Hyödynnä palomuurilaitteitasi täysimittaisesti: edistyneet turvallisuusvinkit

Oletusasetusten yli

Oletuspalomuuriasetukset on määritelty tietystä syystä – ne saavat järjestelmät toimimaan nopeasti mahdollisimman vähällä kitkalla. Ne edustavat kuitenkin perustasoa, ei lopullista ratkaisua. Useimpiin palomuurilaitteisiin toimitettavat oletussääntöjoukot on suunniteltu toimimaan laajassa ympäristössä. Ne antavat etusijan yhteyden muodostamiselle turvallisuuden sijaan, mikä mahdollistaa laajan pääsyn ja yksinkertaistaa alustavan käyttöönoton. Niiden muuttamaton säilyttäminen aiheuttaa tarpeetonta altistumista.

Tulomuuriin kohdistuvan turvallisuuden parantaminen edellyttää enemmän kuin oletusasetusten käyttöä. Se tarkoittaa suojattavan verkon liikennemallien ymmärtämistä ja sääntöjen mukauttamista näihin erityiskohtiin. Se tarkoittaa myös pienimmän mahdollisen oikeuksien periaatteen soveltamista ei vain teoriassa vaan käytännössä – sallitaan ainoastaan se, mikä on eksplisiittisesti vaadittu, ja kaikki muu kieltäytyy. Vaadittava työ on vähäinen verrattuna saavutettavaan turvallisuuden parannukseen.

Sääntöjoukon siisteyden ylläpitäminen: poista kertynyt roskadata

Tulomuurisäännöt kasvavat usein organisaatioissa ajan myötä. Väliaikainen sääntö, joka lisättiin esimerkiksi toimittajan vierailua varten, muuttuu pysyväksi. Testisääntö uudelle sovellukselle säilyy paikoillaan pitkään sen jälkeen, kun sovellus on otettu käyttöön. Poikkeukset kertyvät, ja jokainen niistä lisää sekä monimutkaisuutta että mahdollisia altistumiskohtia. Lopputuloksena on sääntöjoukko, jonka kukaan ei kokonaisuudessaan ymmärrä ja joka sisältää huomattavasti enemmän sallintoja kuin tarpeellista.

Tavalliset sääntöjoukkojen tarkastukset ratkaisevat tämän ongelman. Prosessi on suoraviivainen: vie nykyinen sääntöjoukko, dokumentoi, mitä kunkin säännön todellisuudessa pitäisi tehdä, varmista, että jokainen sääntö on edelleen tarpeellinen, ja poista tai tiukenna kaikkia sääntöjä, jotka eivät ole enää tarpeellisia. Ensimmäinen tarkastus tuottaa usein suurimman vähennyksen – monet organisaatiot huomaavat, että 20–30 % niiden säännöistä voidaan poistaa tai yhdistää. Myöhempät tarkastukset havaitsevat pienemmät kertymät ennen kuin ne kasvavat merkittäviksi.

Lokien kirjaaminen: Yliarvottomaksi pidetty diagnostinen työkalu

Tuloverkon palomuurin lokit sisältävät runsaasti tietoa, jota ei käytetä monissa käyttöönotoissa. Jokainen sallittu yhteys, jokainen estetty yritys ja jokainen säännön täsmäys tuottavat lokimerkintän. Nämä lokit dokumentoivat normaalit liikennemallit, paljastavat epätavallista toimintaa ja tarjoavat todisteita, kun jotain menee pieleen. Monet organisaatiot kuitenkin käsittelevät lokien kirjaamista vain vaatimuksena, joka täytyy täyttää vaatimustenmukaisuuden varmistamiseksi, eikä toiminnallisena työkaluna.

Tehokas lokien hallinta alkaa siitä, että ymmärretään, mitä tarkalleen ottaen kirjataan. Kaikki tapahtumat eivät vaadi samaa tarkkuustasoa. Korkean liikenteen ympäristössä kaikkien sallittujen yhteyksien kirjaaminen aiheuttaa tallennustilaprobleemia. Vain estettyjen yhteyksien ja epätavallisten tapahtumien kirjaaminen tuottaa toimintaa edistävää tietoa ilman ylimäistä kuormitusta. Avainasemassa on lokitasojen asianmukainen määrittely – niin yksityiskohtaisia, että ne ovat hyödyllisiä, mutta samalla niin valikoivia, että niiden käsittely on hallittavissa. Säännölliset lokien tarkastelut, vaikka ne olisivatkin lyhyitä, havaitsevat ongelmia, joita automatisoidut hälytykset saattavat jäädä huomaamatta.

Teollisten protokollien tarkastus: Porttipohjaisten sääntöjen yli

Porttinumeroihin perustuvat tavalliset palomuurisäännöt eivät tarjoa riittävää suojaa teollisuusverkoille. Hyökkääjä voi lähettää haitallisesti muokattuja Modbus-komentoja portin 502 kautta – joka on Modbus-protokollan vakioportti – ja porttipohjainen sääntö hyväksyy ne ilman vastavuoroista tarkastusta. Palomuuri havaitsee oikean portin ja sallii liikenteen ilman sisällön tarkastelua.

Teollisuuden palomuurilaitteet, joissa on protokollatietoinen tarkastus, tutkivat teollisten protokollien viestien sisältöä. Ne ymmärtävät Modbus-pyyntöjen rakenteen, Profinet-komentosarjan sekä EtherNet/IP:n tiedonmuodon. Tämä ymmärrys mahdollistaa poikkeamien tunnistamisen – esimerkiksi Modbus-kirjoituskomento luettavalle rekisterille, komentojen järjestelmä, joka ei vastaa normaalia toimintamallia, tai viesti, jonka koko ylittää kohtalaiset rajoitukset. Nämä poikkeamat viittaavat usein joko väärään määrittelyyn tai aktiiviseen hyökkäykseen. Protokollatietoinen tarkastus havaitsee molemmat.

