Forbedring av cybersikkerhet i OT (Operational Technology)-systemer ettersom de integreres med IT-nettverk

Ettersom OT-systemer fortsetter å integreres med IT-nettverk, krever produksjonsbedrifter mer robuste cybersikkerhetstiltak for å redusere risiko.

Fremveksten av Industrial Internet of Things (IIoT) har unektelig utvidet tilkoblingen fra enhetsnivå til skyen, og dermed økt angrepsoverflaten til automatiserte anlegg. Mens direkte tilkoblinger til skyen gir overbevisende forretningsfordeler, som fjernovervåking av vedlikehold, sporing av nøkkelytelsesindikatorer (KPI) og prosessoptimalisering, kommer disse fordelene på bekostning av svekket sikkerhet. Steve Fales, direktør for markedsføring i ODVA, forklarer: "Disse nye forbindelsene kan tillate dårlige aktører å infiltrere industrielle nettverk, og øke fokus på sikkerhetskonsepter som Zero Trust, som krever validering før de kobles til en enhet. I tillegg er viktigheten av å distribuere flere sikkerhetstilnærminger for å dekke alle deler av nettverket har økt betydelig."

Zero Trust-konseptet forutsetter at nettverket allerede er kompromittert. Dette betyr at hver forbindelse, uavhengig av opprinnelse, må valideres, og gir kun den minimale tilgangen som trengs for kortest mulig tid. Dessuten må all kommunikasjon være sikker. For å bevege seg mot Zero Trust, må selskaper kryptere kommunikasjon, gi rollebasert tilgang, autentisere endepunkter og sørge for at kommunikasjonen er manipulasjonssikker.

I tillegg til å ta i bruk Zero Trust, anbefaler Steve å bruke flere sikkerhetsmetoder som en del av en dybdeforsvarsstrategi for å sikre sikkerheten til industrielle kontrollnettverk. Som en del av en prosessorientert helhetlig tilnærming er fysisk sikkerhet og opplæring av ansatte utmerkede utgangspunkt. Dette er to enkle, men effektive metoder for å avskrekke dårlige skuespillere.

Implementering av trusselmodellering er en annen viktig måte å forstå nettverkssårbarheter og formulere responsplaner. Basert på dette vil svitsjbaserte brannmurer, dyp pakkeinspeksjon, hvitelisting og annen nettverksbeskyttelse distribueres på en ryddig måte. Steve fortsetter, "Hvis et andre kanalnettverk åpnes på grunn av direkte tilkobling, er det også avgjørende å beskytte enhetslaget. Et eksempel på enhetslagsbeskyttelse er EtherNet/IPs CIP Security, som gir enhetsautentisering, identitet, dataintegritet, konfidensialitet, brukerautentisering og håndheving av policy CIP Security tilbyr også fleksibel beskyttelse gjennom profiler som kan implementeres på forespørsel basert på bruk. Til slutt, ettersom nettverksangrepsadferd og -metoder kontinuerlig utvikler seg, er det nødvendig å regelmessig gjennomgå og revidere sikkerhetsstrategier, og opplæring. beskyttelsestiltak."

Med det økende antallet automatiserte enheter som er direkte koblet til skyen og utflating av nettverk, er det avgjørende å ha en ressurssterke og planlagte sikkerhetsstrategi. "Den nye virkeligheten er at sårbarheter sannsynligvis vil oppstå, noe som fører til fremveksten av Zero Trust-sikkerhetstilnærmingen, som krever validering for hver tilkobling og kun tillater nødvendig tilgang. Det er like viktig å huske at fysisk sikkerhet, opplæring av ansatte og prosess- baserte tilnærminger kan gi svært høy avkastning på investeringen." Steve mener at beskyttelse må implementeres på de laveste nivåene. Sikkerhet er en nøkkeldriver for å koble automatiserte enheter til skyen, noe som fører til betydelige produktivitetsgevinster, noe som gjør det til en verdifull investering for fremtidige industrielle operasjoner.

Utforming av sikkerhet fra bunnen av

Tradisjonelt har industribedrifter stolt på Purdue-modellen for å skape sikre OT-miljøer ved å segmentere fysiske prosesser, sensorer, overvåkingskontroller, operasjoner og logistikk. Men som vi har hørt, bringer mer åpne plattformer nå OT-nettverkssikkerhet i skarpere fokus.

Michael Lester, direktør for Cybersecurity Strategy, Governance and Architecture hos Emerson, sier: "Organisasjoner må nå vurdere cybersikkerhet på front-end engineering- og designstadiet av kontrollsystemprosjekter, noe som gjør systemet sikkert ved design. Tidligere var cybersikkerhet Forsvar ble ofte lagt til senere. Dette er dyrere og mindre effektivt enn å inkorporere cybersikkerhet i prosjektet fra begynnelsen."

