EN
Spēles ir citādas ražošanas telpā
Rūpnieciskās IT vides dalās dažās līdzībās ar tradicionālajām uzņēmumu tīkliem, taču atšķirības ir svarīgākas. Kompromitēts e-pasta serveris rada problēmas. Kompromitēts programmējamais loģikas vadības ierīce var apturēt ražošanas līniju, sabojāt aprīkojumu vai radīt drošības riskus. Sekas mainās citādā mērogā. Šī pamatatšķirība nosaka nepieciešamību pēc drošības pieejām, kas ņem vērā operacionālo tehnoloģiju unikālās īpašības.
Aparatūras ugunssienas ierīces nodrošina izolācijas līmeni, ko programmatūras pamatā balstītām alternatīvām grūti sasniegt. Tās atrodas starp korporatīvo tīklu un rūpnieciskās vadības tīklu, stingri regulējot, kāda datu plūsma var pārvietoties starp abiem tīkliem. Šī atdalīšana nav tikai par to, lai novērstu ļaunprātīgu darbību — tā arī novērš problēmu izplatīšanos no biznesa puses uz ražošanu. Nepareizi konfigurēts DHCP serveris vai IT tīklā radusies izplatīšanas viesuļvētra nedrīkst apturēt ražošanas līniju. Aparatūras ugunssienas palīdz saglabāt šo robežu.
Kāpēc rūpnieciskajiem protokoliem nepieciešama specializēta apstrāde
Standarta ugunssienas izprot TCP/IP. Tās apstrādā HTTP, SMTP un citus parastus uzņēmumu protokolus bez grūtībām. Tomēr rūpnieciskās tīklu sistēmas runā citā valodā. Modbus, Profinet, EtherNet/IP, DNP3 un desmiti citu protokolu pārraida komandas, kas tieši kontrolē fiziskos procesus. Vispārīga ugunssienas ierīce var vispār nepazīt šos protokolus, uzskatot tos par nezināmu datplūsmu un vai nu bloķējot tos, vai caurlaižot bez pārbaudes.
Rūpnieciskās klases aparatūras ugunssienas ierīces ietver protokolu-apzinīgu dziļu paketes pārbaudi. Tās izprot rūpniecisko protokolu ziņojumu struktūru un spēj identificēt neatbilstības — nepareizi veidotas pieprasījumus, komandas ārpus secības vai datplūsmas paraugus, kas atšķiras no normālas darbības. Šī spēja ir būtiska, jo uzbrukumi rūpnieciskajām sistēmām bieži izmanto protokolu vājības, nevis tīkla slāņa vulnerabilities. Ugunssiena, kas neredz lietojumprogrammu slāni, nevar aizsargāt pret šādām draudām.
Veiktspējas vienādojums: Latence ir svarīga
Uzņēmumu tīkli var izturēt kavēšanos simtiem milisekunžu laikā, neizraisot redzamu ietekmi. Rūpnieciskie vadības tīkli bieži darbojas daudz stingrākos laika ierobežojumos. Kustības vadības cikls var prasīt atjauninājumus ik pāris milisekundēs. Drošības bloķēšanas sistēma gaida atbildi noteiktā laika logā. Ja kavēšanās kaut kur ceļā pārsniedz pieļaujamo robežu, sistēma nedarbojas.
Rūpnieciskai lietošanai paredzēti aparatūras ugunsmūri risina šo problēmu vairākos veidos. Tie nodod pakotņu apstrādi specializētai aparatūrai, nevis vispārīga mērķa procesoriem. Tie saglabā stāvokļa tabulas ātrā atmiņā, nevis uz diska. Tie piemēro pārbaudes noteikumus tik efektīvi, ka nepievieno mērāmu kavēšanos. Rezultātā tiek nodrošināta drošība, nekompromitējot veiktspēju. Programmatūras ugunsmūri, kas darbojas koplietotā aparatūrā, ne vienmēr var garantēt to pašu, īpaši slodzes apstākļos.
Segmentācija kā drošības stratēģija
Standarts IEC 62443 formalizē to, ko daudzi rūpnieciskās drošības speciālisti jau zināja: tīkliem jābūt sadalītiem zonās, un datu plūsmai starp zonām jābūt kontrolētai. Apaļās ugunsmūra ierīces kalpo kā šo zonu robežu izpildes punkti. Tās īsteno "ierobežotās datu plūsmas" prasību, kas ir standarta drošības modeļa kodols.
