bezpieczeństwa
• Protokoły zaprojektowane w czasach, gdy zakładano izolację sieci

Należy zabezpieczać to, co istnieje, a nie to, co chcieliby Państwo mieć.

Wiele protokołów przemysłowych powstało z myślą o zaufanych, fizycznie odizolowanych sieciach i dlatego domyślnie nie zapewnia uwierzytelniania ani szyfrowania. W takiej sieci każde urządzenie, które może dotrzeć do kontrolera, może wydawać mu polecenia.

• Polecenia są akceptowane bez potwierdzenia tożsamości nadawcy
• Ruch sieciowy jest często przesyłany jawnym tekstem i łatwo go sfałszować
• W starszych wersjach jest to założenie projektowe, a nie możliwy do naprawienia błąd

Ochronę zapewnia kontrolowanie, kto może uzyskać dostęp do sieci; temat ten omówiono później.

W IT skanowanie podatności jest rutynowym działaniem. W OT agresywne skanowanie może doprowadzić do awarii delikatnych urządzeń. Niektóre sterowniki PLC ulegają awarii lub zatrzymują się po odebraniu nieoczekiwanego ruchu, co w działającym procesie może być niebezpieczne.

• Należy preferować pasywne monitorowanie sieci zamiast aktywnego skanowania
• Każde aktywne narzędzie należy najpierw przetestować w laboratorium lub podczas okna serwisowego
• Przed ingerencją w sieci produkcyjne należy uzgodnić działania z zespołem operacyjnym

Najważniejsza zasada: w OT ocena zabezpieczeń nie może stać się incydentem.

Pętle sterowania działają przy rygorystycznych wymogach czasowych. Dodanie opóźnień lub fluktuacji opóźnienia może zdestabilizować proces.

• Urządzenia zabezpieczające umieszczone w ścieżce ruchu sieciowego nie mogą wprowadzać szkodliwego opóźnienia
• Ciężkie agenty mogą pozbawić zadania czasu rzeczywistego zasobów procesora
• Zmiany w sieci mogą zakłócić komunikację wymagającą ścisłego zachowania czasu

Zabezpieczenia muszą mieścić się w ramach determinizmu wymaganego przez proces, co często wyklucza rozwiązania trywialne w IT.

Najważniejsza różnica polega na tym, że incydenty OT mają fizyczne skutki w świecie rzeczywistym. Przejęty serwer IT może ujawnić dane, natomiast przejęty system OT może doprowadzić do przepełnienia zbiornika, uszkodzenia turbiny, skażenia wody lub zagrożenia dla pracowników.

Zwiększa to stawkę i zmienia ocenę ryzyka. Najgorszym możliwym skutkiem nie są wyłącznie straty finansowe lub reputacyjne — może nim być utrata życia. Modelowanie zagrożeń w OT musi uwzględniać wpływ fizyczny i wpływ na bezpieczeństwo procesowe, a nie tylko dane.

OT przyciąga inne grupy zagrożeń.

• Aktorzy państwowi dążący do strategicznego zakłócenia działania infrastruktury krytycznej
• Atakujący, których celem jest zakłócenie działania fizycznego, a nie kradzież danych
• Nawet nieukierunkowane oprogramowanie ransomware w IT może przeniknąć do OT i zatrzymać działanie zakładu

Ponieważ konsekwencje są poważne, a atakujący mogą dysponować dużymi zasobami, obrona OT kładzie nacisk na odporność i wykrywanie, a także na zapobieganie.

Celem nie jest rezygnacja z bezpieczeństwa IT, lecz jego dostosowanie.

• Należy przedkładać pasywne monitorowanie i segmentację nad inwazyjne skanowanie oraz szybkie instalowanie poprawek
• Należy stawiać bezpieczeństwo procesowe i dostępność przed poufnością
• W każdą decyzję dotyczącą bezpieczeństwa należy angażować inżynierów procesu
• W przypadku systemów, których nie można aktualizować, należy stosować środki kompensacyjne

To właśnie te zasady stanowią podstawę dalszych lekcji poświęconych protokołom i architekturze.

Zastosuj odwrócone priorytety do rzeczywistej decyzji.

Poznali Państwo powody, dla których bezpieczeństwo OT jest odrębną dziedziną.

• Priorytety są odwrócone: najpierw bezpieczeństwo procesowe i dostępność, a na końcu poufność
• Instalowanie poprawek podlega ograniczeniom; należy polegać na środkach kompensacyjnych
• Starszy sprzęt i protokoły niezabezpieczone z założenia są codziennością
• Aktywne skanowanie i inwazyjne agenty mogą uszkodzić delikatne urządzenia czasu rzeczywistego
• Incydenty mają fizyczne konsekwencje; w każdą decyzję należy angażować inżynierów procesu

Dalej: konkretne protokoły i ich słabości.