Maksimeerige oma tuleseinade võimalusi: täiustatud turvajuhtmed

Väljaspool vaikseid seadistusi

Vaiksed tuleseina seadistused on olemas põhjusel – nad käivitavad süsteemid kiiresti ja minimaalse takistuseta. Samas esindavad nad ka algtasemet, mitte lõpptasemet. Enamiku tuleseinaseadmetega kaasas olevad vaiksed reeglitabelid on mõeldud töötama laias valdkonnas. Nad eelistavad ühenduvust turvalisusele, lubades laiaulatuslist juurdepääsu, mis lihtsustab algset paigaldust. Nende muutmata jätmine loob tarbetut kokkupuutumist.

Tulemüüri tõhususe maksimeerimine tähendab, et liigutakse kaugemale vaikimisi seadetest. See tähendab, et mõistetakse kaitstava võrgu konkreetseid liiklusmustraid ja reeglid kohandatakse vastavalt. See tähendab, et rakendatakse vähima privileegi põhimõtet mitte ainult teoorias, vaid ka praksis – lubatakse ainult seda, mida on selgelt vaja, ja kõik muu keelatakse. Kulutatav vaev on väike võrreldes saavutatava turvaparandusega.

Reeglitekogumi hooldus: puhastage kogunenud üleliigne materjal

Tulemüüri reeglitekogumid kasvavad aeglaselt ja loomulikult. Ajutine reegel, mille lisasid tarnija külastuse ajal, muutub püsivaks. Testreegel uue rakenduse jaoks jääb paika palju pärast seda, kui rakendus on juba tootmisrežiimis. Erandid kogunevad, igaüks lisab keerukust ja potentsiaalset ohu. Tulemuseks on reeglitekogum, mida keegi täielikult ei mõista ja milles on palju rohkem lubatud tegevusi, kui tegelikult vajalik on.

Tavalised reeglitekomplektide ülevaadud lahendavad selle probleemi. Protsess on lihtne: eksportida praegune reeglitekomplekt, dokumenteerida, mida iga reegel tegelikult teeb, kontrollida, kas iga reegel on endiselt vajalik, ja eemaldada või rangeerida kõike, mis ei ole enam vajalik. Esimene ülevaade annab sageli suurima vähenemise – paljud organisatsioonid leiavad, et 20–30% nende reeglitest saab kaotada või kombineerida. Järgmised ülevaadud tuvastavad väiksemad kogunemised enne, kui need suurenevad.

Logimine: vähekasutatud diagnostikatööriist

Tulemüüri logides on palju teavet, mida paljudes paigaldustes ei kasutata. Iga lubatud ühendus, iga blokeeritud katse ja iga reegli sobivus genereerib logikirje. Need logid dokumenteerivad tavapäraseid liiklusmustrid, paljastavad ebatavalist tegevust ja annavad tõendeid, kui midagi läheb valesti. Siiski suhtuvad paljud organisatsioonid logimisse pigem kui vastavusnõude täitmise kontrollpunkti kui operatsioonilisse tööriista.

Tõhus logihaldus algab sellest, et mõista, mida logitakse. Mitte iga sündmus ei vaja sama detailset kirjeldust. Kõrgliikluse keskkonnas iga lubatud ühenduse logimine teeb salvestusprobleemid. Ainult blokeeritud ühenduste ja ebatavaliste sündmuste logimine pakub tegutsemiseks sobivat teavet ilma liigse koormata. Võtmeks on logitaseme õige seadistamine – piisavalt üksikasjalik, et olla kasulik, kuid piisavalt valikuline, et olla haldatav. Regulaarsed logide ülevaatumised, isegi lühikesed, tuvastavad probleemid, mida automaatsed hoiatused võivad järgi jätta.

Tööstusprotokolli kontroll: kaugemal kui põhinevad pordireeglid

Standardsete tulemüüri reeglitega, mis toetuvad pordinumbritele, ei saa tööstusvõrgus piisavalt kaitsta. Rünnaku lähtepunkt võib saata kurjasti mõeldud Modbus-käske pordi 502 kaudu – standardse Modbus-pordi kaudu – ja põhinev reegel lubab need rahulikult läbi. Tulemüür näeb õiget porti ja lubab liikluse ilma sisu kontrollimata.

Tööstuslikud tulemüüri seadmed, millel on protokolliteadlik kontroll, uurivad tööstusprotokolli sõnumite sisu. Nad mõistavad Modbus-päringute struktuuri, Profineti käskude komplekti ja EtherNet/IP andmevormingut. See teadmine võimaldab neil tuvastada erinevusi – näiteks Modbus kirjutuskäsku ainult lugemiseks mõeldud registriisse, käskude jada, mis ei vasta tavapärastele töömustriile, või sõnumit, mis ületab mõistlikud suuruspisikud piirid. Sellised erinevused viitavad sageli kas valele konfigureerimisele või aktiivsele rünnakule. Protokolliteadlik kontroll tuvastab mõlemad.

