Исполнительный круговой стол: Повышение безопасности объектов и сетей для лидеров производства

Одним из самых важных аспектов любого производственного объекта является безопасность — будь то защита оборудования или данных. Tech Briefs обратился к руководителям компаний, предоставляющих решения для безопасности сетей и объектов, чтобы узнать их взгляды на вопросы кибербезопасности, облачных технологий, беспроводных устройств и защиты удаленных рабочих мест.

Наши участники: Майк Жаббур, генеральный менеджер по цифровой связи и питанию в Siemens Digital Industries; Майк Ллойд, технический директор RedSeal; Раду Павел, технический директор и главный инженер TechSolve; и Донаван Тиндилл, старший стратег по кибербезопасности в Honeywell Connected Enterprise – Cybersecurity.

Удаленная работа и безопасность оборудования

Tech Briefs: С учетом того, что из-за пандемии COVID-19 больше людей работают удаленно, какие процедуры и системы безопасности должны быть внедрены для удаленной эксплуатации оборудования, диагностики и обслуживания?

Майк Ллойд: В суматохе перехода на удаленную работу большинство команд безопасности столкнулись с цунами запросов на улучшение контроля ноутбуков, новые требования VPN, новые облачные сервисы и многое другое; однако часто упускаемый аспект — это бизнес-активы, которые не переместились вместе с операторами. Внезапно операторам понадобились удаленные возможности для управления и диагностики любого физического оборудования, которое не перемещалось, а в безопасности "удаленный" всегда означает риск. Любые новые пути управления между удаленными работниками и физическими активами компании увеличивают поверхность атаки компании. Мудро для команд безопасности вернуться и проаудировать, как все физические активы в компании могут быть достигнуты. Если вы знали, как это все работало до COVID, то, вероятно, не знаете, как это работает сейчас.

Раду Павел: Ситуация с COVID-19 ведет к ускоренной цифровизации рабочей среды. Поскольку бизнес-реальности требуют данных в реальном времени из множества функций, потенциальные выгоды новых технологий alimentируют желание подключать производственные и непроизводственные устройства на заводском полу. Аппетит производителей к передовым технологиям быстро превышает их способность защищать их, и эта среда, насыщенная связью и данными, поднимает значительные проблемы и вызовы, связанные с кибербезопасностью. Производители сталкиваются с дополнительными вызовами из-за необходимости защищать не только ИТ-системы, но и операционные технологии (OT), которые могут охватывать от датчиков до ПЛК, контроллеров роботов, станков и другого операционного оборудования.

Майк Жаббур: Хорошая новость в том, что COVID не изменил общее оборудование или процессы, необходимые для удаленных коммуникаций — он лишь повысил необходимость использования технологий, которые уже были доступны. Не каждая компания должна делать именно то же самое в вопросах удаленных приложений и безопасности, но основы всегда должны быть включены. Существует много других приборов безопасности, которые следует рассматривать, но на самом базовом уровне должны использоваться VPN-соединение, межсетевой экран и jump-сервер.

Удаленная коммуникация должна всегда быть надлежащим образом аутентифицирована, зашифрована и отключена, когда не используется. Надежный межсетевой экран защищает внутренний трафик от недоверенной сети. Если есть несколько сегментов сети, коммуникация через межсетевой экран должна защищать каждый из внутренних сегментов друг от друга. Когда речь идет об удаленных коммуникациях, шифрование трафика от удаленного пользователя к доверенной сети всегда считается лучшей практикой. Это можно сделать с помощью VPN-устройства. Не должно быть прямой коммуникации от недоверенной сети к защищенной сети.

Донаван Тиндилл: Для удаленного доступа в систему промышленного управления/операционную технологию (ICS/OT) последствия и убытки от кибератаки значительно выше, чем при доступе к информационным технологиям (IT). Для снижения этого бизнес-риска необходимы дополнительные меры защиты, включая многофакторную аутентификацию из недоверенных сетей. Доверие относительно — бизнес-сеть имеет более низкий уровень доверия, чем системы ICS/OT. Типичный VPN позволяет пользователю подключаться по желанию 24/7. Явное одобрение запроса доступа требуется для каждой сессии, каждого пользователя и каждого дня при удаленной работе из-за потенциальных последствий кибератак на ICS/OT.

Баланс доступности и безопасности в умных заводах

Tech Briefs: Кажется, это двуधострый меч: облако, беспроводные сенсорные сети и другие промышленные системы привели к захватывающим новым выгодам для цифровых заводов, но в то же время эти технологии умного производства массивно увеличивают масштаб для атак. Как можно сбалансировать доступность с безопасностью?

