EN
Οι επιπτώσεις είναι διαφορετικές στη γραμμή παραγωγής
Οι βιομηχανικές περιβάλλοντα ΤΠ μοιράζονται ορισμένες ομοιότητες με τα παραδοσιακά επιχειρησιακά δίκτυα, αλλά οι διαφορές έχουν μεγαλύτερη σημασία. Ένας επηρεασμένος διακομιστής email δημιουργεί προβλήματα. Ένας επηρεασμένος προγραμματιζόμενος λογικός ελεγκτής (PLC) μπορεί να σταματήσει μια γραμμή παραγωγής, να προκαλέσει ζημιά σε εξοπλισμό ή να δημιουργήσει κινδύνους για την ασφάλεια. Οι συνέπειες κλιμακώνονται διαφορετικά. Αυτή η θεμελιώδης διάκριση καθορίζει την ανάγκη για προσεγγίσεις ασφάλειας που λαμβάνουν υπόψη τα μοναδικά χαρακτηριστικά της τεχνολογίας λειτουργίας (OT).
Τα υλικοτεχνικά συστήματα πυροτειχίσματος παρέχουν ένα επίπεδο απομόνωσης που τα λογισμικά εναλλακτικά δεν μπορούν να αντιστοιχήσουν. Τοποθετούνται μεταξύ του εταιρικού δικτύου και του δικτύου βιομηχανικού ελέγχου, επιβάλλοντας αυστηρούς κανόνες για το ποια κίνηση μπορεί να διέρχεται μεταξύ των δύο. Αυτός ο διαχωρισμός δεν αφορά απλώς την αποτροπή εισβολέων—αφορά επίσης την πρόληψη προβλημάτων από την επιχειρηματική πλευρά να επηρεάζουν την παραγωγή. Ένας λανθασμένα ρυθμισμένος διακομιστής DHCP ή μια καταιγίδα εκπομπής (broadcast storm) στο δίκτυο IT δεν πρέπει να προκαλεί τη διακοπή μιας γραμμής κατασκευής. Τα υλικοτεχνικά συστήματα πυροτειχίσματος βοηθούν στη διατήρηση αυτού του ορίου.
Γιατί οι βιομηχανικές πρωτοκόλλα απαιτούν ειδική μεταχείριση
Οι τυπικά εγκατεστημένοι τοίχοι προστασίας κατανοούν το πρωτόκολλο TCP/IP. Διαχειρίζονται χωρίς πρόβλημα τα πρωτόκολλα HTTP, SMTP και τα συνήθη επιχειρηματικά πρωτόκολλα. Ωστόσο, τα βιομηχανικά δίκτυα μιλούν διαφορετική γλώσσα: Modbus, Profinet, EtherNet/IP, DNP3 και δεκάδες άλλα πρωτόκολλα μεταφέρουν εντολές που ελέγχουν απευθείας φυσικές διαδικασίες. Ένα γενικού τύπου συσκευή τοίχου προστασίας ενδέχεται να μην αναγνωρίζει καθόλου αυτά τα πρωτόκολλα, αντιμετωπίζοντάς τα ως άγνωστη κίνηση και είτε αποκλείοντάς τα είτε επιτρέποντάς τα χωρίς εξέταση.
Οι συσκευές βιομηχανικού τύπου τοίχων προστασίας περιλαμβάνουν εμβάθυνση εξέτασης πακέτων με γνώση των πρωτοκόλλων. Κατανοούν τη δομή των μηνυμάτων βιομηχανικών πρωτοκόλλων και μπορούν να εντοπίζουν ανωμαλίες — παραμορφωμένα αιτήματα, εντολές εκτός σειράς ή προτύπα κίνησης που αποκλίνουν από την κανονική λειτουργία. Αυτή η δυνατότητα είναι κρίσιμη, διότι οι επιθέσεις σε βιομηχανικά συστήματα εκμεταλλεύονται συχνά αδυναμίες των πρωτοκόλλων, όχι ελλείψεις στο επίπεδο δικτύου. Ένας τοίχος προστασίας που δεν μπορεί να «δει» το επίπεδο εφαρμογής δεν μπορεί να προστατεύσει από αυτές τις απειλές.
