Построение надежной кибербезопасной стратегии для критической инфраструктуры

Построение надежной кибербезопасной стратегии для критической инфраструктуры

Ключевые выводы:

• Защита критической инфраструктуры остается топ-приоритетом, но многие организации все еще отстают в готовности кибер-защиты.
• COVID-19 расширил определение «критического» для включения секторов вроде PPE производства, логистики и переработки пищи, заставляя переоценку существенных систем.
• Организации должны сдвинуться от реактивных мер к проактивной кибербезопасной позе, особенно среди растущих кибер-угроз и увеличенных удаленных операций.

Публичная обеспокоенность кибератаками на электрическую сеть, плотины, системы голосования и другую федерально обозначенную инфраструктуру растет. Однако, как отмечает Шон Пизли из Deloitte, большинство OT-фирм все еще поддерживают только зачаточные кибербезопасные программы.

Исторически «критическая инфраструктура» реферировала к общественным работам вроде транспорта и утилит. За последние десятилетия охват расширился для включения здравоохранения, энергетики, производства и др. Киран Нортон из Deloitte подсвечивает, что пандемия раскрыла еще большую широту, с производителями PPE, логистическими фирмами, бумагой и мясопереработкой теперь признанными как существенные.

Пока многие OT-организации хвастаются десятилетиями опыта в традиционном риск-менеджменте, кибербезопасность — относительно новый фокус. Эндрю Говард, CEO Kudelski Security, наблюдает, что OT-безопасность типично отстает IT на 10–15 лет.

По данным IBM X-Force Threat Intelligence Index 2020, атаки на системы промышленного управления взлетели в 2019 году, превысив совокупный объем предыдущих трех лет. Хай-профайл инциденты включают ransomware на Honda, тайваньскую энергоутилиту, американское природного газа объект, израильское водоснабжение и нарушение внутренней сети NTT.

Оценка риска: непрерывный императив

Без измеримого риска улучшение стагнирует. Многие сущности критической инфраструктуры борются за поддержание точной инвентаризации активов из-за разнообразных, сложных сред и дефицита OT кибербезопасных специалистов.

Начальные оценки риска должны квантифицировать угрозы, уязвимости и потенциальные последствия, фокусируясь на общих паролях, непропатченных системах, железе/софте третьих сторон и пермиссивных файрволах. Такие оценки могут раскрыть обширные списки ремедиации, требующие приоритизации на основе серьезности и легкости фикса.

Активное сетевое сканирование может дестабилизировать системы управления, так что осторожный, коллаборативный подход с операциями — необходим. Пассивный мониторинг предлагает меньше интрузии, но может пропустить критические инсайты. Дебаты отражают столкновение предпочтения IT за активное сканирование и риск-аверсной позы OT.

Приоритизация ремедиации должна взвешивать и серьезность риска, и усилие ремедиации. Как отмечает Миклович, граничные интерфейсы — протокольные или физические — часто представляют слабое звено, с USB-накопителями как общей точкой проникновения. Пока быстрые фиксы (например, закупорка USB-портов) важны, сбалансированный риск-базированный подход более эффективен.

Джо Саундерс из RunSafe рекомендует 2×2 матрицу для оценки вероятности уязвимости против серьезности импакта, позволяя нюансированный риск-профиль для каждой системы.

Новые риски в новой нормальности

Пандемия ускорила удаленную работу, усложняя безопасность производственных систем. Сотрудники теперь используют VPN для модификации производственных контролов из дома, практика, ранее необычная. Сторонние вендоры также могут получать удаленный доступ, поднимая дополнительную экспозицию.

Проблемы полосы пропускания, масштабирования и развертывания часто сопровождают увеличенную удаленную коннективность. Одновременно традиционные планы контингенции, полагающиеся на физическое присутствие и ручные процессы, теперь менее надежны.

Для адаптации, организации критической инфраструктуры должны рассматривать голистический редизайн технологической архитектуры, встраивающий контролы безопасности ближе к активам.

Движение к проактивной кибербезопасности

Цель — заменить инкрементальные, ручные процессы проактивной позой, предвосхищающей угрозы и адаптирующейся непрерывно.

Ключевые компоненты надежной политики безопасности включают:

• Оборудование и Устройства — защита легаси промышленных контроллеров, IoT сенсоров, шлюзов и корпоративных ноутбуков. Понимание контекста устройства — существенно.
• Сети и Пользователи — принуждение строгих контролов доступа, развертывание динамических policy engines, инвестиции в детекцию взломов.
• Данные — классификация и обнаружение данных для определения адекватных уровней защиты.
• Воркфлоу и Цепочка поставок — защита процессов, принуждение соответствия подрядчиков, защита от атак цепочки поставок.
• Разработка ПО — встраивание безопасности через SDLC для обеспечения устойчивых развертываний.

Баланс превенции, детекции и ответа критичен. Мэтт Зельхаймер из PAS Global рекомендует аллоцировать 50% усилий на превенцию и 50% на детекцию и восстановление. Нортон подчеркивает, что возможности ответа так же жизненно важны, как превентивные контролы.

Фреймворки и модели зрелости

Организации могут выровняться с установленными фреймворками вроде ISO 27002, ISA/IEC 62443 и Department of Defense's Cybersecurity Maturity Model Certification (CMMC). CMMC предоставляет пяти-уровневую модель зрелости, от базовой гигиены (Уровень 1) до продвинутой оптимизации (Уровень 5). Требование модели для сторонних аудитов продвигает объективность и подотчетность.

Автоматизация и встроенная безопасность

ML-драйвенный мониторинг может автоматизировать рутинные задачи вроде детекции взломов. Встроенная безопасность на ресурсно-ограниченных устройствах предлагает интринзическую защиту и видимость активов.

Однако преждевременная автоматизация без солидной политики может генерировать false positives. Как отмечает Зельхаймер, тонкая настройка файрвол правил и SIEM корреляции — необходима для снижения шума.

Из-за уникального ландшафта критической инфраструктуры, off-the-shelf автоматизация может требовать кастомизацию. Нортон предлагает изолировать чувствительные системы и применять оркестрацию для моста автоматизационных пробелов.

В конечном счете, угрозы будут эволюционировать быстро. Оставаться проактивным означает непрерывно корректировать кибер-позу для отражения возникающих рисков и отраслевых трендов.

Для больше отраслевых инсайтов, зарегистрируйтесь на виртуальное событие IoT World 11–13 августа, с IoT, AI, 5G и edge решениями по вертикалям. Зарегистрируйтесь сегодня.