EN
Más a tét az üzemcsarnokban
Az ipari IT-környezeteknek vannak közös vonásaik a hagyományos vállalati hálózatokkal, de a különbségek fontosabbak. Egy kompromittált e-mail-kiszolgáló kellemetlenséget okoz. Egy kompromittált programozható logikai vezérlő (PLC) leállíthatja a gyártósor működését, károsíthatja a berendezéseket, vagy biztonsági kockázatot teremthet. A következmények mértéke eltérő skálán mozog. Ez az alapvető különbség indokolja a biztonsági megközelítések szükségességét, amelyek figyelembe veszik az operációs technológia (OT) egyedi jellemzőit.
A hardveres tűzfalberendezések olyan szintű elkülönítést biztosítanak, amelyet a szoftveralapú alternatívák nehezen tudnak megközelíteni. A vállalati hálózat és az ipari vezérlőhálózat között helyezkednek el, és szigorú szabályokat érvényesítenek a két hálózat között áthaladó forgalommal kapcsolatban. Ez az elkülönítés nem csupán a rosszindulatú személyek kizárásáról szól – hanem arról is, hogy megakadályozza a vállalati oldalon felmerülő problémákat a gyártási folyamatokra gyakorolt hatásukban. Egy helytelenül konfigurált DHCP-kiszolgáló vagy egy szórási vihar az IT-hálózaton nem szabadna leállítania egy gyártósor működését. A hardveres tűzfalak segítenek fenntartani ezt a határt.
Miért igényelnek az ipari protokollok specializált kezelést
A szokásos tűzfalak értik a TCP/IP protokollt. Kezelni tudják az HTTP-t, az SMTP-t és a szokásos vállalati protokollokat anélkül, hogy problémát okoznának. Az ipari hálózatok azonban más nyelven beszélnek. A Modbus, a Profinet, az EtherNet/IP, a DNP3 és egy tucatnyi más protokoll olyan parancsokat továbbít, amelyek közvetlenül fizikai folyamatokat irányítanak. Egy általános tűzfal-eszköz egyáltalán nem ismerheti fel ezeket a protokollokat, és ismeretlen forgalomként kezeli őket – vagy blokkolja őket, vagy ellenőrizetlenül engedi át őket.
Az ipari szintű hardveres tűzfal-eszközök protokoll-érzékeny mélycsomagvizsgálatot (deep packet inspection) tartalmaznak. Értik az ipari protokollüzenetek szerkezetét, és képesek anomáliákat azonosítani – például hibásan formázott kéréseket, sorrendtől eltérő parancsokat vagy a normál működéstől eltérő forgalmi mintákat. Ez a képesség különösen fontos, mert az ipari rendszerek elleni támadások gyakran a protokoll-specifikus gyengeségeket használják ki, nem pedig a hálózati réteg biztonsági réseit. Egy olyan tűzfal, amely nem látja az alkalmazási réteget, nem tudja megvédeni a rendszert ezek ellen a fenyegetéseken.
A teljesítmény-képlet: a késleltetés számít
A vállalati hálózatok századmilliszekundumos késleltetést is elviselnek észrevehető hatás nélkül. Az ipari vezérlőhálózatok gyakran sokkal szigorúbb időkeretek között működnek. Egy mozgásvezérlési hurknak például néhány milliszekundumonként frissülnie kell. Egy biztonsági zároló rendszer pedig egy meghatározott időablakon belül várja a választ. Ha bármelyik útvonal-szakaszon túl sok késleltetést okozunk, a rendszer meghibásodik.
Az ipari felhasználásra tervezett hardveres tűzfalak több mechanizmussal oldják meg ezt a problémát. A csomagfeldolgozást dedikált hardverre delegálják, nem általános célú CPU-kra támaszkodnak. Az állapottáblákat gyors memóriában tartják karban, nem merevlemezen. Az ellenőrzési szabályokat olyan hatékonyan alkalmazzák, hogy nem okoznak mérhető késleltetést. Az eredmény biztonság teljesítményveszteség nélkül. A megosztott hardveren futó szoftveres tűzfalak nem mindig tudják ugyanezt garantálni, különösen terhelés alatt.
Szegmentálás biztonsági stratégiaként
Az IEC 62443 szabvány formálisan rögzíti azt, amit sok ipari biztonsági szakember már régóta tud: a hálózatokat zónákra kell bontani, és a zónák közötti forgalmat ellenőrizni kell. A hardveres tűzfalak eszközök e zónahatárok érvényesítésének pontjai. Ők valósítják meg a szabvány biztonsági modelljének központi követelményét, azaz a „korlátozott adatforgalmat”.
