EN
Na výrobnom podlahe sú riziká iné
Priemyselné IT prostredia majú niektoré podobnosti s tradičnými podnikovými sieťami, no rozdiely sú dôležitejšie. Kompromitovaný emailový server spôsobí problémy. Kompromitovaný programovateľný logický regulátor môže zastaviť výrobnú linku, poškodiť vybavenie alebo vytvoriť bezpečnostné riziká. Dôsledky sa líšia v stupni závažnosti. Toto základné rozlíšenie určuje potrebu bezpečnostných prístupov, ktoré berú do úvahy jedinečné charakteristiky operačnej technológie.
Zariadenia hardvérových firewallov poskytujú úroveň izolácie, ktorú softvérové alternatívy ťažko dosiahnu. Nachádzajú sa medzi podnikovou sieťou a sieťou priemyselného riadenia a vynucujú prísne pravidlá o tom, aký prenos dát môže prechádzať medzi týmito dvoma sieťami. Toto oddelenie nie je len otázkou ochrany pred zlými aktérmi – ide tiež o zabránenie tomu, aby problémy na obchodnej strane ovplyvnili výrobu. Nesprávne nakonfigurovaný DHCP server alebo šírenie výbuchu (broadcast storm) v IT sieti by nemali spôsobiť výpadok výrobnej linky. Hardvérové firewally pomáhajú udržiavať túto hranicu.
Prečo priemyselné protokoly vyžadujú špecializované spracovanie
Štandardné firewally poznajú protokol TCP/IP. Bez problémov spravujú HTTP, SMTP a bežné podnikové protokoly. Priemyselné siete však hovoria iným jazykom. Protokoly Modbus, Profinet, EtherNet/IP, DNP3 a desiatky ďalších prenášajú príkazy, ktoré priamo ovládajú fyzické procesy. Zariadenie bežného firewallu tieto protokoly nemusí vôbec rozpoznať a môže ich považovať za neznámu sieťovú prevádzku, čo má za následok ich blokovanie alebo prenos bez kontroly.
Firewallové zariadenia priemyselnej kvality obsahujú hlbokú kontrolu paketov so zameraním na konkrétne protokoly. Rozumejú štruktúre správ priemyselných protokolov a dokážu identifikovať odchýlky – poškodené požiadavky, príkazy v nesprávnom poradí alebo sieťové vzory, ktoré sa odlišujú od normálneho prevádzkového režimu. Táto schopnosť je dôležitá, pretože útoky na priemyselné systémy často využívajú slabiny v protokoloch namiesto zraniteľností na sieťovej vrstve. Firewall, ktorý nedokáže vidieť aplikačnú vrstvu, nemôže tieto hrozby chrániť.
Rovnica výkonu: Latencia je rozhodujúca
Podnikové siete vydržia oneskorenie v stovkách milisekúnd bez zreteľného vplyvu. Priemyselné riadiace siete často pracujú v oveľa tesnejších časových rámcoch. Cyklus riadenia pohybu môže vyžadovať aktualizácie každých niekoľko milisekúnd. Bezpečnostný systém zámkov očakáva odpovede v rámci definovaného časového okna. Ak sa kdekoľvek v ceste pridá príliš veľa oneskorenia, systém zlyhá.
Hardvérové firewally navrhnuté pre priemyselné použitie riešia tento problém prostredníctvom niekoľkých mechanizmov. Spracovanie paketov presúvajú na špeciálne hardvérové jednotky namiesto toho, aby sa spoliehali na všeobecné procesory (CPU). Stavové tabuľky uchovávajú v rýchlej pamäti namiesto disku. Pravidlá kontroly aplikujú tak efektívne, že nezavádzajú merateľné oneskorenie. Výsledkom je bezpečnosť bez kompromisov s výkonom. Softvérové firewally bežiace na zdieľanom hardvéri nemusia túto záruku vždy poskytnúť, najmä za zaťaženia.
Segmentácia ako bezpečnostná stratégia
Štandard IEC 62443 formalizuje to, čo mnohí odborníci v oblasti bezpečnosti priemyselných sietí už dlho vedeli: siete by sa mali rozdeliť na zóny a premávka medzi týmito zónami by sa mala kontrolovať. Hardvérové firewallové zariadenia slúžia ako body vynútenia týchto hraníc zón. Implementujú požiadavku „obmedzeného toku dát“, ktorá je jadrom bezpečnostného modelu tohto štandardu.