Ллойд: Промышленный интернет вещей (IIoT) приносит большие выгоды, но и большие риски. В общем, все "вещи" в интернете вещей должны рассматриваться как хрупкие и недостоверные. Это приходит как шок для команд, привыкших управлять изолированной инфраструктурой SCADA, но времена изменились. Учитывая, насколько хрупки IoT-системы, единственный разумный подход — сегментация сети — все возможные пути доступа должны быть учтены, и промышленные системы должны быть изолированы на максимально возможной степени. Со временем доступ становится небрежным и совершаются ошибки, поэтому вам нужен способ постоянно перепроверять, что доступ составляет только то, что должно быть, чтобы можно было остановить дрейф сети.

Тиндилл: Доступность может быть сбалансирована с безопасностью, но при этом устанавливаются новые нормы. Аэропортовая безопасность до 11 сентября сильно отличается от сегодняшней, но новая нормальность хорошо установлена с новыми технологиями и протоколами, которые все еще позволяют своевременную проверку безопасности. С новыми технологиями требуется обучение по решениям, и если кибербезопасность поставляется вместе с ними, то пользовательский опыт и доступность не являются проблемой. Бизнес-выгоды этих новых технологий и цифровых заводов имеют потенциал дать результаты, никогда раньше не видевшиеся. Роль кибербезопасности — защитить инвестиции в облако, беспроводные сенсорные сети и другие промышленные системы, чтобы они могли обеспечить свою ROI, будучи более устойчивыми к кибератакам. Многофакторная аутентификация, публичная ключевая инфраструктура, криптография и другие контролы безопасности — при правильной реализации — практически незаметны для пользователя и обеспечивают дополнительный уровень контроля доступа, недостижимый с предыдущими устаревшими технологиями.

Жаббур: Намеренно спланированные и сегментированные сети являются основой не только системы коммуникации завода, но и лучших практик безопасности. Сегментированная сеть ICS может помочь защитить сенсорные сети друг от друга при атаке, что означает, что доступ в один участок вашего завода не уронит всю компанию целиком. Это также должно сочетаться с знанием и пониманием уязвимостей вашего объекта. Просто размещение устройства и уход — это главная процедура для предоставления хакерам плоскости атаки на вашу систему. Управление всеми устройствами в сети включает не только знание и понимание того, какие устройства там есть, но и регулярно запланированные обзоры уязвимостей и их уровня угрозы (низкий/средний/высокий).

Павел: Масштаб и скорость цифровизации и роста сетей связи ведут к увеличению рисков кибербезопасности. Речь идет не только о масштабе воздействия, но и об уязвимости киберно-физических систем, подключаемых к сети. Эти новые системы изначально не проектировались с учетом кибербезопасности. Усугубляет проблему потенциал негативного влияния на производительность при интеграции распространенных технологий кибербезопасности в существующие системы. Балансировка доступности с безопасностью — это многофакторная стратегия, опирающаяся на стандартные протоколы связи, шифрование передаваемых по сетям данных, использование самых актуальных стандартов кибербезопасности и внедрение технологий, позволяющих выявлять и смягчать угрозы кибербезопасности в реальном времени.

Почему кибербезопасность часто является последним элементом развертывания

Жаббур: Потому что кибербезопасность наиболее легко упускается из виду. Большинство установок IIoT пытаются удовлетворить бизнес-потребность, а кибербезопасность — это то, что обычно не является стандартной темой разговора в бизнес-потребностях, пока не произойдет атака.

Ллойд: Цинично, но безопасность всегда является последним элементом всех развертываний. Толчок к IoT идет в сторону функций и стоимости. Это означает, что устройства производятся быстро, по минимальной цене, и вы получаете ту безопасность, за которую платите. Устройства часто не поддаются патчингу и не могут поддерживать традиционные агенты и сканеры в наших наборах инструментов безопасности. Так что безопасность IoT — очень сложная проблема — фактически, внедрение бесчисленных хрупких новых устройств в сеть, которая уже была непоседливой и неорганизованной. Переход к IoT пройдет хорошо только для тех, кто дисциплинирован и планирует заранее, чтобы локализовать радиус поражения проблем, когда — а не если — они возникнут.

Тиндилл: Существует несколько причин, почему кибербезопасность рассматривается только в конце развертывания. Процессы закупок и источников исключают требования кибербезопасности, потому что цена остается основным фактором. Большинство инженерных процессов исключают кибербезопасность — это означает, что спецификация, проектирование, конфигурация, тестирование и ввод в эксплуатацию часто происходят без каких-либо задач или результатов по кибербезопасности. ИТ- и кибербезопасность команды исключены до момента подключения к сети или интернету — именно тогда эти команды могут впервые узнать, что проект вообще существует. Кибербезопасность должна иметь достаточный вес в критериях решения; после того как она включена в процессы закупок, она переносится через весь процесс проектирования, конфигурации, укрепления и кибер-приемо-сдаточного тестирования — всё до запуска.