A gyakorlati szegmentálás minden létesítményben másképp néz ki. Egyes szervezetek teljesen elkülönítik az IT-t az OT-től, és a hardveres tűzfal az egyetlen kapcsolódási pont. Mások további zónákat hoznak létre az OT-hálózaton belül – például elkülönítik a biztonsági rendszereket a vezérlőrendszerektől, vagy izolálják a nem frissíthető régi berendezéseket. A határokon elhelyezett hardveres tűzfalak eszközök érvényesítik a szabályokat, naplózzák a forgalmat, és blokkolják a szabálytalanságokat. Ez a rétegzett megközelítés korlátozza annak káros hatását, ha egyetlen rendszer kompromittálódik. Egy támadó, aki behatol az IT-hálózatba, további akadályokkal is szembe kell néznie, mielőtt elérné a kritikus termelési rendszereket.
| Telepítési forgatókönyv | Elsődleges funkció | Főbb szempontok |
|---|---|---|
| IT–OT határ | A vállalati és a gyártási hálózatok közötti forgalom teljes szabályozása | A szabálykészletnek egyensúlyt kell teremtenie a biztonság és az üzemeltetési igények között |
| OT belső zónák | Biztonsági rendszerek, régi berendezések és kritikus eszközök elkülönítése | Protokoll-érzékeny ellenőrzés elengedhetetlen |
| Távoli hozzáférési pont | Karban tartás és figyelés céljából biztonságos külső kapcsolatok | Erős hitelesítésre és titkosításra van szükség |
| DMZ szegmens | A gazdasági és a műszaki informatikai szolgáltatások elérhetők mind az IT, mind az OT oldalról | A tűzfal-szabályoknak pontosnak és alaposan dokumentáltnak kell lenniük |
Mi történik, ha nincsenek tűzfalak
Egy kozmetikai vegyipari üzem a Gulf Coast régióban keményen tanulta meg ezt a leckét. Az üzem évtizedek alatt nőtt, hozzáadva hálózatos vezérlőrendszereket anélkül, hogy megfelelő beruházást tett volna a hálózati biztonságba. Az IT- és az OT-hálózatok gyakorlatilag egyetlen síkú hálózatként működtek. Amikor egy rutin szoftverfrissítés egy IT-kiszolgálón váratlan hálózati forgalmat indított el, a vezérlőrendszer megszakításos kommunikációs hibákat tapasztalt. Semmi rosszindulatú – csupán egy hibás alkalmazásból származó broadcast-zápor. De a termelési hatás azonnali és költséges volt.
A gyár több napig nyomozta a problémát, miközben a termelés csökkentett kapacitással folytatódott. A végleges megoldás az IT- és az OT-hálózatok közé tűzfalhardver-eszközök telepítését, valamint megfelelő szegmentálási szabályok bevezetését jelentette. Az eset rávilágított egy könnyen figyelmen kívül hagyható tényre: a biztonság nem csupán a támadók elleni védekezésről szól. Ugyanolyan fontos a működési stabilitás fenntartása olyan rutinszerű IT-tevékenységek során is, amelyek véletlenül zavarhatják az ipari rendszereket.
A különálló hardver gyakorlati előnyei
A tűzfalhardver-eszközök biztonságon túl egyéb előnyöket is kínálnak. Egyértelmű adminisztrációs határokat biztosítanak. A hálózati csapatok pontosan tudják, hol ér véget az IT-hálózat, és hol kezdődik az OT-hálózat. A balesetkezelés egyszerűbbé válik – a tűzfal naplófájljai pontosan mutatják, milyen forgalom lépett át a határon, és mikor. A megfelelőségi ellenőrzések ugyanezt az egyértelműséget használják fel.
A készülékek maguk folyamatos üzemre épültek. Nincsenek mozgó alkatrészeik, passzív hűtést használnak, és sok konfigurációban redundáns tápellátási lehetőségek is rendelkezésre állnak. Ezek a tervezési döntések tükrözik az üzemeltetési környezetet – az ipari környezetek nem klímázott szervertermek. A hőmérséklet-ingadozások, rezgések és por természetes jelenségek. Az ilyen körülményekhez tervezett hardver hosszabb ideig tart, és kevesebb gyakorisággal hibásodik meg, mint az általános célú berendezések, amelyeket biztonsági feladatokra kényszerítenek.