Völlurstæði: Skilningur á grunnatriðum netvörnunar

Hvað veggskjöldur gerir í raun á netinu

Veggskjöldur er settur á marki milli netkerfa og tekur ákvarðanir um hvaða netfærsla fær að fara í gegn og hvaða færsla er hafnað. Það hljómar einfalt nóg, en raunin er flóknari. Fyrstu veggskjöldurnir athuguðu aðeins pakkahausana á móti reglulista – upprunastaður IP, áfangastaður IP, gáttanúmer – og létu hverja pakka fara eða hafnaði honum sjálfstætt. Nútíma veggskjöldur gera miklu meira. Þeir halda utan um stöðutöflur, fylgja virkum tengingum og skoða mynstur í netfærslu frekar en einstaka pakka. Þessi staðbundin skoðun þýðir að tækið skilur hvort pakki tilheyri stofnuðri setningu eða táknar eitthvað nýtt og mögulega grunnsamt.

Grunnfallið er það sama: framkvæma öryggisstefnu með því að stjórna umferð milli svæða með mismunandi trauststigi. En nákvæmni þessarar framkvæmdar hefur aukist miklu. Góð veggskjöldunarlykill í dag hefur möguleika á djúpum pakkauppskilningi, forritaskilningi og jafnvel notandastýrðum stefnum. Fyrir alla sem stjórna netkerfi sem er útsett fyrir opinbert internet – sem er næstum hvert netkerfi – er skilningur á þessum grunnatriðum ekki valkvæmt.

Af hverju falla lausnir sem byggja aðeins á hugbúnaði á bakka

Hugbúnaðarveggir sem keyra á almennu stýrikerfum hafa sinn stað. Þeir eru þægilegir, oft ókeypis og auðvelt að setja upp á einstök tæki. En að leggja áherslu á þá sem aðalvarnir fyrir viðskiptanet er að bera með sér nokkur vandamál. Stýrikerfið sjálft verður árásarsvæði. Ef grunnstýrikerfið hefur galla, þá arfa hugbúnaðarveggirnir sem keyra á toppinum þeirra þá riska. Í móti því keyra vélarveggir á tilteknum fjármunakerfum með einföldu stýrikerfi sem gefa miklu minni árásarsvæði.

Árangur er einnig áhrifameginbreyta. Hugbúnaðarveggir keppa um örgjörva- og minnisvirkni með öllum öðrum forritum sem keyra á sama vélinni. Þegar mikil netþyngd er á, getur paketavinnsla valdið dreginni tímamælingu eða jafnvel brotinni tengingum. Sérstaklega hönnuð veggjatæki notar sérstaka örgjörva og hálfdrætt vinnsluhraðun til að vinna netþyngd án þess að áhrifa aðrar kerfisstöður. Þessi greinarmunur er mikilvægastur í umhverfi þar sem áreiðanleiki netsins hefur bein áhrif á rekstur — framleiðslusvæði, stjórnrúm og netkerfi fyrir viðhald á byggingum.

Þróunin frá paketafiltreringu til forritsmeðvitundar

Hreyfingin frá einföldu paketafiltreringu til vitundar um forrit á sviði skoðunar táknar eina af mikilvægustu breytingunum í eldsveiruteknólogíu á síðustu áratug. Hefðbundin eldsveiru skoðuðu upplýsingar á lag 3 og lag 4 – IP-tölur og gáttanúmer. Það virkaði ásættanlega vel þegar forrit notuðu fyrirsjáanlegar gátur. HTTP á gátt 80, HTTPS á 443, SSH á 22. En nútímaforskriftir eru flóknari. Þau senda gögn um óvenjulegar gátur, nota dulkóðun sem felur innihald hlutverksgagna og samræða tengingar á sjálfvirkan hátt.

Nýju kynslóðar vörnunartæki leysa þetta með því að skoða umferð á forritasléttunni. Þau geta auðkennt ákveðin forrit óháð því hvaða gátt þau nota. Þessi hæfni er sérstaklega gagnleg í iðnaðarsvæðum þar sem netkerfi fyrir rekstrar tækni nota sérstök prótök eins og Modbus, EtherNet/IP eða OPC. Venjulegt vörnunartæki gæti ekki greint á milli lögmætra Modbus-umferðar og ólöglegs pakka sem tilviljun notar sömu gáttina. Vörnunartæki sem er með þekkingu á forritum getur það.