Павел: От ранних дней, когда самым большим риском был компьютерный вирус, до сегодняшнего дня, когда вредоносное ПО операционной технологии может уничтожить оборудование и привести к потере жизней, компьютерный мир видел экспоненциальный рост кибератак. IoT-технологии предоставляют свой набор уникальных проблем безопасности, связанных с целостностью данных, утечкой данных, приватностью и потенциалом несанкционированного доступа.

Так почему же безопасность часто является последним элементом развертывания IoT? Некоторые из этих систем не проектировались с учетом кибербезопасности, а исключительно с целью выполнения определенной функции. Конечные пользователи не рассматривали кибербезопасность как один из главных критериев выбора, а скорее способность системы выполнять задачу, её эффективность и стоимость. Только в последние годы проблема кибербезопасности стала более подчеркиваемой пользователями, правительством и группами стандартизации.

Приоритеты и ограничения межсетевых экранов

Ллойд: Три главных приоритета для промышленных сетей — сегментация, сегментация и сегментация. Старые воздушные зазоры испарились, и интернет все больше смешивается с физическими операциями завода, нравится нам это или нет. Это множество интерфейсов означает, что общая поверхность атаки взорвалась, и рано или поздно что-то обязательно проникнет. Переопределяющий приоритет — планировать заранее, чтобы ограничить распространение плохих событий, используя сегментацию, и для самых критичных систем — планировать заранее закрытие "бронных дверей", похожих на герметичные двери в подводных лодках.

Павел: Кибератаки имеют потенциал влиять на конфиденциальность, целостность и доступность в производственной среде. Они могут привести к потере интеллектуальной собственности продукта и процесса; производственным потерям из-за разрушения, модификации и перепрограммирования деталей и процессов; ущербу репутации; и даже травмам и потере жизней. Важность целостности данных для производства можно увидеть в отношении производства деталей — изменение спецификаций продукта и процесса может быть вредным для качества и надежности продукта.

Доступность данных и киберно-физических систем также критична для производственной производительности. Устаревшее оборудование и ПО обычно используются в производственных процессах, и некоторые из этих систем не были спроектированы с учетом кибербезопасности или IoT. Поэтому существует внутренний риск при подключении таких устаревших устройств к IoT или интеграции их в заводскую сеть.

Жаббур: Абсолютно нет. Межсетевые экраны — это лишь один прибор в общей системе, и хотя они должны использоваться, другие проектные соображения должны быть приняты во внимание.

Тиндилл: В середине 1990-х межсетевые экраны и антивирусы были стандартами, потому что они обеспечивали достаточные меры защиты для защиты от угроз кибербезопасности того времени. Практически 100% организаций сегодня имеют межсетевые экраны, и кибератаки могут обходить межсетевые экраны с другими тактиками, техниками и процедурами (TTPs). Киберугрозы быстро эволюционируют и требуются множественные контролы кибербезопасности. Межсетевые экраны выполняют в основном защитную функцию, хорошую для обнаружения известного плохого поведения на периметре сети. Сегодняшние атаки включают кражу учетных данных и их использование для проникновения в сети без обнаружения, потому что грубая сила или вредоносные соединения не требуются. Мы все слышали истории о том, как злоумышленник был внутри системы от шести до девяти месяцев до атаки; это пример того, как проявляются слабые возможности обнаружения и реагирования.

Павел: Опора только на межсетевой экран — это больше не хорошая практика — вероятно, никогда не была. Три самых критичных части корпоративной программы безопасности — это люди, процессы и технологии. Малые и средние организации представляют особую проблему для кибербезопасности в производственных средах и цепочке поставок. Многие лишены технического персонала для обеспечения надежной кибербезопасности, и поскольку они часто не осведомлены о сложности угроз, они не могут создать бизнес-кейс для инвестиций в кибербезопасность OT. Чтобы помочь решить эти подводные камни и ускорить внедрение надлежащих мер кибербезопасности, правительство инвестировало в разработку регуляций, стандартов и программ сертификации, применимых для целых отраслей.

Ллойд: Межсетевые экраны похожи на замки на дверях вашего здания — хорошее начало, базовый уровень гигиены безопасности, но вряд ли всеобъемлющее противоядие от риска. Межсетевые экраны сложны и почти всегда неправильно сконфигурированы каким-то образом. Я оценивал тысячи реальных межсетевых экранов, и необычно найти менее десяти ошибок на устройство. (Экстремально сложные межсетевые экраны могут содержать тысячи ошибок в одном устройстве.) Самый сложный аспект межсетевых экранов — понять, покрыли ли они всё — в конце концов, вы не можете идентифицировать путь обхода межсетевого экрана, просто читая его. Вам нужно иметь комплексное представление доступа по всей вашей заводской сети, и вы должны уметь идти в ногу с доступом по мере изменения и роста вашей сети.

РЕСУРСЫ

1. Honeywell Connected Enterprise
2. RedSeal
3. Siemens Digital Industries
4. TechSolve