Derfor må produksjonsbedrifter nå designe OT-programvareapplikasjoner fra grunnen av, basert på Zero Trust-prinsipper, for å skape iboende sikre fabrikker ved design. Emersons Chief Technology Officer, Peter Zornio, mener at å oppnå iboende fabrikksikkerhet ved design ikke vil skje over natten; det vil ta år med innsats, bare fullt realisert ettersom systemprogramvaren gradvis oppdateres for å inkludere sikkerhetsarkitektur. Hver gang den kommuniserer med en annen programvare, må den søke autentisering og ha de riktige datatilgangsrettighetene. Noen av Emersons nyeste produkter inkluderer allerede programvare med iboende designsikkerhet, men realistisk sett kan det ta 5 til 10 år før all programvare i fabrikker kan støtte Zero Trust. Men når dette blir en realitet, vil det være den ultimate løsningen på cybersikkerhetsproblemer.

Dessuten krever cybersikkerhet mer enn bare teknologi. Michael mener at cybersikkerhet også krever endringer i atferd og kultur. Hele organisasjonen trenger å forstå hvorfor og hvordan man oppnår cybersikkerhet, noe som er avgjørende for å drive meningsfull atferdsendring. Derfor er det viktig å bygge en cybersikkerhetskultur som inkluderer mennesker, prosesser og teknologi.

Sterkere tiltak for OT-systembeskyttelse

Ettersom OT-systemer fortsetter å integreres med IT-nettverk, og introduserer internettbaserte kommunikasjonsprotokoller som MQTT og eksisterende dataoverføringsprotokoller som HTTPS, CsCAN og Modbus, utvides angrepsoverflaten, og bringer nye angrepsvektorer. Dette krever et sett med sterkere cybersikkerhetstiltak for å redusere risiko. Sean Mackey, Cybersecurity Engineer ved Horner Ireland, foreslår følgende tiltak for å hjelpe kontrollingeniører med å bedre beskytte sine OT-miljøer:

1. Forstå miljøet: Forstå OT-infrastrukturen fullt ut, inkludert industrielle kontrollsystemer, SCADA, PLS-er og andre sammenkoblede enheter. Identifiser potensielle sårbarheter ved å dokumentere eiendeler, nettverksarkitektur, protokoller og kommunikasjonsveier.
2. Risikovurdering og aktivabeholdning: Gjennomfør en grundig risikovurdering for å identifisere kritiske eiendeler og potensielle sårbarheter. Opprett en aktivabeholdning, kategoriser systemer basert på deres kritikkverdighet, og vurder tilknyttede risikoer. Prioriter sikkerhetstiltak ut fra denne vurderingen.
3. Nettverkssegmentering: Implementer robust nettverkssegmentering, for eksempel luftgap, brannmurer for å filtrere og overvåke trafikk, og isolering av kritiske systemer for å holde viktige OT-ressurser atskilt fra ikke-kritiske systemer og eksterne nettverk. Begrens virkningen av sårbarheter eller angrep ved å holde dem innenfor bestemte nettverkssegmenter og redusere angrepsoverflaten.
4. Tilgangskontroll og autentisering: Implementer sterk tilgangskontroll og autentiseringsmekanismer for å begrense uautorisert tilgang til OT-systemer. Flerfaktorautentisering, rollebasert tilgangskontroll og prinsippet om minste privilegium bør håndheves for å sikre at bare autorisert personell kan få tilgang til kritiske systemer.
5. Patch Management: Utvikle og implementere en streng oppdateringsbehandlingsprosess for å holde OT-systemer oppdatert med kjente sårbarheter. Dette inkluderer fastvare- og programvareoppdateringer relatert til eventuelle sårbarhetsrettinger for PLS-er/HMI-er. Prioriter patcher basert på kritikalitet.
6. Nettverksovervåking og inntrengningsdeteksjon: Distribuer robuste nettverksovervåkingsverktøy og inntrengningsdeteksjonssystemer (IDS) for å oppdage og svare på uvanlige aktiviteter i sanntid. Overvåk nettverkstrafikk, systemlogger og atferdsmønstre for å identifisere potensielle trusler eller sikkerhetsbrudd umiddelbart.
7. Endpoint Security: Implementer endepunktbeskyttelsesløsninger, som brannmurer, antivirusprogramvare og inntrengningsforebyggende systemer, for lignende enheter på samme nettverk, for å beskytte dine industrielle enheter mot skadelig programvare og uautorisert tilgang.
8. Kryptering: Krypter data både under overføring og hvile for å forhindre uautorisert avskjæring eller tukling. Implementer sterke krypteringsprotokoller for nettverkskommunikasjon, slik som Transport Layer Security (TLS), spesielt når du bruker X.509-sertifikater i MQTT-tung industri, og krypter sensitive data lagret på OT-enheter.
9. Hendelsesplan: Utvikle en omfattende responsplan for hendelser som skisserer prosedyrene for å oppdage, inneholde og redusere cybersikkerhetshendelser. Definer roller og ansvar, etablere kommunikasjonsprotokoller og gjennomføre regelmessige øvelser for å sikre beredskap for cyberangrep.
10. Opplæring og bevisstgjøring av ansatte: Lær OT-personell på beste praksis for nettsikkerhet, inkludert gjenkjennelse av phishing-forsøk, identifisering av mistenkelige aktiviteter og respons på sikkerhetshendelser. Fremme en kultur med bevissthet om cybersikkerhet, slik at ansatte kan delta aktivt i å beskytte OT-systemer.
11. Leverandørrisikostyring: Vurder og administrer cybersikkerhetsrisikoer knyttet til tredjepartsleverandører og leverandører som leverer OT-komponenter eller -tjenester. Utvikle kontraktsmessige avtaler som fastsetter sikkerhetskrav og regelmessig revidere leverandører.
12. Samsvar og regulatoriske krav: Hold deg informert om bransjespesifikke forskrifter og samsvarsstandarder knyttet til OT-cybersikkerhet, for eksempel NIST SP 800-82 og ISA/IEC 62443. Sørg for at OT-systemer overholder disse kravene for å unngå juridiske og regulatoriske konsekvenser og minimere risikoen for OT brudd på grunn av dårlig implementering av nettsikkerhet.