Hvernig vörnunartæki passa inn í verndaraðferð með margföldum lögum

Engin einstök öryggisráðstöfun veitir fullkomna vernd. Vörnunartæki eru einn lag í ríkri verndaraðferð með margföldum lögum. Hugmyndin er einföld: margföld sjálfstæð öryggisstjórnunartæki, hverju með því að bæta upp á glugga sem önnur gætu látið opna. Vörnunartæki hjálpa við netstigssía. Endapunktavernd berst við árásir á vélar. Aðgangsstjórnun stjórnar hver hefur rétt til að gera hvað. Umferðarskoðun uppgötvar það sem fer framhjá.

NIST Special Publication 800-82, leiðbeiningar um öryggisviðbót fyrir stýrikerfi í framleiðslu, fjalla sérstaklega um staðsetningu og uppsetningu á völlum fyrir virkni tæknilausnir. Leiðbeiningarnar leggja áherslu á skiptingu – að skipta netinu í svæði með mismunandi öryggiskröfum og stjórna umferð milli þeirra svæða. Þessi svæði-og-sambandslíkan, sem er einnig formlega sett fram í IEC 62443-staðlunum, hefur völlum sem helsta mekanismann til að framkvæma marka milli öryggissvæða.

Raunverulegar takmarkanir sem breyta öllu

Kenningin lítur hrein út á pappír. Í raunveruleikanum gerist það sjaldan. Framleiðslustöð í suðausturhluta Bandaríkjanna rekist á þessa raunveruleika í tengslum við verkefni til að uppfæra netkerfið. Liðið höfðu hönnuð skipt netkerfi með vefforritum sem aðskilja fyrirtækisnetið frá framleiðslusvæðinu. Þetta er venjuleg aðferð, eins og í bókinni. En þegar þeir settu reglurnar í verk, byrjuðu forritanlegar rásstýringar (PLC) að gefa út tímaútrýmingar vegna samskipta. Vefforritin voru að skoða Modbus-færslur og bættu við nóg dregur til að koma PLC-unum yfir tímalímit þeirra.

Lausninn var ekki að fjarlægja vörnur—það hefði hins vegar fellað á öryggismarkmiðin. Í staðinn endurskipulagði liðið dýpt skoðunar, setti upp minna áhrifamiklar reglur fyrir þekkt örugga umferð og bætti við sérstökum iðnaðarvörnum sem skilja tímaþörfir prótókollsins. Kennslan féll á: Öryggisstjórnun þarf að taka tillit til rekstrarbundinna takmörkunanna, ekki aðeins þeirra bestu kenningaræða. Vörn sem brýtur framleiðslu er verri en engin vörn í allt, því hún verður sleppt eða slökkt á henni.

Venjulegar umhugsanir varðandi útbreiðslu

Uppsetning vörnutaekja krefst þess að svara nokkrum grunnspurningum áður en einhverja tölvutæki eru snert. Hver umferð þarf raunverulega að renna milli svæða? Hverjir prótókollar eru í notkun og hafa þeir ákveðnar tíma- eða dvalatímaþurfi? Hver þarf stjórnunar-aðgang og frá hvaða stað? Hvað gerist þegar vörnunin mistekst—skilar umferðin sjálfgefinni leyfi eða bannmæli?

Svörin eru mismunandi eftir umhverfi. Fyrirtækjaþjónustuskerfisnet er með önnur forgangsröð en vökvarafvinnsluverk eða sjálfvirkunarkerfi í vistunarskerfum. Sameiginlega þráðurinn er að reglur fyrir veituvörn ættu að fylgja grundsögu minnstu réttindanna: leyfa aðeins það sem er skýrt nauðsynlegt og banna allt annað. Þetta hljómar augljóst, en í raunveruleikanum safnast oft úrlausnir við reglur saman með tímanum þar til þær líkjast sveitskum osti. Reglubundin endurskoðun á reglum og hreinsunarsérsessi koma í veg fyrir þessa síðustu afslæmingu á öruggleika.