Povečajte učinkovitost naprav za požarni zid: napredne varnostne nasvete

Izven privzete konfiguracije

Privzete konfiguracije požarnih zidov obstajajo iz določenega razloga – omogočajo hitro zagon sistemov z minimalnimi težavami. Hkrati pa predstavljajo le osnovo, ne pa končne rešitve. Nabori privzete pravil, ki so vgrajeni v večino naprav za požarne zidove, so zasnovani za delovanje v širokem spektru okolij. Prioriteta je povezljivost namesto varnosti, kar omogoča širok dostop in poenostavi začetno namestitev. Če jih pustite nespremenjene, ustvarite nepotrebno izpostavljenost.

Za maksimiranje učinkovitosti požarnega zidu je treba iti čez privzete nastavitve. Pomeni razumevanje posebnih vzorcev prometa v omrežju, ki ga želimo zaščititi, in ustrezno prilagoditev pravil. Pomeni tudi uporabo načela najmanjše privilegirane dostopnosti ne le na teoretični, temveč tudi na praktični ravni – dovoliti le tisto, kar je izrecno potrebno, vse ostalo pa zavrniti. Trud, ki ga to zahteva, je skromen v primerjavi z izboljšavo varnosti, ki jo dosežemo.

Održevanje nabora pravil: odstranitev nakopičenega nepotrebnega materiala

Nabori pravil za požarne zidove se s časom običajno naravno povečujejo. Začasno pravilo, dodano za obisk dobavitelja, postane trajno. Preskusno pravilo za novo aplikacijo ostane v veljavi še dolgo po tem, ko aplikacija že deluje. Izjeme se kopičijo, vsaka pa poveča zapletenost in morebitno izpostavljenost. Rezultat je nabor pravil, ki ga nihče v celoti ne razume in ki vsebuje veliko več dovoljenj, kot je dejansko potrebno.

Redni pregledi naborov pravil rešijo ta problem. Postopek je preprost: izvoz trenutnega nabora pravil, dokumentacija dejanske funkcije vsakega pravila, preverjanje, ali je vsako pravilo še vedno potrebno, ter odstranitev ali omejitev vseh nepotrebnih pravil. Prvi pregled pogosto prinese največjo zmanjšanje – mnoge organizacije ugotovijo, da se 20–30 % njihovih pravil lahko odstrani ali združi. Nadaljnji pregledi odkrijejo manjše nakupčevanja, preden postanejo obsežna.

Vodenje dnevnika: Nedocenjeno diagnostično orodje

Dnevniki požarnega zidu vsebujejo obilico informacij, ki jih pri mnogih namestitvah ne izkoriščajo. Vsaka dovoljena povezava, vsak blokiran poskus in vsak ujemajoč se ukaz ustvarijo vnos v dnevnik. Ti dnevniki dokumentirajo običajne vzorce prometa, razkrijejo nenavadno dejavnost in zagotavljajo dokaze, kadar se kaj pokvari. Še napreč, mnoge organizacije obravnavajo vodenje dnevnika kot preprost zahtevek za skladnost namesto kot operativno orodje.

Učinkovito upravljanje dnevnika se začne z razumevanjem tega, kaj se dejansko beleži. Ne vse dogodke je treba zapisati z enako podrobnostjo. V okolju z visokim prometom beleženje vsake dovoljene povezave povzroča težave s shranjevanjem. Beleženje le blokiranih povezav in nenavadnih dogodkov omogoča uporabno inteligenco brez dodatne obremenitve. Ključ je pravilna nastavitev ravni beleženja – dovolj podrobna, da je uporabna, hkrati pa dovolj izbirna, da je upravljiva. Redni pregledi dnevnika, celo kratek, odkrijejo težave, ki jih lahko avtomatizirani opozorilni sistemi spregledajo.

Preverjanje industrijskih protokolov: Nad pravili, ki temeljijo na vratih

Standardna pravila požarnega zidu, ki se zanašajo na številke vrat, ne zagotavljajo zadostne zaščite za industrijske omrežja. Napadalec lahko po vrati 502 – standardnih vratih Modbus – pošlje zlonamerni ukaz Modbus, pri čemer pravilo, ki temelji na vratih, ukaz brez skrbi spusti naprej. Požarni zid prepozna pravilna vrata in dopusti promet, ne da bi pregledal, kaj je znotraj.

Industrijski napravi požarnega zidu z zaznavanjem, osnovanim na protokolu, preverjata vsebino sporočil industrijskih protokolov. Razumejo strukturo zahtevkov Modbus, nabor ukazov Profinet in obliko podatkov EtherNet/IP. Ta razumevanja omogoča prepoznavo odstopanj – ukaza Modbus za pisanje v samo-za-brskalni register, zaporedja ukazov, ki se ne ujemajo z običajnimi vzorci obratovanja, ali sporočila, ki presega razumne omejitve velikosti. Takšna odstopanja pogosto kažejo na napačno konfiguracijo ali aktivni napad. Zaznavanje, osnovano na protokolu, oboje zazna.