IEC 62443 standard nõuab selgelt sellise piiratud andmavoolu rakendamist tsooni vahel. Pordipõhised reeglid ei rahulda standardi nõudeid. Protokolliteadlik kontroll aga rahuldab neid. Organisatsioonidel, kellele kehtivad vastavusnõuded, tuleb veenduda, et nende tulemüüri seadmed toetavad seda võimet ja et see on õigesti seadistatud.

Üleliialdus ja tagasikäigufunktsioon: ettevalmistus ebaüldiselt vältimatuks

Tulemüüri seadmed lõpuks ikkagi lähevad katki. Toiteplokid vananevad. Tarkvarauuendused lähevad valesti. Seadistusvigade tõttu saavad administraatorid juurdepääsu kaotada. Küsimus pole selles, kas katkemine toimub – küsimus on selles, kas võrk jääb ka siis kaitstud.

Kõrgkättesaadavuse konfiguratsioonid lahendavad seda, paigutades tuleseinad aktiivse-passiivse või aktiivse-aktiivse seadistusena paaridesse. Aktiivse-passiivse konfiguratsiooni puhul käsitleb üks seade kogu liiklust, samas kui teine on valmis kasutusele võtma. Kui aktiivne seade läheb katki, võtab passiivne seade üle liikluse minimaalse katkestusega. Aktiivse-aktiivse konfiguratsiooni puhul jaotatakse liiklus mõlema seadme vahel, tagades nii koormajaotuse kui ka varunduse.

Konfiguratsiooni tegemine ei ole lihtne. Olekutabelid peavad sünkroonuma seadmete vahel, et aktiivsed ühendused säiliksid ülelülitumisel. Marsruutimine peab arvestama aktiivse seadme muutumisega. Testid peavad kinnitama, et ülelülitumine toimib oodatud viisil. Kuid pingutus tasub end ära, kui toiteallikas läheb katki kell 2:00 hommikul ja tootmine jätkub katkematult.

Tegelik stsenaarium: kaugjuurdepääs õigesti

Veeamet, kes teenindab keskmise suurusega metropoolset piirkonda, peadis tagama kaugligipääsu seadmete tarnijatele ja hoolduskokkuleppesid täitvatele ettevõtetele. Esialgne lahendus kasutas VPN-seadet laiaululisega ligipääsueeskirjadega – iga autentitud kasutaja sai ligipääsu kogu OT-võrgus olevatele seadmetele. Lahendus toimis, kuid loomulikult tekitas olulisi ohustusi. Kui tarnija konto oleks kompromisse tõmmatud, saaks see ligipääsu kogu juhtimissüsteemile.

Amet ülesehitas kaugligipääsu arhitektuuri uuesti, kasutades tulemüüre, millel on täpsemad ligipääsukontrollid. Igal tarnijal oli ligipääs ainult nendele süsteemidele, mida ta tegelikult pidas hooldamas. Hoolduskokkuleppesid täitvad ettevõtted said ligipääsu ainult nende objektide seadmetele, mida nad teenindasid. Tulemüür rakendas neid piiranguid võrgutasandil, täiendades VPN-i autentimist volitusreeglitega, mis piirasid seda, mida autentitud kasutajad tegelikult teha saavad. Uus lahendus vähendas rünnakuala oluliselt ilma, et see lisaks õigustatud kasutajatele keerukust lisaks.

Jälgimine ja hoiatused, mis tegelikult aitavad

Tulemüüride seadmed genereerivad hoiatusi põhjusel – et juhtida tähelepanu sündmustele, mida tuleb uurida. Kuid hoiatuste ülekoormus on reaalne probleem. Liiga palju hoiatusi, eriti madala kvaliteediga, viib ignoreeritud teadetele ja kaotatud insidentidele. Tõhus hoiatuste süsteem nõuab seadistamist: valepositiivsete hoiatuste vähendamist, kriitiliste sündmuste prioriseerimist ning tagamist, et hoiatused jõuaksid õigete inimeste juurde.

Alustage hoiatuste kategooriate loomisega vastavalt nende tõsisusele. Konfiguratsioonimuutused, administraatorite sisselogimised ja kriitilised tõrked nõuavad kohe tähelepanu. Korduvad sisselogimiskatsed väliselt aadressilt vajavad uurimist, kuid ei pruugi nõuda 2.00 homseks teavitust. Liikluse tippmine ebatavalistesse sihtkohtadesse asub kusagil selle kahe vahel. Kategooriate loomisel tuleb arvestada organisatsiooni riskikäitumisega ja operatsiooniliste piirangutega. 24/7 tootmisettevõtelt erinevad hoiatuste vajadused päevaselt töötava kontorivõrgu puhul.

Tavalised hoiatuste ülevaatumissessioonid, mida viiakse läbi nädalaselt või kuu tagant, tuvastavad mustreid, mida üksikud hoiatused ei avalda. Mitme erineva allika väikese tõenäosusega hoiatused võivad kokku viidata koordineeritud rünnakule. Ülevaatumisprotsess pakub ka tagasisidet seadistuste täpsustamiseks – hoiatusi, mis osutuvad pidevalt ebaoluliseks, saab keelata või uuesti konfigureerida.