Praktiskā segmentācija katrā objektā izskatās citādi. Dažas organizācijas pilnībā atdala IT no OT, izmantojot apaļo ugunsmūra ierīci kā vienīgo savienojuma punktu. Citas veido papildu zonas iekšējā OT tīklā — atdalot drošības sistēmas no vadības sistēmām vai izolējot vecās iekārtas, kurām nav iespējams uzstādīt aizsardzības atjauninājumus. Katrā robežā esošās apaļās ugunsmūra ierīces izpilda noteiktās likumības, reģistrējot datu plūsmu un bloķējot pārkāpumus. Šis slāņots pieejas veids ierobežo kaitējumu, ko var izraisīt jebkura viena kompromitācija. Uzbrucējs, kurš pārkāpj IT tīklu, joprojām saskaras ar papildu barjerām, pirms nonāk kritiskajās ražošanas sistēmās.
| Uzstādīšanas scenārijs | Galvenā funkcija | Galvenais apsvērums |
|---|---|---|
| IT-OT robeža | Kontrolēt visu satiksmi starp korporatīvajām un ražošanas tīkliem | Noteikumu kopumam jāsaglabā līdzsvars starp drošību un operacionālajām vajadzībām |
| OT iekšējās zonas | Izolēt drošības sistēmas, vecās iekārtas un kritiskos aktīvus | Protokolu apzinīga pārbaude ir būtiska |
| Attālinātā piekļuves punkts | Drošas ārējās savienojumu uzturēšanai un uzraudzībai | Prasa stingru autentifikāciju un šifrēšanu |
| DMZ segments | Viesa pakalpojumu pieejamība gan IT, gan OT vidē | Ugunsmūra noteikumiem jābūt precīziem un rūpīgi dokumentētiem |
Kas notiek, ja trūkst ugunsmūru
Ķīmiskās pārstrādes rūpnīca Gulf Coast reģionā šo pamatnostādni iemācījās ļoti dārgi. Objekts bija augis desmitgadēm, pievienojot tīklā savienotus vadības sistēmu, tačau bez atbilstoša ieguldījuma tīkla drošībā. IT un OT tīkli faktiski veidoja vienu vienotu tīklu. Kad rutīnā veiktā programmatūras atjaunināšana IT serverī izraisīja negaidītu tīkla datplūsmu, vadības sistēmā radās periodiskas saziņas problēmas. Nekas nelietderīgs — tikai izplatīšanas viesulis no kļūdainas lietojumprogrammas. Tomēr ražošanas ietekme bija nekavējoties redzama un dārga.
Rūpnīca vairākas dienas pavadīja problēmas izsekošanā, kamēr ražošana turpinājās samazinātā jaudā. Galu galā problēmu novērsa, instalējot aparatūras ugunssienas ierīces starp IT un OT tīkliem kopā ar atbilstošiem segmentācijas noteikumiem. Šis pieredzes piemērs uzsvēra vienu bieži nepamanāmu aspektu: drošība neattiecas tikai uz aizsardzību pret uzbrucējiem. Tā ir arī operatīvās stabilitātes saglabāšana, kas var tikt traucēta pat ikdienišķās IT darbībās, kuras nejauši var izraisīt rūpniecisko sistēmu darbības traucējumus.
Dedizētu aparatūras priekšrocības praksē
Aparatūras ugunssienas ierīces piedāvā priekšrocības, kas ir lielākas par vienkāršu drošību. Tās nodrošina skaidras administratīvās robežas. Tīkla komandas zina, kur beidzas IT tīkls un kur sākas OT tīkls. Incidentu reaģēšana kļūst vienkāršāka — ugunssienas žurnālos precīzi redzams, kāds datu saturs šķēroja robežu un kad tas notika. Tas pašu skaidrību nodrošina arī atbilstības revīzijām.
Ierīces pašas ir izstrādātas nepārtrauktai darbībai. Tām trūkst kustīgu daļu, tās izmanto pasīvo dzesēšanu un daudzās konfigurācijās ietver rezerves barošanas iespējas. Šie konstrukcijas risinājumi atspoguļo ekspluatācijas vidi — rūpnieciskās vietas nav klimatizēti serveru telpas. Temperatūras svārstības, vibrācijas un putekļi ir ikdienas realitāte. Aprīkojums, kas izstrādāts šādām apstākļiem, kalpo ilgāk un sliktāk nekā vispārējam mērķim paredzēts aprīkojums, ko piespiež izmantot drošības nolūkos.