IEC 62443 -standard vaatii tämän tyyppistä rajoitettua datavirtauksen valvontaa vyöhykkeiden välillä selvästi. Porttipohjaiset säännöt eivät täytä standardin vaatimuksia. Protokollatietoinen tarkastus sen sijaan täyttää ne. Organisaatioiden, joihin sovelletaan noudattamisvaatimuksia, on varmistettava, että palomuurilaitteet tukevat tätä ominaisuutta ja että se on oikein määritelty.

Varmuuskopiointi ja siirtyminen varalaitteeseen: Suunnittelu välttämättömälle

Palomuurilaitteet epäonnistuvat lopulta. Virransyöttölaitteet heikkenevät. Ohjelmistopäivitykset menevät pieleen. Määrittelyvirheet estävät järjestelmänvalvojien pääsyn. Kysymys ei ole siitä, tapahtuuko epäonnistuminen – vaan siitä, pysyykö verkkoyhteys suojattuna, kun se tapahtuu.

Korkean saatavuuden konfiguraatiot ratkaisevat tämän yhdistämällä palomuurilaitteet aktiivis-passiivisiin tai aktiivis-aktiivisiin asetelmiin. Aktiivis-passiivisessa konfiguraatiossa yksi laite käsittelee kaiken liikenteen, kun taas toinen laite odottaa valmiina. Jos aktiivinen laite epäonnistuu, passiivinen laite ottaa ylikäynnin mahdollisimman vähällä katkoksesta. Aktiivis-aktiiviset konfiguraatiot jakavat liikenteen molempien laitteiden kesken, tarjoamalla sekä kuormantasausta että varmuuskopiointia.

Konfigurointityö vaatii huomattavaa panostusta. Tilataulukot on synkronoitava laitteiden välillä, jotta aktiiviset yhteydet säilyvät siirtyessä varmuuskopiolaitteeseen. Reitityksen on otettava huomioon aktiivisen laitteen muutos. Testauksen on varmistettava, että siirtyminen varmuuskopiolaitteeseen toimii odotetusti. Mutta panostus kannattaa, kun esimerkiksi virtalähde epäonnistuu kello 2 yöllä ja tuotanto jatkuu keskeytyksettä.

Todellinen skenaario: Etäkäyttö tehty oikein

Keskikokoisen metropolialueen vedenjakeluyhtiö tarvitsi etäkäyttömahdollisuuden laitevalmistajille ja huoltosopimuskumppaneille. Alkuperäisessä ratkaisussa käytettiin VPN-laitetta laajoilla käyttöoikeussäännöillä – kaikki todennetut käyttäjät saivat pääsyn mihin tahansa OT-verkon laitteeseen. Järjestelmä toimi, mutta se aiheutti merkittävää altistumista. Jos valmistajan tili kompromisoituisi, se antaisi pääsyn koko ohjausjärjestelmään.

Yhtiö suunnitteli etäkäyttöarkkitehtuurin uudelleen käyttäen palomuureja, joissa on tarkat käyttöoikeussäännöt. Jokaiselle valmistajalle annettiin pääsy ainoastaan niihin järjestelmiin, joita heidän oli tuettava. Huoltosopimuskumppanit saivat pääsyn vain niihin laitteisiin, joita he huolsivat tietyillä paikoilla. Palomuuri valvoi näitä rajoituksia verkkotasolla ja täydensi VPN:n todentamista luvananto-säännöillä, jotka rajoittivat sitä, mitä todennetut käyttäjät voivat tehdä. Uusi järjestely vähensi hyökkäyspintaa huomattavasti ilman, että laillisten käyttäjien käyttö muuttuisi monimutkaisemmaksi.

Valvonta ja varoitukset, jotka todella auttavat

Palomuurilaitteet tuottavat varoituksia tietystä syystä – kiinnittääkseen huomiota tapahtumiin, joita on tutkittava. Mutta varoitusten väsymys on todellinen ongelma. Liian monta varoitusta, erityisesti alalaatuisia, johtaa ohitettuihin ilmoituksiin ja havaitsemattomiin tapauksiin. Tehokas varoitustoiminta vaatii säätöä: vähentää vääriä positiivisia tuloksia, priorisoii kriittisiä tapahtumia ja varmistaa, että varoitukset saavuttavat oikeat henkilöt.

Aloita luokittelemalla varoitukset vakavuuden mukaan. Konfiguraatiomuutokset, hallintakirjautumiset ja kriittiset viat vaativat välitöntä huomiota. Toistuvat kirjautumisyritykset ulkoisista osoitteista ansaitsevat tutkinnan, mutta eivät välttämättä herätä 2 aamulla. Liikennepiikit epätavallisille kohteille sijoittuvat jonnekin tähän väliin. Luokittelun tulee heijastaa organisaation riskinkantokykyä ja toiminnallisia rajoitteita. 24/7-toimiva valmistuslaitos tarvitsee erilaisia varoitustoimintoja kuin päivällä toimiva toimistoverkko.

Säännölliset hälytysten tarkastelutilaisuudet, jotka järjestetään viikoittain tai kuukausittain, paljastavat mallit, joita yksittäiset hälytykset eivät enthän näytä. Useista eri lähteistä tulevat pienensäteiset hälytykset voivat yhdessä viitata koordinoituun hyökkäykseen. Tarkasteluprosessi tarjoaa myös palautetta säätöön: hälytyksiä, jotka osoittautuvat jatkuvasti merkityksettömiksi, voidaan estää tai uudelleenmäärittää.