EN
Panoskäytävän riskit ovat erilaiset
Teolliset IT-ympäristöt jakavat joitakin yhteisiä piirteitä perinteisten yritysverkkojen kanssa, mutta erot ovat tärkeämpiä. Hälytys sähköpostipalvelimessa aiheuttaa vaikeuksia. Hälytys ohjelmoitavassa logiikkasäätimessä voi pysäyttää tuotantolinjan, vahingoittaa laitteita tai luoda turvallisuusriskin. Seuraukset skaalautuvat eri tavoin. Tämä perustavanlaatuinen ero edellyttää turvallisuusstrategioita, jotka ottavat huomioon käyttötekniikan (OT) ainutlaatuiset ominaisuudet.
Laitteelliset palomuurilaitteet tarjoavat eristystasoa, jota ohjelmistopohjaiset vaihtoehdot eivät kykene saavuttamaan. Ne sijaitsevat yritysverkon ja teollisen ohjausverkon välissä ja valvovat tiukasti, mitä liikennettä saa kulkea näiden kahden verkon välillä. Tämä erottelu ei koske ainoastaan ulkopuolisten hyökkääjien estämistä – se myös estää liiketoimintapuolen ongelmien vaikutusta tuotantoon. Esimerkiksi väärin määritetty DHCP-palvelin tai laajalle levinnyt lähetyssäike IT-verkossa eivät saa pysäyttää valmistuslinjaa. Laitteelliset palomuurit auttavat säilyttämään tätä rajaa.
Miksi teolliset protokollat vaativat erityiskäsittelyä
Standardipalaiset palomuurit ymmärtävät TCP/IP-protokollaa. Ne käsittelevät HTTP-, SMTP- ja muut tyypilliset yritysverkkojen protokollat ilman ongelmia. Teollisuusverkot kuitenkin puhuvat eri kieltä. Modbus-, Profinet-, EtherNet/IP-, DNP3- ja kymmenen muun protokollan avulla välitetään käskyjä, jotka ohjaavat suoraan fyysisiä prosesseja. Yleiskäyttöinen palomuurilaite saattaa ei edes tunnistaa näitä protokollia, jolloin se käsittelee niitä tuntemattomana liikenteenä ja joko estää ne tai läpäisee ilman tarkastusta.
Teollisuuden käyttöön tarkoitetut palomuurilaitteet sisältävät protokollatietoisia syvällisiä pakettitarkastuksia. Ne ymmärtävät teollisuusprotokollien viestien rakenteen ja voivat tunnistaa poikkeamat – virheellisiä pyyntöjä, väärässä järjestyksessä olevia käskyjä tai liikennemalleja, jotka poikkeavat normaalista toiminnasta. Tämä ominaisuus on tärkeä, koska hyökkäykset teollisuusjärjestelmiin hyödyntävät usein protokollakohtaisia heikkouksia pikemminkin kuin verkkokerroksen haavoittuvuuksia. Palomuuri, joka ei pysty näkemään sovelluskerrosta, ei voi suojata näitä uhkia vastaan.
Suorituskyvyn yhtälö: viiveellä on merkitystä
Yritysverkot kestävät viivettä sadoissa millisekunneissa ilman huomattavaa vaikutusta. Teollisuuden ohjausverkot toimivat usein paljon tiukemmissa aikarajoissa. Liikkeenohjaussilmukka vaatii päivityksiä muutamassa millisekunnissa. Turvallisuuslukitusjärjestelmä odottaa vastauksia määritellyn aikavälin sisällä. Lisää liian paljon viivettä missä tahansa polun kohdassa, ja järjestelmä epäonnistuu.
Teolliseen käyttöön suunnitellut laitteistopohjaiset palomuurit ratkaisevat tämän useilla mekanismeilla. Ne siirtävät pakettien käsittelyn erityisesti tähän tarkoitukseen suunniteltuun laitteistoon eikä yleiskäyttöisiin prosessoreihin. Ne säilyttävät tilataulukot nopeassa muistissa eikä levyllä. Ne soveltavat tarkistussääntöjä niin tehokkaasti, ettei mitattavaa viivettä synty. Tuloksena on turvallisuus ilman suorituskyvyn heikkenemistä. Ohjelmistopohjaiset palomuurit, jotka toimivat jaettavalla laitteistolla, eivät aina pysty antamaan samaa takuuta, erityisesti kuormituksen ollessa korkea.
Segmentointi turvallisuusstrategiana
IEC 62443 -standard formalisoi sen, mitä monet teollisuuden tietoturva-asiantuntijat jo tunsivat: verkot tulisi jakaa vyöhykkeisiin, ja liikennettä vyöhykkeiden välillä tulisi valvoa. Laitteistopohjaiset palomuurilaitteet toimivat näiden vyöhykkeiden rajojen valvontapisteinä. Ne toteuttavat standardin turvallisuusmallin ytimessä olevan vaatimuksen "rajoitetusta datavirrasta".
