Кибербезопасность Claroty: почему промышленные цепочки поставок требуют еще большей защиты, чем безопасность данных

В настоящее время Claroty переживает период, который Чàssар называет «гиперростом», что, по его словам, означает, что компания быстро набирает импульс по мере увеличения уровней связности в промышленных системах. Это увеличение связности привело к созданию более широкой поверхности атаки, которую киберпреступники и другие противники могут эксплуатировать.

«Злонамеренные хакеры все больше понимают, что они могут сделать больше, чем скомпрометировать данные — они также могут нарушить физические промышленные процессы, лежащие в основе глобальных цепочек поставок. Недавние инциденты показали, что с расширяющейся поверхностью атаки определенные типы нарушений могут остановить операции. Когда это происходит, воздействие на организации обычно намного хуже, чем от утечки данных. Это не только в терминах потерянной выручки, зарплат людей и дохода — но также в терминах физической безопасности. Это один из основных драйверов импульса рынка. Одновременно растет необходимость решать проблему, что является нашей миссией».

Чàssар сказал, что этот ускоряющийся спрос стимулирует 100% рост на квартальной основе для Claroty, и команда масштабирует бизнес соответственно. Он отметил, что половина всех сотрудников Claroty была нанята всего за последние девять месяцев, и сильная корпоративная культура позволила Claroty решать вызовы, неизбежно сопровождающие такой быстрый рост.

Так, помимо расширяющейся поверхности атаки, что еще влияет на Claroty и её услуги?

Чàssар говорит, что также существует так называемая модель Пердью. Он объясняет, что это эталонная архитектура сегментации сети для промышленных систем управления (ICS), созданная Теодором Уильямсом в 90-х. Он сказал, что эта модель теперь начинает рушиться из-за увеличенных уровней подключенных технологий, включая IoT и 5G. Это, вместе с упомянутой поверхностью атаки, означает гораздо более крупные периметры, выходящие далеко за пределы одного здания, которые CSO и CIO должны защищать.

Он использует производство автомобиля как аналогию. «Возьмем, например, завод по производству тормозов в Чешской Республике. Автопроизводитель может использовать производителя фар в Польше и производителя компьютерных компонентов в Китае. Все эти места отражают расширяющуюся поверхность атаки, поэтому вы теперь пытаетесь защитить этот массивный периметр и одновременно должны быть осведомлены о большем потенциале бокового движения по связанным цепочкам поставок. Это может быть кто-то, получающий доступ через заднюю дверь и затем движущийся по сети. Это одна из крупнейших проблем, с которыми мы сталкиваемся, и критична для обеспечения безопасности промышленных сред».

Это не обычный случай кражи личных и корпоративных данных

Промышленные кибератаки отличаются от других видов хорошо известной киберпреступной активности, таких как утечки и потери личных и корпоративных данных, которые могут привести к репутационному ущербу и штрафам. Чàssар сказал, что разница в том, что со вторым есть смягчающие меры. «Когда личные данные нарушены и извлечены, существуют механизмы вроде страховки, бэкапа, шифрования, многофакторной аутентификации и других, которые широко внедрены для дальнейшей защиты этих конкретных данных», — говорит он.

«Однако на промышленной стороне вы часто смотрите на технологии и системы, которые иногда десятилетиями стары и поэтому сложны, если не невозможны, для обновления и патчинга. И когда происходит любая атака, процессы могут остановиться. Представьте крупного автопроизводителя, производящего автомобиль каждые 50 секунд. Если это останавливается на пять часов, сколько автомобилей тогда не произведено? Поверх этого, следующий вопрос — сколько людей не могут заработать деньги, потому что не могут работать на производстве автомобилей? В этом отношении промышленные кибератаки могут иметь гораздо более осязаемое воздействие, чем утечки данных».

Критические выгоды промышленной кибербезопасности

Первое важное, что нужно установить с клиентами Claroty, говорит Чàssар, — идентификация активов, работающих в их промышленной среде. Это потому, что, добавляет он, клиенты не всегда знают, что, скажем, их системы отопления подключены к этой среде. То же касается инженерных рабочих станций, контроллеров, датчиков и других устройств. Чàssар советует им начать с выяснения, какие части их операций подключены к их промышленной среде, потому что вы не можете защитить то, что не видите.

«Так Claroty помогает в начале пути — идентифицируя устройства и соединения и те, которые несут вborn риски, такие как система управления, не обновлявшаяся десять лет. Как только вы понимаете, что и где эти вborn риски, следующий шаг — приоритизация. Наши возможности обнаружения угроз позволяют клиентам знать, когда они атакуются и какие именно остаточные риски. Мы применяем наши стандартные процедуры кибербезопасности к периметру и везде внутри их среды».