Praktické segmentovanie vyzerá v každej prevádzke inak. Niektoré organizácie úplne oddelujú IT od OT, pričom jediným spojovacím bodom je hardvérové firewallové zariadenie. Iné vytvárajú ďalšie zóny v rámci OT siete – napríklad oddelujú bezpečnostné systémy od riadiacich systémov alebo izolujú staršie zariadenia, ktoré nie je možné aktualizovať. Hardvérové firewallové zariadenia na každej takejto hranici vynucujú príslušné pravidlá, zaznamenávajú premávku a blokujú porušenia. Tento viacvrstvový prístup obmedzuje škody, ktoré môže spôsobiť akákoľvek jediná kompromitácia. Útočník, ktorý prenikne do IT siete, stále čelí ďalším bariéram, kým sa dostane k kritickým výrobným systémom.
| Scenár nasadenia | Primárna funkcia | Kľúčové zváženie |
|---|---|---|
| Hranica IT–OT | Ovládať celý prevádzkový premiestňovací prietok medzi korporátnou a výrobnou sieťou | Súbor pravidiel musí vyvážiť bezpečnostné požiadavky s prevádzkovými potrebami |
| Vnútorné zóny OT | Izolovať bezpečnostné systémy, zastarané zariadenia a kritické aktíva | Preskúmanie protokolov je nevyhnutné |
| Bod vzdialeného prístupu | Zabezpečené vonkajšie pripojenia pre údržbu a monitorovanie | Vyžaduje silnú autentifikáciu a šifrovanie |
| Segment DMZ | Služby hosťovania prístupné z IT aj z OT | Pravidlá firewallu musia byť presné a dobre zdokumentované |
Čo sa stane, keď chýbajú firewally
Chemická spracovateľská výrobna v regióne Gulf Coast túto lekciu naučila na vlastnej koži. Výrobna sa počas desaťročí rozrastala a pridávala sieťové riadiace systémy bez zodpovedajúcej investície do bezpečnosti siete. IT a OT siete boli v podstate jednou plochou sieťou. Keď bežná aktualizácia softvéru na IT serveri spôsobila neočakávaný sieťový prevádzkový objem, riadiaci systém začal mať občasné komunikačné poruchy. Nič zlobivé – len šírenie prebytočných paketov (broadcast storm) z aplikácie, ktorá sa správala nepredvídateľne. Avšak dopad na výrobu bol okamžitý a nákladný.
Závod strávil niekoľko dní vyhľadávaním príčiny problému, pričom výroba prebiehala zníženou kapacitou. Nakoniec sa problém vyriešil inštaláciou hardvérových firewallových zariadení medzi IT a OT sietmi spolu s vhodnými pravidlami segmentácie. Táto skúsenosť poukázala na bod, ktorý je ľahké podceniť: bezpečnosť neznamená len obranu proti útočníkom. Zároveň zahŕňa udržiavanie prevádzkovej stability v dôsledku bežných IT aktivít, ktoré môžu neúmyselne narušiť priemyselné systémy.
Praktické výhody špeciálne určeného hardvéru
Hardvérové firewallové zariadenia ponúkajú výhody nad rámec bezpečnosti. Poskytujú jasné administratívne hranice. Sieťové tímy presne vedia, kde končí IT sieť a kde začína OT sieť. Reakcia na incidenty sa tak stáva jednoduchšou – denníky z firewallu presne ukazujú, aký prevádzkový dátový tok prekročil hranicu a kedy. Rovnaká jasnosť prináša výhody aj auditom dodržiavania predpisov.
Zariadenia samotné sú navrhnuté na nepretržitý prevádzkový režim. Nemajú pohyblivé časti, využívajú pasívne chladenie a v mnohých konfiguráciách obsahujú záložné možnosti napájania. Tieto návrhové rozhodnutia odrážajú prevádzkové prostredie – priemyselné prostredia nie sú klimatizované serverové miestnosti. Kolísanie teplôt, vibrácie a prach sú bežnou realitou. Hardvér navrhnutý pre tieto podmienky vydrží dlhšie a poruchy sa v ňom vyskytujú menej často ako v univerzálnych zariadeniach, ktoré sú nútené plniť bezpečnostné úlohy.