Maksimizējiet savu ugunsmūru ierīču iespējas: uzlabotas drošības padomi

Tālāk par noklusējuma konfigurāciju

Noklusējuma ugunsmūra konfigurācijas pastāv tāpēc, ka tās ātri palaiž sistēmas ar minimālu berzi. Tomēr tās ir tikai pamatlīmenis, nevis galīgais mērķis. Vairumā ugunsmūru ierīču piegādātās noklusējuma noteikumu kopas ir izstrādātas darbam dažādos vides apstākļos. Tās prioritizē savienojamību pirms drošības, ļaujot plašu piekļuvi, kas vienkāršo sākotnējo izvietošanu. Ja tās paliek nemainītas, rodas nepieciešamā papildu ekspozīcija.

Maksimālā ugunssienas efektivitāte nozīmē, ka jāpārtrauc izmantot noklusējuma iestatījumus. Tas nozīmē, ka jāsaprot konkrētās datu plūsmas raksturīgās īpašības tīklā, ko aizsargā, un attiecīgi jāpielāgo noteikumi. Tas nozīmē, ka jāpiemēro minimālās privilēģijas princips ne tikai teorijā, bet arī praksē — jāatļauj tikai tas, kas ir skaidri nepieciešams, un viss pārējais jānoraida. Iegūtais drošības uzlabojums ir daudz lielāks nekā pieejamais ieguldījums.

Noteikumu kopas tīrība: noņemt uzkrāto netīrumu

Ugunssienas noteikumu kopas parasti laika gaitā aug organiski. Pagaidu noteikums, ko pievienoja uzņēmuma apmeklētāja vizītes laikā, kļūst pastāvīgs. Testa noteikums jaunai lietotnei paliek spēkā ilgi pēc tam, kad lietotne jau darbojas. Izņēmumi uzkrājas, katrs no tiem pievienojot sarežģītību un potenciālu risku. Rezultātā rodas noteikumu kopa, kuru neviens pilnībā nesaprot un kurā ir daudz vairāk atļauju, nekā patiesībā nepieciešams.

Parastās noteikumu kopas pārskatīšanas risina šo problēmu. Procesa gaita ir vienkārša: eksportē pašreizējo noteikumu kopu, dokumentē katras atsevišķas normas faktisko darbību, pārbauda, vai katrs noteikums joprojām ir nepieciešams, un noņem vai stingrinām visu, kas nav vairs vajadzīgs. Pirmais pārskatījums bieži nodrošina lielāko samazinājumu — daudzas organizācijas konstatē, ka 20–30 % no savām normām var izdzēst vai apvienot. Turpmākie pārskatījumi ātri atklāj mazākas, bet pieaugošas neatbilstības, pirms tās kļūst ievērojamas.

Žurnālu veda: Neizmantotais diagnostikas rīks

Ugunsmūra žurnāli satur milzīgu informācijas daudzumu, ko daudzās ieviešanās situācijās neizmanto. Katrs atļautais savienojums, katrs bloķētais mēģinājums un katrs noteikuma atbilstības gadījums rada žurnāla ierakstu. Šie žurnāli dokumentē parastās datu plūsmas, atklāj neparastu aktivitāti un sniedz pierādījumus, ja notiek kaut kas nepareizi. Tomēr daudzas organizācijas žurnālu vedību uzskata tikai par atbilstības prasību pārbaudes punktu, nevis par operatīvu rīku.

Efektīva žurnālu pārvaldība sākas ar izpratni par to, ko tiešām reģistrē. Ne katram notikumam ir vajadzīgs vienāds detalizācijas līmenis. Augstas datu plūsmas vidē katru atļauto savienojumu reģistrējot, rodas krātuves problēmas. Reģistrējot tikai bloķētos savienojumus un neparastus notikumus, iegūst rīcības vērtīgu informāciju bez liekas sloga. Galvenais ir pareizi konfigurēt žurnālu reģistrācijas līmeņus — pietiekami detalizētus, lai būtu noderīgi, bet vienlaikus pietiekami izvēlētus, lai būtu pārvaldāmi. Regulāras žurnālu pārskatīšanas, pat īsas, palīdz novērst problēmas, kuras automātiskās brīdinājumu sistēmas varētu palaidt garām.

Rūpnieciskā protokola pārbaude: tālāk par portu balstītajiem noteikumiem

Standarta ugunsmūra noteikumi, kas balstīti uz portu numuriem, nepiedāvā pietiekamu aizsardzību rūpnieciskajām tīklam. Uzbrucējs var nosūtīt kaitīgus Modbus komandu signālus caur portu 502 — standarta Modbus portu — un portu balstīts noteikums tos priecīgi izlaist. Ugunsmūrs redz pareizo portu un ļauj datu plūsmai bez iekšējā saturs pārbaudes.

Rūpnieciskie ugunsmūra ierīču ar protokolu apzinīgu pārbaudi pārbauda rūpniecisko protokolu ziņojumu saturu. Tās saprot Modbus pieprasījumu struktūru, Profinet komandu kopu, EtherNet/IP datu formātu. Šis sapratne ļauj identificēt neatbilstības — Modbus rakstīšanas komandu uz tikai lasāmu reģistru, komandu secību, kas neatbilst normālajiem darbības paraugiem, vai ziņojumu, kas pārsniedz pamatotus izmēra ierobežojumus. Šādas neatbilstības bieži norāda uz konfigurācijas kļūdām vai aktīvu uzbrukumu. Protokolu apzinīga pārbaude atklāj abus gadījumus.

