Максимизирайте възможностите на вашите междинни устройства за сигурност: напреднали съвети за сигурност

Над стандартната конфигурация

Стандартните конфигурации на междинните устройства за сигурност съществуват по определена причина — те стартират системите бързо и с минимално усложнение. В същото време обаче те представляват само отправна точка, а не крайна цел. Наборите от стандартни правила, които се доставят заедно с повечето междинни устройства за сигурност, са проектирани да работят в широк спектър от среди. Те поставят предимство върху свързаността, а не върху сигурността, като позволяват широко използване, което улеснява първоначалното внедряване. Задържането им без промяна води до ненужно излагане.

Максимизирането на ефективността на междинната защита означава да се излезе от стандартните настройки. Означава да се разберат специфичните модели на трафика в защитената мрежа и да се адаптират съответно правилата. Означава да се прилага принципът за най-малките привилегии не само теоретично, а и практически — да се разрешава единствено това, което е изрично необходимо, и да се забранява всичко останало. Усилието, което се изисква, е скромно в сравнение с постигнатото подобряване на сигурността.

Поддръжка на чистотата на набора от правила: Премахване на натрупаното ненужно

Наборите от правила за междинна защита обикновено растат органично с течение на времето. Временно правило, добавено за посещение на доставчик, става постоянно. Тестово правило за ново приложение остава активно дълго след като приложението вече е пуснато в експлоатация. Натрупват се изключения, като всяко от тях добавя сложност и потенциален риск. Резултатът е набор от правила, който никой напълно не разбира и който съдържа далеч повече разрешения, отколкото е необходимо.

Редовните прегледи на наборите от правила решават този проблем. Процесът е прост: експортиране на текущия набор от правила, документиране на това какво всъщност прави всяко правило, проверка дали всяко правило все още е необходимо и премахване или усилване на всички ненужни правила. Първият преглед често води до най-голямото намаляване — много организации установяват, че 20–30 % от правилата им могат да бъдат премахнати или обединени. Последващите прегледи откриват по-малките натрупвания, преди те да станат значителни.

Регистриране на събития: Недоизползваният диагностичен инструмент

Дневниците на междинните прегради съдържат богат набор от информация, която остава неизползвана в много внедрявания. Всеки разрешен връзка, всеки блокиран опит и всяко съвпадение с правило генерират запис в дневника. Тези дневници документират нормалните модели на трафика, разкриват необичайна активност и предоставят доказателства, когато нещо се обърка. Въпреки това много организации третират регистрирането на събития като просто задължителен елемент за съответствие, а не като оперативен инструмент.

Ефективното управление на дневниците започва с разбиране на това какво се регистрира. Не всяко събитие изисква еднакво ниво на детайлизация. Регистрирането на всяка разрешена връзка в среда с висок трафик създава проблеми със съхранението. Регистрирането само на блокирани връзки и необичайни събития осигурява практически полезна информация без излишната тежест. Ключовият момент е подходящата конфигурация на нивата на регистриране — достатъчно подробни, за да бъдат полезни, но достатъчно избирателни, за да бъдат управляеми. Редовните прегледи на дневниците, дори и кратки, откриват проблеми, които автоматизираните предупреждения може да пропуснат.

Инспекция на промишлени протоколи: над правилата, базирани на портове

Стандартните правила за междинни филтри, които се основават на номера на портове, не осигуряват адекватна защита за промишлените мрежи. Злонамерен атакуващ може да изпрати вредоносни команди Modbus през порт 502 – стандартния порт за Modbus – и правилото, базирано на порт, ще ги пусне безпроблемно. Междинният филтър вижда правилния порт и разрешава трафика, без да проверява какво има в него.

Устройствата за междинни филтри в промишлени среди с инспекция, осведомена за протоколите, анализират съдържанието на съобщенията от промишлени протоколи. Те разбират структурата на заявките Modbus, набора от команди на Profinet и формата на данните в EtherNet/IP. Това разбиране им позволява да откриват аномалии – команда за запис Modbus към регистър само за четене, последователност от команди, която не съответства на нормалните работни шаблони, или съобщение, което надвишава разумните граници по размер. Тези аномалии често показват или неправилна конфигурация, или активна атака. Инспекцията, осведомена за протоколите, засича и двете.

