Af hverju er vandamælisvörn (hardware firewall) mikilvæg fyrir iðnaðarlega tölvuþjónustu

Stöðugildi eru önnur á framleiðslusvæðinu

Iðnaðar-IT-miljó eru með einhverjar líknessur við hefðbundin fyrirtækjanet, en munurinn er mikilvægri. Tiltækt tölvupóstþjónustu veldur óþægindum. Tiltækt forritanlegt stýrislóða getur hætt framleiðslulínu, skaðað tæki eða valdið öryggisvanda. Afleiðurnar breytast í stærð. Þessi grunnmunur ákvarðar þörfina á öryggisáætlunum sem taka tillit til sérstakra eiginleika rekstrar tækni.

Vélbundin bransarvörur veita ákveðið stig aðskilnaðar sem hugbúnaðarbyggðar leiðréttingar hafa erfitt með að ná. Þær eru settar á milli fyrirtækjastofnnetins og iðnaðarstýrslunetins og framkvæma strangar reglur um hvaða netfærslur mega ferðast milli þeirra tveggja. Þessi aðskilnaður er ekki aðeins um að halda ósæmilegum aðilum úti – hann er líka um að koma í veg fyrir að vandamál á viðskiptahliðinni hafa áhrif á framleiðslu. Ranglega stilltur DHCP-netþjónn eða útbreiðslusprengja (broadcast storm) á IT-netinu ætti ekki að láta framleiðslulínu falla niður. Vélbundnar bransarvörur hjálpa við að viðhalda þessari markgrönnu.

Af hverju krefjast iðnaðarprótóll sérstakrar meðhöndlunar

Venjuleg vörnunartölvur skilja TCP/IP. Þær meðhöndla HTTP, SMTP og venjulegu fyrirtækjaprotokollurnar án vandamála. En iðnaðarnetin tala annað tungumál. Modbus, Profinet, EtherNet/IP, DNP3 og dýrlega fleiri protokollar berja skipanir sem stjórna beint líklegum ferlum. Venjuleg vörnunartölva gæti ekki skilið þessa protokolla í heild sinni, og meðhöndlar þá sem óþekktum umferð og heldur þá annað hvort út eða inn án greiningar.

Vörnunartölvur fyrir iðnaðarbruk hafa djúpum pakka greiningu sem skilur protokollurnar. Þær skilja uppbyggingu skilaboða í iðnaðarprotokollum og geta auðkennt frávik – illa mynduð beiðni, skipanir í röngri röð eða umferðarmynstur sem víkja frá venjulegri virkni. Þessi hæfni er mikilvæg vegna þess að árásir á iðnaðarkerfi nýta oft framkvæmdarskort í protokollunum frekar en vandræði á netlaginu. Vörnunartölva sem ekki sér forritslaginu getur ekki verndað gegn þessum hættum.

Jafnan um afköst: Latency er mikilvægt

Fyrirtækjatengsl geta tekið við dvalatíma í hundraðum millisekúnda án áhrifa sem hægt er að greina. Iðnaðarstýrtengsl vinna oft á miklu styttri tímabili. Hreyfistýringarlykkja gæti þurft uppfærslur hverjar fárar millisekúndur. Öryggisbryggjukerfi vantar svar innan skilgreindra tímaspá. Ef dvalatíminn er of langur á einhverjum stað í ferlinu, mistekst kerfið.

Vélarveggir sem eru hannaðir fyrir iðnaðarnotkun leysa þetta með ýmsum aðferðum. Þeir flytja pakkaflutningaframvindu yfir á sérstaka vélarfremsku í stað þess að beita almennri örgjörvusamstillingu. Þeir halda staða töflum í hröðu minni í stað disk. Þeir beita skoðunarreglum á þann hátt að það kemur ekki fram áhrif á dvalatíma. Niðurstaðan er öryggi án þess að bera á árangri. Hugbúnaðarvélarveggir sem keyra á deildum vélarvélum geta ekki alltaf veitt þessa ábyrgð, sérstaklega undir álagi.

Þáttun sem öryggisstrategía

Staðallinn IEC 62443 formlegar það sem margir íþróttaröryggisfræðingar vissu þegar áður: netin ætti að skipta í svæði og umferð milli svæða ætti að vera stjórnuð. Tæknibundin brýrnetstæki eru þau sem framkvæma þessa svæðamörk. Þau útfæra kröfuna um „takmarkaða gögnaflytju“ sem er í hjarta öryggismódelles staðalsins.

Í praksis er skiptingin mismunandi í hverjum tilvikum. Sumar stofnanir skipta alveg IT frá OT, með tæknibundinni brýrnetstæki sem einu tengipunktinum. Aðrar stofnanir mynda viðbótarsvæði innan OT-netins – til dæmis með því að skipta öryggiskerfum frá stjórnkerfum eða með því að einangra eldri tæki sem ekki er hægt að uppfæra. Tæknibundin brýrnetstæki við hverja marklínuna framkvæma reglurnar, skrá umferð og blokkar brot. Þessi lagða nálgun takmarkar skaðann sem einhver einstök ofbeldisgreining getur valdið. Árásarmaður sem fer í gegnum IT-netið stendur samt frammi fyrir viðbótarröskunum áður en hann nálgast mikilvæg framleiðslukerfi.

Hvað gerist þegar veggeldi vantar

Efnaframleiðslufyrirtæki í Gulf Coast-héraðinu lærði þessa setningu á harðan hátt. Stöðin hafði vaxið yfir áratugi, með viðbót nettengdra stjórnkerfa án samhæfis investeringa í netöryggi. IT- og OT-netin voru í raun eitt flatnet. Þegar venjuleg hugbúnaðaruppfærsla á IT-netþjóni leiddi til óvænta netumferðar reyndi stjórnkerfið millitímabundnar samskiptatöfur. Ekkert ólöglegt—bara útbreiðslusveifla frá villandi forriti. En framleiðsluáhrifin voru strax áberandi og dýr.

Verkstæðið spentu nokkrar daga að rekja vandamálið, á meðan framleiðsla var í lágri getu. Ljósviðbótin sem loksins kom til stands inniheldur uppsetningu á vöruforritavörunni (hardware firewall devices) á milli IT- og OT-netanna, ásamt réttum skiptireglum. Reynslan sýndi á ljós punkt sem er auðvelt að gleyma: öryggi er ekki aðeins um vernd gegn árásama. Það er líka um að halda rekstrarstöðugleika í andstöðu við venjulegar IT-virkni sem geta óvart truflað iðnaðarkerfi.

Praktískur kostur sérstakrar vöruforritavöru

Vöruforritavörur býða upp á kosti utan öryggis. Þær veita greinilegar stjórnunarmörk. Netliðirnar vita nákvæmlega hvar IT-netið endar og OT-netið byrjar. Aðgerð við atvik verður einfaldari – skrár frá vöruforritavörunni sýna nákvæmlega hvaða netfærsla fór yfir mörkin og hvenær. Yfirvöldunarkröfur fá sömu greinileikann.

Sjálfar tækin eru hönnuð fyrir samfellda virkni. Þau hafa engin hreyfihlutur, nota passíva kælingu og innihalda oft ávallt aföllunarvalkosti fyrir rafmagn í mörgum útfærslum. Þessar hönnunaraðgerðir spegla notkunarumhverfið – iðnaðarstöðvar eru ekki hitareglaðar netþjónustuskráningar. Hitabreytingar, titringar og ryk eru raunveruleikar í lífinu. Tæki sem eru hönnuð fyrir þessa aðstæður halda lengur og mistakast sjaldnare en almenn tæki sem eru notað fyrir öryggisþjónustu.