Zabezpieczanie infrastruktury krytycznej

Ponieważ pojedyncze urządzenia i protokoły OT często nie potrafią same się bronić, bezpieczeństwo infrastruktury krytycznej osiąga się przede wszystkim dzięki architekturze: sposobowi podziału sieci na strefy, określeniu, które systemy mogą się ze sobą komunikować, oraz monitorowaniu całego środowiska.

Ta lekcja przedstawia warstwową obronę opartą na poznanych komponentach i protokołach, której podstawą jest model Purdue.

Purdue Enterprise Reference Architecture dzieli systemy ICS na warstwowe poziomy, oddzielając biznesowe IT od sterowania procesem.

• Poziom 0 — czujniki i elementy wykonawcze
• Poziom 1 — PLC, RTU i kontrolery
• Poziom 2 — SCADA, HMI i sterowanie nadrzędne
• Poziom 3 — operacje zakładowe, systemy archiwizacji danych i EWS
• Poziomy 4–5 — firmowe IT i sieci biznesowe

Wartość modelu polega na wyznaczaniu jasnych granic, w których ruch musi być kontrolowany.

Najważniejsza granica przebiega między IT (poziomy 4–5) a OT (poziomy 0–3). Pomiędzy nimi znajduje się dedykowana przemysłowa strefa DMZ (poziom 3.5), dzięki czemu obie sieci nigdy nie komunikują się bezpośrednio.

• W strefie DMZ znajdują się brokerzy danych i replikowane systemy archiwizacji danych
• Dane OT przepływają na zewnątrz, do IT, przez kontrolowane systemy pośredniczące
• Brak bezpośredniej ścieżki, którą naruszenie IT (np. ransomware) mogłoby dotrzeć do kontrolerów

Ta pojedyncza decyzja architektoniczna blokuje najczęstszą drogę przeniknięcia ataku.

Oprócz oddzielenia IT od OT należy podzielić samo OT na strefy połączone kontrolowanymi kanałami komunikacyjnymi — jest to model promowany przez standard IEC 62443.

• Grupować zasoby w strefy według funkcji i krytyczności
• Zezwalać wyłącznie na wymagany ruch przez kanały komunikacyjne między strefami
• Ograniczać skutki włamania do jednej strefy, zamiast dopuścić do przejęcia całego zakładu

Naruszenie zabezpieczeń jednej celi lub linii nie powinno umożliwiać dotarcia do innej.

Standardowe zapory filtrują ruch na podstawie adresu IP i portu; OT potrzebuje zapór rozumiejących protokoły przemysłowe i potrafiących wymuszać dozwolone działania.

System instrumentacji bezpieczeństwa wymaga najsilniejszej izolacji. Jego zadaniem jest doprowadzenie procesu do bezpiecznego stanu, a atakujący, który uzyska do niego dostęp, może wyłączyć ostatnią linię obrony.

• Utrzymywać SIS w oddzielnej, izolowanej sieci, niezależnej od systemu sterowania
• Ściśle ograniczać dostęp stacji EWS do kontrolerów bezpieczeństwa
• Monitorować wszelkie nieuprawnione próby odczytu lub modyfikacji logiki bezpieczeństwa

Jeden ze znanych ataków był wymierzony konkretnie w SIS; integralność tego systemu należy traktować jako bezdyskusyjną.

Zdalny dostęp dostawców i inżynierów jest częstą drogą włamań. Zamiast płaskich sieci VPN do OT należy stosować dostęp zarządzany przez pośrednika i monitorowany.

• Nie wystawiać systemów OT bezpośrednio do Internetu ani nie udostępniać ich przez RDP
• Kierować ruch przez host przesiadkowy w strefie DMZ, z MFA
• Przyznawać sesje na żądanie, ograniczone czasowo i zgodne z zasadą najmniejszych uprawnień
• Rejestrować sesje na potrzeby audytu

Zdalne prace serwisowe dostawcy należy włączać na żądanie i wyłączać po ich zakończeniu, a nie pozostawiać ich stale aktywnych.

Nie można chronić tego, czego nie można zobaczyć, a delikatnych systemów OT nie należy aktywnie skanować. Należy używać technik pasywnych.

• Tworzyć i aktualizować kompletną inwentaryzację zasobów na podstawie zaobserwowanego ruchu
• Tworzyć profil bazowy normalnej komunikacji, a następnie generować alerty dotyczące odchyleń
• Wykrywać nowe urządzenia, nieoczekiwane zapisy lub nieuprawnione hosty
• Przekazywać alerty OT do SOC, który rozumie kontekst procesu

Pasywne czujniki na granicach stref zapewniają widoczność bez zakłócania działania.

Fizyczna izolacja sieci nie oznacza bezpieczeństwa. Kilka poważnych incydentów ICS przedostało się przez tę izolację za pomocą pamięci USB i przejętego sprzętu dostawców.

• Kontrolować i skanować nośniki wymienne w przeznaczonych do tego kioskach
• Weryfikować laptopy dostawców przed ich podłączeniem
• Weryfikować oprogramowanie układowe oraz pochodzenie aktualizacji kontrolerów
• Traktować łańcuch dostaw OT z taką samą dbałością jak we wcześniejszych kursach

Ludzkie i fizyczne punkty wejścia często mają większe znaczenie niż granica sieci.

Planując reagowanie, należy uwzględnić realia OT, ponieważ samo zatrzymanie procesu może być niebezpieczne.

• Tworzyć przeznaczony dla OT plan działania wspólnie z inżynierami procesu
• Definiować bezpieczny ręczny tryb awaryjny umożliwiający prowadzenie procesu w przypadku awarii sterowania
• Przechowywać kopie zapasowe offline logiki PLC i konfiguracji
• Ćwiczyć procedury z zespołem operacyjnym, aby podczas reagowania zachować bezpieczeństwo

Odporność — zdolność do dalszego działania lub bezpiecznego zatrzymania — jest równie ważna jak zapobieganie.

Ramy postępowania przekształcają te praktyki w program możliwy do audytowania.

• IEC 62443 — podstawowy standard bezpieczeństwa automatyki przemysłowej (strefy, kanały komunikacyjne, poziomy bezpieczeństwa)
• NIST SP 800-82 — wytyczne dotyczące zabezpieczania OT
• Regulacje branżowe dotyczące energetyki, gospodarki wodnej i rurociągów

Należy połączyć architekturę (Purdue, DMZ, segmentację), monitorowanie, kontrolę dostępu i reagowanie w stale oceniany program, a nie jednorazowy projekt.

Zastosuj architekturę, aby zatrzymać typową ścieżkę ataku.

Zbudowali Państwo warstwową obronę środowisk OT.

• Model Purdue definiuje poziomy i granice, które należy kontrolować
• Przemysłowa strefa DMZ uniemożliwia bezpośredni ruch z IT do OT; strefy i kanały komunikacyjne (IEC 62443) ograniczają zasięg włamań
• Zapory sieciowe świadome protokołu wymuszają dozwolone polecenia; SIS pozostaje odizolowany
• Zdalny dostęp przez pośrednika, pasywne monitorowanie i kontrola nośników wymiennych zamykają kluczowe drogi ataku
• Należy planować uwzględniające OT reagowanie i odporność, kierując się standardami IEC 62443 i NIST 800-82

Kurs ukończony: potrafią Państwo analizować i chronić systemy sterowania przemysłowego.