Стандартът IEC 62443 изрично изисква този тип принудително ограничаване на потока от данни между зони. Правилата, базирани на портове, не отговарят на изискванията на стандарта. Инспекцията, осъзнаваща протокола, отговаря на тях. Организациите, подлежащи на изисквания за съответствие, трябва да проверят дали устройствата им за междинна защита поддържат тази възможност и дали е правилно конфигурирана.

Резервно захранване и превключване при отказ: Планиране за неизбежното

Устройствата за междинна защита рано или късно ще излязат от строя. Енергийните блокове се износват. Фирмуерните актуализации могат да се провалят. Грешките в конфигурацията могат да блокират достъпа на администраторите. Въпросът не е дали ще настъпи отказ — а дали мрежата ще остане защитена, когато това стане.

Конфигурациите с висока наличност решават този проблем чрез двойки междинни устройства (firewall), настроени в активно-пасивен или активно-активен режим. При активно-пасивна конфигурация едното устройство обработва целия трафик, докато второто стои в резерв. Ако активното устройство излезе от строя, пасивното поема управлението с минимално прекъсване. При активно-активна конфигурация трафикът се разпределя между двете устройства, осигурявайки както балансиране на натоварването, така и резервиране.

Настройката изисква значителни усилия. Таблиците със състояния трябва да се синхронизират между устройствата, за да останат активните връзки непокътнати при превключване. Маршрутизирането трябва да отчита промяната на активното устройство. Тестването трябва да потвърди, че превключването работи както очаквано. Но усилията си струват, когато захранващият блок излезе от строя в 2:00 часа през нощта и производственият процес продължи без прекъсване.

Реален пример: Правилно осъществен достъп от разстояние

Водоснабдителна компания, обслужваща градска област среден мащаб, имала нужда от осигуряване на дистанционен достъп за доставчици на оборудване и поддръжни контрагенти. Първоначалното решение използвало VPN-устройство с широки правила за достъп – всеки аутентифициран потребител можел да достигне до всяко устройство в OT-мрежата. Тази конфигурация работела, но създавала значителен риск. Компрометирана сметка на доставчик би предоставила достъп до цялата система за управление.

Компанията преработила архитектурата за дистанционен достъп, като използвала мрежови филтри с фини контроли върху достъпа. Всеки доставчик получавал достъп само до конкретните системи, които трябвало да поддържа. Поддръжните контрагенти можели да достигнат само оборудването на обектите, които обслужвали. Мрежовият филтър налагал тези ограничения на ниво мрежа, допълвайки аутентикацията на VPN-а с правила за авторизация, които ограничавали това, което аутентифицираните потребители всъщност можели да правят. Новата конфигурация намалила значително повърхността за атака, без да добавя сложност за законните потребители.

Мониторинг и известяване, които наистина помагат

Файъруол устройствата генерират известия по определена причина – за да привлекат вниманието към събития, които изискват разследване. Но умората от известия е реална. Твърде много известия, особено с ниско качество, водят до пренебрегвани уведомления и пропуснати инциденти. Ефективното известяване изисква настройка: намаляване на фалшивите положителни резултати, подчертаване на критичните събития и осигуряване, че известията достигат правилните хора.

Започнете с класифициране на известията по тежест. Промените в конфигурацията, административните входове и критичните откази изискват незабавно внимание. Повтарящите се неуспешни входове от външни адреси заслужават разследване, но може би не и известяване в 2 часа през нощта. Възходът в трафика към необичайни дестинации се намира някъде по средата. Класификацията трябва да отразява толерантността на организацията към рисковете и операционните ѝ ограничения. Производствена операция, която работи 24/7, има различни изисквания към известяването в сравнение с офисна мрежа, която функционира само през деня.

Редовните сесии за преглед на предупрежденията, провеждани ежеседмично или ежемесечно, разкриват закономерности, които отделните предупреждения не показват. Редица предупреждения с ниска степен на сериозност от различни източници може заедно да показва координирана атака. Процесът на преглед също осигурява обратна връзка за настройка – предупрежденията, които постоянно се оказват нерелевантни, могат да бъдат подтискани или повторно конфигурирани.