Käytännön segmentointi näyttää erilaiselta jokaisessa teollisuustilassa. Jotkut organisaatiot erottavat TI- ja OT-järjestelmät täysin toisistaan, ja ainoana yhteyspisteenä toimii laitteistopohjainen palomuurilaite. Toiset luovat lisävyöhykkeitä OT-verkossa – esimerkiksi erottamalla turvallisuusjärjestelmät ohjausjärjestelmistä tai eristämällä vanhentunutta laitteistoa, jota ei voida päivittää. Jokaisen rajan kohdalla sijaitsevat laitteistopohjaiset palomuurilaitteet valvovat sääntöjä, lokivat liikennettä ja estävät sääntöjen rikkomukset. Tämä monitasoinen lähestymistapa rajoittaa vahinkoa, jonka yksittäinen turvallisuusrikkos voi aiheuttaa. Hyökkääjä, joka tunkeutuu TI-verkkoon, kohtaa edelleen lisäesteitä ennen kuin pääsee kriittisiin tuotantojärjestelmiin.
| Käyttöönotto-skenaario | Ensisijainen toiminto | Tärkeä huomio |
|---|---|---|
| IT-OT-raja | Hallitse kaikki liikenne yritysverkon ja tuotantoverkon välillä | Sääntöjoukon on tasapainotettava turvallisuus ja toiminnalliset vaatimukset |
| OT-sisäiset vyöhykkeet | Erota turvallisuusjärjestelmät, vanhentuneet laitteet ja kriittiset varat | Protokollatietoinen tarkastus on välttämätön |
| Etäkäyttöpiste | Turvalliset ulkoiset yhteydet huoltoa ja valvontaa varten | Vaatii vahvan tunnistautumisen ja salauksen |
| DMZ-segmentti | Isäntäpalvelut, joihin pääsee sekä IT- että OT-ympäristöistä | Tulomuurisäännöt täytyy olla tarkkoja ja hyvin dokumentoituja |
Mitä tapahtuu, kun tulomuuria ei ole
Kemiankäsittelylaitos Golfin rannikolla oppi tämän opiston kovalla tavalla. Laitos oli kasvanut vuosikymmenien ajan lisäämällä verkkoyhdistettyjä ohjausjärjestelmiä ilman vastaavaa investointia verkkoturvallisuuteen. IT- ja OT-verkot muodostivat tehollisesti yhden tasaisen verkon. Kun tavanomainen ohjelmistopäivitys IT-palvelimella aiheutti odottamatonta verkkoliikennettä, ohjausjärjestelmässä esiintyi välillä viestintäkatkoja. Ei mitään haitallisesti suunniteltua – vain laajalle levinnyt lähetyssäike epätoimivasta sovelluksesta. Tuotannon vaikutukset olivat kuitenkin välittömiä ja kalliita.
Tehtaan piti käyttää useita päiviä ongelman jäljittämiseen, kunnes tuotanto jatkui vähennetyllä kapasiteetilla. Lopullinen korjaus sisälsi palomuurilaitteiden asentamisen TI- ja OT-verkkojen väliin sekä asianmukaisten segmentointisääntöjen määrittämisen. Kokemus korosti yhtä helposti huomioimattomaksi jäävää seikkaa: turvallisuus ei koske ainoastaan hyökkääjien torjuntaa, vaan myös operatiivisen vakauden säilyttämistä tavallisissa TI-toiminnoissa, jotka voivat tahattomasti häiritä teollisia järjestelmiä.
Erityisten laitteiden käytännöllinen etu
Palomuurilaitteet tarjoavat etuja turvallisuuden lisäksi. Ne tarjoavat selkeät hallinnolliset rajat. Verkkotiimit tietävät tarkalleen, missä TI-verkko päättyy ja OT-verkko alkaa. Tapausten käsittely yksinkertaistuu – palomuurin lokit näyttävät tarkalleen, mikä liikenne ylitti rajan ja milloin. Samanlainen selkeys hyödyttää myös vaatimusmukaisuustarkastuksia.
Laitteet itse on suunniteltu jatkuvaa käyttöä varten. Niissä ei ole liikkuvia osia, ne käyttävät passiivista jäähdytystä ja monissa konfiguraatioissa niissä on varavoimavaihtoehtoja. Nämä suunnitteluratkaisut heijastavat käyttöympäristöä – teollisuusympäristöt eivät ole ilmastoitujia palvelintiloja. Lämpötilan vaihtelut, värähtelyt ja pöly ovat arkipäivän todellisuutta. Näihin olosuhteisiin suunniteltu laitteisto kestää pidempään ja epäonnistuu harvemmin kuin yleiskäyttöinen laitteisto, jota käytetään turvallisuuspalveluihin.