Защо хардуерният междинен филтър е жизненоважен за индустриалните ИТ системи

Залозите са различни на производствената площадка

Индустриалните ИТ среди споделят някои прилики с традиционните корпоративни мрежи, но разликите имат по-голямо значение. Компрометиран сървър за електронна поща причинява главоболия. Компрометиран програмируем логически контролер може да спре производствена линия, да повреди оборудване или да създаде опасности за безопасността. Последствията се мащабират по различен начин. Това фундаментално различие определя необходимостта от подходи за сигурност, които вземат предвид уникалните характеристики на операционните технологии.

Апаратните междинни стени осигуряват степен на изолация, която софтуерните алтернативи трудно могат да постигнат. Те се намират между корпоративната мрежа и мрежата за промишлен контрол и налагат строги правила относно това кой трафик може да минава между двете. Тази сепарация не е само въпрос на предотвратяване на достъпа на злонамерени лица — тя също така има за цел да попречи на проблеми от бизнес-страната да повлияят върху производството. Неправилно конфигуриран DHCP сървър или буря от широковещателни съобщения в ИТ-мрежата не бива да доведе до спиране на производствена линия. Апаратните междинни стени помагат да се запази тази граница.

Защо промишлените протоколи изискват специализирано обработване

Стандартните междинни стени разбират TCP/IP. Те обработват HTTP, SMTP и обичайните корпоративни протоколи без проблеми. Но промишлените мрежи говорят различен език. Modbus, Profinet, EtherNet/IP, DNP3 и дузина други протоколи пренасят команди, които директно управляват физически процеси. Устройството на обща междина стена може изобщо да не разпознае тези протоколи, като ги третира като непознат трафик и ги блокира или ги пропуска без инспекция.

Междинните стени за промишлени цели с хардуерно изпълнение включват дълбока пакетна инспекция с познаване на протоколите. Те разбират структурата на съобщенията в промишлените протоколи и могат да идентифицират аномалии — дефектни заявки, команди в неправилен ред или трафик, чиито модели отклоняват от нормалната работа. Тази възможност е от значение, защото атаките срещу промишлени системи често експлоатират слабости в протоколите, а не уязвимости в мрежовия слой. Междинна стена, която не може да види приложния слой, не може да защити срещу тези заплахи.

Уравнението на производителността: Забавянето има значение

Корпоративните мрежи понасят забавяне в стотици милисекунди, без това да има забележимо въздействие. Индустриалните мрежи за управление често работят в много по-строги времеви рамки. Цикълът за управление на движение може да изисква актуализации на всеки няколко милисекунди. Системата за сигурност с функция за блокиране очаква отговори в предварително определен временен интервал. Ако се добави прекалено голямо забавяне в която и да е точка по пътя, системата ще се повреди.

Файъруолите за хардуер, проектирани за индустриална употреба, решават този проблем чрез няколко механизма. Те прехвърлят обработката на пакети към специализиран хардуер вместо да разчитат на централни процесори с общо предназначение. Те съхраняват таблиците на състоянията в бърза памет, а не на диск. Те прилагат правилата за инспекция достатъчно ефективно, за да избягнат въвеждането на измеримо забавяне. Резултатът е сигурност без компромиси за производителността. Софтуерните файъруоли, работещи на споделен хардуер, не винаги могат да дадат същата гаранция, особено при високо натоварване.

Сегментация като стратегия за сигурност

Стандартът IEC 62443 формализира това, което много специалисти по индустриална сигурност вече знаят: мрежите трябва да се разделят на зони, а трафикът между тези зони трябва да се контролира. Апаратните брандмауър устройства служат като точки за изпълнение на тези граници между зоните. Те осъществяват изискването за "ограничен поток от данни", което е в основата на сигурностната модел на стандарта.

Практическото сегментиране изглежда различно във всяко производствено помещение. Някои организации напълно отделят ИТ от ОТ, като апаратният брандмауър е единствената точка на свързване. Други създават допълнителни зони в рамките на ОТ-мрежата — например отделят системите за безопасност от системите за управление или изолират остаряло оборудване, което не може да бъде актуализирано. Апаратните брандмауър устройства на всяка граница прилагат правилата, регистрират трафика и блокират нарушенията. Този многослойен подход ограничава щетите, които може да причини всеки отделен компромис. Нападател, който проникне в ИТ-мрежата, все още среща допълнителни бариери, преди да достигне до критичните производствени системи.

Какво се случва, когато липсват междусетови филтри

Химическият завод в региона на брега на залива научи този урок по трудния начин. Обектът се е разширявал в продължение на десетилетия, като е добавял мрежови системи за управление, без съответните инвестиции в сигурността на мрежата. ИТ- и ОТ-мрежите всъщност представлявали една плоска мрежа. Когато рутинно софтуерно актуализиране на ИТ-сървър предизвика неочакван мрежов трафик, системата за управление изпита периодични проблеми с комуникацията. Нищо злонамерено — просто буря от широковещателни съобщения от приложение с неправилно поведение. Но производственото въздействие беше незабавно и скъпо.

Заводът прекарал няколко дни в проследяване на проблема, докато производството продължавало с намалена мощност. Окончателното решение включвало инсталирането на хардуерни устройства за междинен филтър между ИТ и ОТ мрежите, както и правилно сегментиране. Този случай подчертава един аспект, който лесно може да бъде пропуснат: сигурността не се свежда само до защита срещу атакуващи. Тя също така включва поддържане на оперативна стабилност пред лицето на рутинни ИТ дейности, които неволно могат да нарушат промишлените системи.

Практическата изгода от специализиран хардуер

Хардуерните устройства за междинен филтър предлагат предимства, които надхвърлят само аспекта на сигурността. Те осигуряват ясни административни граници. Мрежовите екипи знаят точно къде завършва ИТ мрежата и къде започва ОТ мрежата. Реагирането при инциденти става по-просто — регистрите от междинния филтър показват точно кой трафик е преминал през границата и кога. Аудитите за съответствие също се възползват от тази яснота.

Устройствата сами по себе си са проектирани за непрекъсната работа. Те нямат подвижни части, използват пасивно охлаждане и в много конфигурации включват резервни опции за захранване. Тези проектиране отразяват работната среда – индустриалните среди не са климатично контролирани серверни помещения. Температурните колебания, вибрациите и прахът са реалност. Хардуерът, проектиран за тези условия, има по-дълъг срок на експлоатация и по-рядко излиза от строя в сравнение с универсалното оборудване, използвано за сигурностни цели.