Защита критической инфраструктуры

Поскольку отдельные устройства и протоколы OT часто не могут защитить себя, безопасность критической инфраструктуры обеспечивается прежде всего за счёт архитектуры: разделения сетей на зоны, определения разрешённых взаимодействий и мониторинга всей среды.

В этом уроке на основе изученных компонентов и протоколов создаётся многоуровневая защита, опирающаяся на модель Purdue.

Эталонная архитектура предприятия Purdue организует ICS по уровням, разделяя бизнес-среду IT и управление процессами.

• Уровень 0 — датчики и исполнительные механизмы
• Уровень 1 — PLC, RTU и контроллеры
• Уровень 2 — SCADA, HMI и диспетчерское управление
• Уровень 3 — эксплуатация объекта, архивы данных и EWS
• Уровни 4–5 — корпоративная IT-среда и бизнес-сети

Ценность модели в том, что она определяет чёткие границы, на которых необходимо контролировать трафик.

Наиболее важная граница проходит между IT (уровни 4–5) и OT (уровни 0–3). Между ними размещается выделенная промышленная DMZ (уровень 3.5), поэтому две сети никогда не взаимодействуют напрямую.

• В DMZ размещаются брокеры данных и реплицированные архивы данных
• Данные OT передаются наружу, в IT, через контролируемые промежуточные системы
• Прямой путь отсутствует, поэтому компрометация IT (например, программой-вымогателем) не может достичь контроллеров

Это единственное архитектурное решение блокирует наиболее распространённый путь распространения атаки.

Помимо разделения IT и OT, разделите саму OT на зоны, соединённые контролируемыми каналами связи, как рекомендует стандарт IEC 62443.

• Группируйте активы по функциям и критичности, объединяя их в зоны
• Разрешайте между зонами через каналы связи только необходимый трафик
• Локализуйте вторжение в одной зоне, не допуская его распространения на весь объект

Компрометация одного производственного участка или линии не должна позволять достичь другого участка или линии.

Обычные межсетевые экраны фильтруют трафик по IP-адресам и портам; OT нужны межсетевые экраны, понимающие промышленные протоколы и способные проверять соответствие трафика допустимым действиям.

Система противоаварийной защиты заслуживает наиболее строгой изоляции. Её задача — перевести процесс в безопасное состояние, и злоумышленник, получивший к ней доступ, может вывести из строя последнюю линию защиты.

• Размещайте SIS в отдельной изолированной сети, отделённой от системы управления
• Строго ограничивайте доступ EWS к контроллерам безопасности
• Отслеживайте любые несанкционированные попытки чтения или изменения логики безопасности

Одна из широко известных атак была направлена именно на SIS; целостность этой системы должна быть безусловным приоритетом.

Удалённый доступ для поставщиков и инженеров часто становится путём проникновения. Замените непосредственные VPN-подключения к OT на доступ через посредника под контролем мониторинга.

• Не предоставляйте прямой доступ из интернета к системам OT и не выставляйте RDP в интернет
• Направляйте подключения через переходный узел в DMZ с MFA
• Предоставляйте сеансы по запросу, на ограниченное время и с минимально необходимыми привилегиями
• Записывайте сеансы для аудита

Удалённое техническое обслуживание поставщика следует включать по запросу и отключать после завершения работ, а не оставлять постоянно включённым.

Невозможно защитить то, что не видно, а активно сканировать хрупкую OT не следует. Используйте пассивные методы.

• Создайте и поддерживайте полный реестр активов на основе наблюдаемого трафика
• Сформируйте эталон обычных коммуникаций, а затем настраивайте оповещения об отклонениях
• Выявляйте новые устройства, неожиданные операции записи и неавторизованные узлы
• Передавайте оповещения OT в SOC, понимающий контекст процесса

Пассивные датчики на границах зон обеспечивают видимость, не нарушая работу объекта.

Изоляция от внешней сети не означает безопасности. Несколько крупных инцидентов в ICS преодолели этот барьер через накопители USB и скомпрометированное оборудование поставщиков.

• Контролируйте и проверяйте съёмные носители в специально предназначенных киосках
• Проверяйте ноутбуки поставщиков до их подключения
• Проверяйте прошивки и происхождение обновлений контроллеров
• Относитесь к цепочке поставок OT с такой же строгостью, как в предыдущих курсах

Человеческие и физические точки проникновения часто важнее сетевого периметра.

Планируйте реагирование с учётом особенностей OT, поскольку остановка процесса сама по себе может быть опасной.

• Создайте специальный для OT план действий вместе с инженерами по процессам
• Определите безопасный ручной резервный режим работы процесса на случай отказа управления
• Храните автономные резервные копии логики PLC и конфигураций
• Отрабатывайте действия вместе с операторами, чтобы во время реагирования сохранялась безопасность

Устойчивость — способность продолжать работу или безопасно завершать её — так же важна, как предотвращение.

Системы управления превращают эти практики в программу, которую можно проверять.

• IEC 62443 — основной стандарт безопасности промышленной автоматизации (зоны, каналы связи, уровни безопасности)
• NIST SP 800-82 — рекомендации по защите OT
• Отраслевые нормативные требования для энергетики, водоснабжения и трубопроводов

Объедините архитектуру (Purdue, DMZ, сегментацию), мониторинг, контроль доступа и реагирование в программу с постоянной оценкой, а не в разовый проект.

Примените архитектурный подход, чтобы остановить распространённый путь атаки.

Вы создали многоуровневую защиту сред OT.

• Модель Purdue определяет уровни и границы, которые необходимо контролировать
• Промышленная DMZ не допускает прямого трафика между IT и OT; зоны и каналы связи (IEC 62443) локализуют вторжения
• Межсетевые экраны с поддержкой протоколов обеспечивают соблюдение разрешённых команд; SIS остаётся изолированной
• Удалённый доступ через посредника, пассивный мониторинг и контроль съёмных носителей закрывают ключевые пути проникновения
• Планируйте учитывающие особенности OT реагирование и устойчивость, руководствуясь IEC 62443 и NIST 800-82

Курс завершён: вы умеете анализировать и защищать промышленные системы управления.