Η εξίσωση απόδοσης: η καθυστέρηση έχει σημασία
Τα επιχειρησιακά δίκτυα ανέχονται καθυστέρηση στην τάξη των εκατοντάδων χιλιοστών του δευτερολέπτου χωρίς αισθητή επίδραση. Τα βιομηχανικά δίκτυα ελέγχου λειτουργούν συχνά σε πολύ πιο στενά χρονικά πλαίσια. Ένας βρόχος ελέγχου κίνησης μπορεί να απαιτεί ενημερώσεις κάθε λίγα χιλιοστά του δευτερολέπτου. Ένα σύστημα ασφαλείας με ενδιάμεση διακοπή αναμένει απαντήσεις εντός ενός καθορισμένου χρονικού παραθύρου. Αν προστεθεί υπερβολική καθυστέρηση σε οποιοδήποτε σημείο της διαδρομής, το σύστημα αποτυγχάνει.
Τα hardware firewalls που σχεδιάστηκαν για βιομηχανική χρήση αντιμετωπίζουν αυτό το ζήτημα μέσω διαφόρων μηχανισμών. Μεταφέρουν την επεξεργασία πακέτων σε εξειδικευμένο υλικό αντί να βασίζονται σε γενικού σκοπού CPUs. Διατηρούν τους πίνακες κατάστασης σε ταχύτατη μνήμη αντί σε δίσκο. Εφαρμόζουν κανόνες επιθεώρησης με τέτοια αποδοτικότητα ώστε να αποφεύγεται η εισαγωγή μετρήσιμης καθυστέρησης. Το αποτέλεσμα είναι ασφάλεια χωρίς θυσία της απόδοσης. Τα software firewalls που εκτελούνται σε κοινόχρηστο υλικό δεν μπορούν πάντα να δώσουν την ίδια εγγύηση, ιδιαίτερα υπό φόρτωση.
Τμηματοποίηση ως στρατηγική ασφαλείας
Το πρότυπο IEC 62443 τυποποιεί αυτό που πολλοί επαγγελματίες της βιομηχανικής ασφάλειας ήδη γνώριζαν: τα δίκτυα πρέπει να διαιρούνται σε ζώνες και η κίνηση μεταξύ των ζωνών πρέπει να ελέγχεται. Τα υλικοτεχνικά συστήματα firewall λειτουργούν ως σημεία εφαρμογής αυτών των ορίων ζωνών. Υλοποιούν την απαίτηση «περιορισμένης ροής δεδομένων», η οποία αποτελεί τον πυρήνα του μοντέλου ασφάλειας του προτύπου.
Η πρακτική τμηματοποίηση διαφέρει σε κάθε εγκατάσταση. Ορισμένες οργανώσεις διαχωρίζουν πλήρως το IT από το OT, με ένα υλικοτεχνικό σύστημα firewall ως μοναδικό σημείο σύνδεσης. Άλλες δημιουργούν επιπλέον ζώνες εντός του δικτύου OT—διαχωρίζοντας τα συστήματα ασφαλείας από τα συστήματα ελέγχου ή απομονώνοντας παλαιότερο εξοπλισμό που δεν μπορεί να ενημερωθεί. Τα υλικοτεχνικά συστήματα firewall σε κάθε όριο εφαρμόζουν τους κανόνες, καταγράφοντας την κίνηση και αποκλείοντας παραβιάσεις. Αυτή η πολυστρωματική προσέγγιση περιορίζει τη ζημιά που μπορεί να προκαλέσει οποιαδήποτε μεμονωμένη παραβίαση. Ένας επιτιθέμενος που διαπεράσει το δίκτυο IT συναντά ακόμη επιπλέον εμπόδια προτού φτάσει σε κρίσιμα συστήματα παραγωγής.