Standard IEC 62443 izrecno zahteva to vrsto omejitve pretoka podatkov med conami. Pravila, ki temeljijo na vratih, ne izpolnjujejo zahtev standarda. Ustrezno pa jih izpolnjuje pregled, ki pozna protokole. Organizacije, ki so podvržene zahtevam za skladnost, morajo preveriti, ali njihove naprave za požarni zid podpirajo to funkcijo in ali je pravilno nastavljena.

Podvojenost in preklop: Načrtovanje nujnega

Naprave za požarni zid bodo sčasoma odpovedale. Napajalniki se poslabšajo. Posodobitve programske opreme ne uspejo. Napake v nastavitvah administratorjem onemogočijo dostop. Vprašanje ni, ali bo odpoved prišla – temveč ali bo omrežje še vedno zaščiteno, ko se bo zgodila.

Konfiguracije z visoko razpoložljivostjo to rešijo tako, da se naprave za požarni zid združijo v aktivno-pasivne ali aktivno-aktivne nastavitve. V aktivno-pasivni konfiguraciji ena naprava obdeluje ves promet, medtem ko druga ostane pripravljena. Če aktivna naprava odpove, jo pasivna naprava brez večjega preklica nadomesti. Aktivno-aktivne konfiguracije promet razporedijo med obe napravi, kar omogoča uravnoteženje obremenitve ter rezerviranost.

Nastavitev zahteva znatno truda. Stanja povezav se morajo sinhronizirati med napravami, da aktivne povezave preživijo preklop. Usmerjanje mora upoštevati spremembo aktivne naprave. Preizkušanje mora potrditi, da preklop deluje kot pričakovano. Vendar se trud izplača, kadar ob 2. uri zjutraj odpove napajalna enota in proizvodnja neprekinjeno poteka naprej.

Primer iz prakse: Oddaljen dostop izveden na pravilen način

Vodovodna služba, ki oskrbuje srednje veliko metropolitansko območje, je morala zagotoviti oddaljen dostop za dobavitelje opreme in podjetja za vzdrževanje. Izvirna rešitev je uporabljala napravo za VPN z razširjenimi pravili za dostop – vsak overjen uporabnik je lahko dostopal do katerekoli naprave na omrežju OT. Ta ureditev je delovala, vendar je ustvarjala pomembno tveganje. Če bi bil račun dobavitelja kompromitiran, bi to omogočilo dostop do celotnega sistema za nadzor.

Vodovodna služba je preoblikovala arhitekturo za oddaljen dostop z uporabo naprav za požarni zid z natančnimi nadzori dostopa. Vsak dobavitelj je prejel dostop le do določenih sistemov, ki jih je moral podpirati. Podjetja za vzdrževanje so lahko dostopala le do opreme na lokacijah, kjer so opravljala storitve. Požarni zid je te omejitve izvajal na omrežni ravni in tako dopolnil overjanje prek VPN-ja z avtorizacijskimi pravili, ki so omejila tudi dejanske možnosti overjenih uporabnikov. Nova ureditev je znatno zmanjšala površino napadalnega cilja brez dodatne zapletenosti za zakonite uporabnike.

Spremljanje in opozarjanje, ki resnično pomaga

Naprave za požarni zid ustvarjajo opozorila iz določenega razloga – da usmerijo pozornost na dogodke, ki jih je treba preučiti. Vendar je utrujenost od opozoril resnična. Preveč opozoril, še posebej nizkokakovostnih, vodi do prezrtih obvestil in spregledanih incidentov. Učinkovito opozarjanje zahteva prilagajanje: zmanjševanje lažno pozitivnih opozoril, določanje prednosti kritičnim dogodkom in zagotavljanje, da opozorila dosežejo prave ljudi.

Začnite z razvrščanjem opozoril po resnosti. Spremembe nastavitev, administrativne prijave in kritične napake zahtevajo takojšnjo pozornost. Ponovljene neuspele prijave z zunanjih naslovov zaslužijo preučevanje, vendar morda ne zahtevajo opozorila ob 2. uri zjutraj. Povečanje prometa proti nenavadnim ciljem se nahaja nekje med temi dvema skrajnostma. Razvrstitev naj odraža tveganjsko strpnost in operativne omejitve organizacije. 24/7 proizvodna dejavnost ima drugačne potrebe po opozarjanju kot omrežje pisarn, ki deluje le med delovnim časom.

Redni pregledi opozoril, ki se izvajajo tedensko ali mesečno, odkrijejo vzorce, ki jih posamezna opozorila ne razkrijejo. Niz opozoril z nizko stopnjo resnosti iz različnih virov skupaj lahko kaže na usklajen napad. Postopek pregleda prav tako zagotavlja povratne informacije za prilagajanje – opozorila, ki se redno izkažejo za nepomembna, se lahko onemogočijo ali ponovno konfigurirajo.