Sikre full beskyttelse av OT-systemer

I OT-miljøer er de fleste systemer kritiske, noe som betyr at enhver forstyrrelse eller kompromiss kan ha vidtrekkende konsekvenser. Daniel Sukowski, Global Business Development IIOT hos Paessler, understreker at gitt innsatsen, har det aldri vært viktigere å effektivt beskytte OT-miljøer. Det har imidlertid aldri vært mer utfordrende å nå dette målet. I en sammenkoblet og digital verden fører den eksponentielle veksten av IIOT-enheter til stadig mer komplekse systemer. Tidligere isolerte OT-nettverk åpnes nå for å koble til nye systemer og enheter fra eksterne kilder, ofte på tvers av regioner. Selv om denne tilkoblingen gir mange fordeler, introduserer den også betydelige risikoer.

For å beskytte OT-systemer fullt ut, bør selskaper investere i overvåkingsteknologi. Daniel foreslår, "Et effektivt overvåkingssystem med et sentralisert dashbord og varslingsmuligheter kan gi bedrifter et mer omfattende bilde. Det kan konsolidere data fra alle lokasjoner (OT-miljøer, IIoT-sensorer, kablede og trådløse nettverk og tradisjonelle IT-enheter og systemer) under én beskyttende plattform. Det gir omfattende synlighet, noe som er viktigere enn noen gang ettersom nettkriminelle fortsetter å utvikle seg og modnes."

Videre må selskaper regelmessig gjennomføre sikkerhetsrevisjoner og risikovurderinger av sine operasjonelle systemer for å hjelpe med å identifisere sårbarheter. Dette bør inkludere informasjonssikkerhetsrisikoer, cyberrisikoer og alle vanlige operasjonelle OT-risikoer. En annen del av utfordringen er løpende opplæring av alle relevante ansatte. Opplæringsinnhold bør oppdateres jevnlig for å sikre at bedrifter opererer i samsvar med de nyeste retningslinjene og forskriftene. For eksempel, når det kommende NIS2-direktivet blir nasjonal lov i alle EUs medlemsland i oktober 2024, må ansatte sørge for at de og deres bredere virksomhet forblir i samsvar.

NIS2-direktivet bygger på det opprinnelige NIS-direktivet (NISD) ved å oppdatere gjeldende EUs nettsikkerhetslover. Målet er å styrke OT-sikkerheten, effektivisere rapporteringen og skape konsistente regler og straffer over hele EU. Ved å utvide omfanget vil NIS2 kreve at flere bedrifter og sektorer implementerer cybersikkerhetstiltak.

Vennligst klikk på lenken nedenfor for å lese mer:

Vi introduserer Reeman Moon Knight Robot Chassis

Vi introduserer Flash Food Delivery Robot

Vi introduserer The Nurse Hospital Delivery Robot