| Σενάριο εγκατάστασης | Κύρια λειτουργία | Βασική Παρατήρηση |
|---|---|---|
| Όριο Πληροφορικής-Ελέγχου | Έλεγχος όλων των επικοινωνιών μεταξύ των εταιρικών και των παραγωγικών δικτύων | Το σύνολο των κανόνων πρέπει να εξισορροπεί την ασφάλεια με τις λειτουργικές ανάγκες |
| Εσωτερικές ζώνες ελέγχου | Απομόνωση συστημάτων ασφαλείας, παλαιών εξοπλισμών και κρίσιμων περιουσιακών στοιχείων | Απαραίτητη η επίβλεψη ευαισθητοποιημένη στο πρωτόκολλο |
| Σημείο απομακρυσμένης πρόσβασης | Ασφαλείς εξωτερικές συνδέσεις για συντήρηση και παρακολούθηση | Απαιτείται ισχυρή πιστοποίηση ταυτότητας και κρυπτογράφηση |
| Τμήμα DMZ | Υπηρεσίες φιλοξενίας προσβάσιμες τόσο από το IT όσο και από το OT | Οι κανόνες του firewall πρέπει να είναι ακριβείς και καλά τεκμηριωμένοι |
Τι συμβαίνει όταν λείπουν τα firewall
Ένα εργοστάσιο χημικής επεξεργασίας στην περιοχή της Ακτής του Κόλπου έμαθε αυτό το μάθημα με δύσκολο τρόπο. Η εγκατάσταση είχε αναπτυχθεί επί δεκαετίες, προσθέτοντας δικτυακά συστήματα ελέγχου χωρίς αντίστοιχη επένδυση στην ασφάλεια του δικτύου. Τα δίκτυα IT και OT ήταν στην ουσία ένα ενιαίο επίπεδο δίκτυο. Όταν μια συνηθισμένη ενημέρωση λογισμικού σε έναν εξυπηρετητή IT προκάλεσε απρόσμενη δικτυακή κίνηση, το σύστημα ελέγχου αντιμετώπισε διαλείπουσες αποτυχίες επικοινωνίας. Τίποτα κακόβουλο—απλώς μια καταιγίδα εκπομπής (broadcast storm) από μια εφαρμογή που λειτουργούσε εσφαλμένα. Ωστόσο, η επίδραση στην παραγωγή ήταν άμεση και δαπανηρή.
Το εργοστάσιο αφιέρωσε αρκετές ημέρες στην ανίχνευση του προβλήματος, ενώ παράλληλα η παραγωγή λειτουργούσε με μειωμένη ισχύ. Η τελική λύση περιελάμβανε την εγκατάσταση συσκευών hardware firewall μεταξύ των δικτύων IT και OT, καθώς και την εφαρμογή κατάλληλων κανόνων τμηματοποίησης. Αυτή η εμπειρία επισήμανε ένα σημείο που είναι εύκολο να παραβλεφθεί: η ασφάλεια δεν αφορά μόνο την προστασία από επιθέσεις. Αφορά επίσης τη διατήρηση της λειτουργικής σταθερότητας μπροστά σε συνηθισμένες δραστηριότητες IT που μπορούν ενδεχομένως να διαταράξουν βιομηχανικά συστήματα.
Ο πρακτικός πλεονεκτικός ρόλος των αφιερωμένων υλικών
Οι συσκευές hardware firewall προσφέρουν πλεονεκτήματα πέραν της ασφάλειας. Δημιουργούν σαφή διοικητικά όρια. Οι ομάδες δικτύου γνωρίζουν ακριβώς πού τελειώνει το δίκτυο IT και πού αρχίζει το δίκτυο OT. Η ανταπόκριση σε περιστατικά γίνεται πιο απλή — τα αρχεία καταγραφής (logs) της firewall εμφανίζουν ακριβώς ποια κίνηση διέσχισε το όριο και πότε. Οι ελέγχους συμμόρφωσης επωφελούνται από την ίδια σαφήνεια.
Οι συσκευές αυτές κατασκευάζονται για συνεχή λειτουργία. Δεν διαθέτουν κινούμενα μέρη, χρησιμοποιούν παθητική ψύξη και περιλαμβάνουν εναλλακτικές επιλογές τροφοδοσίας σε πολλές διαμορφώσεις. Αυτές οι επιλογές σχεδιασμού αντικατοπτρίζουν το περιβάλλον λειτουργίας — οι βιομηχανικές εγκαταστάσεις δεν είναι ελεγχόμενα από άποψη κλίματος δωμάτια εξυπηρέτησης. Οι διακυμάνσεις θερμοκρασίας, η δόνηση και η σκόνη είναι πραγματικότητες της καθημερινότητας. Τα υλικά που σχεδιάζονται γι’ αυτές τις συνθήκες διαρκούν περισσότερο και αποτυγχάνουν σπανιότερα σε σύγκριση με τον γενικού σκοπού εξοπλισμό που χρησιμοποιείται για ασφαλειακούς σκοπούς.