IEC 62443 standarts skaidri prasa šāda veida ierobežotu datu plūsmu uzraudzību starp zonām. Portu balstītas likumi neatbilst standarta prasībām. Protokolu apzinīga pārbaude atbilst prasībām. Organizācijām, kas pakļautas atbilstības prasībām, ir jāpārbauda, vai to ugunssienas ierīces atbalsta šo funkciju un vai tā ir pareizi konfigurēta.

Dublēšana un pāreja uz rezerves sistēmu: sagatavošanās neizbēgamajam

Ugunssienas ierīces beidzot nolietojas. Barošanas avoti zaudē efektivitāti. Programmatūras atjauninājumi izdodas nepareizi. Konfigurācijas kļūdas administratorus bloķē no piekļuves. Jautājums nav par to, vai notiks atteice—jautājums ir par to, vai tīkls paliks aizsargāts, kad tā notiks.

Augstas pieejamības konfigurācijas risina šo problēmu, apvienojot ugunsmūra ierīces aktīvā-pasīvā vai aktīvā-aktīvā režīmā. Aktīvā-pasīvā konfigurācijā viena ierīce apstrādā visu datplūsmu, bet otra gaida gatavībā. Ja aktīvā ierīce nolūst, pasīvā ierīce pārņem funkcijas ar minimālu pārtraukumu. Aktīvā-aktīvā konfigurācijā datplūsma tiek sadalīta abās ierīcēs, nodrošinot gan slodzes izlīdzināšanu, gan redundanci.

Konfigurācijas veikšana nav vienkārša uzdevums. Stāvokļa tabulas jāsinhronizē starp ierīcēm, lai aktīvās savienojumu sesijas pārdzīvotu pārslēgšanos. Maršrutēšanai jāņem vērā aktīvās ierīces maiņa. Testēšanai jāpārbauda, vai pārslēgšanās notiek paredzētajā veidā. Tomēr šis piepūles apjoms attaisno sevi, kad barošanas avots nolūst 2:00 naktī un ražošana turpinās bez pārtraukuma.

Piemērs no reālās dzīves: tālakopēja pieeja, kas izpildīta pareizi

Ūdensapgādes uzņēmumam, kas nodrošina pakalpojumus vidēja izmēra metropolijas reģionā, bija nepieciešams nodrošināt attālinātu piekļuvi aprīkojuma ražotājiem un apkopes līgumuzņēmējiem. Sākotnējā risinājuma pamatā bija VPN ierīce ar plašiem piekļuves noteikumiem — jebkurš autentificēts lietotājs varēja piekļūt jebkurai ierīcei OT tīklā. Šis risinājums darbojās, tačau radīja būtisku drošības risku. Ja vendoru konts tiktu kompromitēts, tas sniegtu piekļuvi visai vadības sistēmai.

Ūdensapgādes uzņēmums pārprojektēja attālinātās piekļuves arhitektūru, izmantojot ugunsmūrus ar detalizētiem piekļuves kontrolnoteikumiem. Katram vendoram tika piešķirta piekļuve tikai tiem konkrētajiem sistēmas elementiem, kurus viņiem bija nepieciešams atbalstīt. Apkopes līgumuzņēmēji varēja piekļūt tikai tam aprīkojumam, kuru viņi apkalpoja konkrētajos objektos. Ugunsmūrs šīs ierobežošanas īstenoja tīkla līmenī, papildinot VPN autentifikāciju ar autorizācijas noteikumiem, kas ierobežoja to, ko autentificētie lietotāji patiesībā varēja darīt. Jaunais risinājums būtiski samazināja uzbrukuma virsmu, neieviešot papildu sarežģītību likumīgiem lietotājiem.

Uzraudzināšana un brīdinājumi, kas patiešām palīdz

Ugunsmūra ierīces ģenerē brīdinājumus iemesla dēļ — lai pievērstu uzmanību notikumiem, kuriem nepieciešama izpēte. Tomēr brīdinājumu nogurums ir reāls. Pārāk daudz brīdinājumu, īpaši zemas kvalitātes, noved pie ignorētiem paziņojumiem un palaidumiem garām incidentiem. Efektīva uzraudzināšana prasa pielāgošanu: nepatieso pozitīvo rezultātu samazināšanu, būtisku notikumu prioritizēšanu un nodrošināšanu, ka brīdinājumi nonāk pie pareizajām personām.

Sāciet ar brīdinājumu kategorizāciju pēc smaguma pakāpes. Konfigurācijas izmaiņas, administratīvās pieslēgšanās un kritiskas kļūmes prasa nekavējoties rīkoties. Atkārtotas pieslēgšanās neveiksmes no ārējām adresēm vajadzītu izpētīt, taču tās varbūt nepieprasa 2:00 naktī izsaukumu. Satiksmes straujš pieaugums uz nenobriedušām vietām atrodas kaut kur starp šīm divām kategorijām. Kategorizācija jāatbilst organizācijas riska pieņemšanas līmenim un operacionālajām ierobežojumiem. 24/7 ražošanas darbībai ir citādi uzraudzināšanas noteikumi nekā diennakts laikā darbojošai biroja tīklam.

Regulāras brīdinājumu pārskatīšanas sesijas, kas notiek nedēļas vai mēneša intervālā, identificē paraugus, kurus atsevišķi brīdinājumi neatklāj. Vairāku zemas intensitātes brīdinājumu virkne no dažādiem avotiem kopā var norādīt koordinētu uzbrukumu. Pārskatīšanas process arī nodrošina atsauksmes pielāgošanai — brīdinājumus, kas nepārtraukti izrādās nevajadzīgi, var apspiest vai pārkonfigurēt.