Чàssар говорит, что фирма также использует подход просмотра уязвимостей с точки зрения хакеров с оценкой риска, чтобы организации могли легче приоритизировать и затем вносить изменения, а также держать их в актуальном состоянии согласно регуляторным требованиям.

Он добавляет, что компания поддерживается и принята топ-3 глобальными вендорами промышленной автоматизации: Siemens, Schneider Electric и Rockwell Automation. Стратегические партнерства Claroty со всеми тремя позволили компании построить твердое понимание и осведомленность вокруг всех их протоколов, возможностей и уязвимостей. Он объясняет: «Это в свою очередь также позволило Claroty, через нашу исследовательскую команду Team82, знать, откуда приходят угрозы, постоянные изменения в ландшафте угроз и реальность темного мира».

Как партнерства имеют значение

На фоне инвестиций, Чàssар говорит, что компания смогла расширить охват того, что давно было самой обширной в отрасли библиотекой промышленных протоколов. Он сказал, что это означает, что платформа Claroty полностью совместима как с greenfield IoT и IIoT средами, так и с традиционными brownfield OT средами. Разработка и расширение поддержки различных протоколов, используемых в этих средах, требует тесного сотрудничества и сильных отношений с промышленными вендорами — включая тех, которые являются инвесторами и партнерами Claroty.

«Мы всегда были технологической компанией, а не основанной на сервисах. Из-за этого мы также построили очень сильные технические интеграции с нашими партнерами по ИТ-безопасности. Это те же компании, которые контролируют файрволы и другие технологии, на которых наши клиенты уже полагаются. Не только это позволяет нам работать в гармонии, мы также можем подключаться прямо в эти среды. Это создает возможности для наших клиентов легко интегрировать нашу платформу с их существующим технологическим стеком», — заявляет он.

Чàssар говорит, что у компании три категории партнеров, которые имеют разную ценность, но равны по важности. Первая, говорит он — сервисные партнеры, движущие трансформацию предприятий, включая Deloitte, KPMG, NTT и Kudelski Security. Вторая — вендоры ICS/автоматизации, включая Siemens, Schneider Electric, Yokogawa и Rockwell. А затем стратегические интеграции с CrowdStrike, Check Point Software Technologies и Tripwire.

«Мы сознательно фокусируемся на отраслях, которые имеют абсолютное превосходство в том, что они делают, и имеют очень большую базу клиентов. Мы сильно привержены подходу "партнеры первыми". Существует реальный дефицит навыков в OT и особенно в OT-безопасности, поэтому мы даем нашим партнерам возможность развивать эти навыки и даем им экономию масштаба, необходимую для решения дефицита».

Будущее этих партнерств

Эти отношения будут становиться теснее, говорит Чàssар. «Всего за последние шесть месяцев мы увеличили фокус на повышении сертификаций наших партнеров и их возможностей в OT-кибербезопасности. В Claroty мы взяли наши центральные знания и навыки и открыто делились ими с ними, что повысило объем навыков и возможностей, чтобы они могли воспользоваться нашим гиперростом, о котором я упоминал в начале. Это усиление партнерских отношений — будущее прямо сейчас».

Чàssар сказал, что это значимо, потому что было жизненно важно для тех, кто в промышленной кибербезопасности, быть осведомленным о критичности защиты этих сред. Это исходит от импульса, вызванного сходимостью OT и IT. Он цитирует всё от вакцин и фармацевтических компаний до автопроизводства, и вплоть до пищевой и напиточной промышленности.

«Наша миссия — быть тех промышленной кибербезопасностью компанией и защищать всё в четырех стенах промышленного объекта — и в конечном счете держать предприятия работающими. Мы не фокусируемся на предотвращении извлечения личной информации или, например, номеров кредитных карт. Наша цель — помогать компаниям поддерживать их производство и общие бизнес-операции».

Он предлагает пример разработки технологии для автопроизводственной линии, где нарушение остановило бы поставку автомобилей. «На промышленной стороне это больше о непрерывности бизнеса, чем о репутационном ущербе и штрафах. Посмотрите на инцидент с Colonial Pipeline, где операции остановились после нарушения, а также JBS Foods. Остановка производства вещей, которые нужны потребителям, ведет к потерянной выручке и влиянию на фондовые рынки, что очень трудно исправить. Это может означать, что люди не могут идти на работу, потому что консервированные бобы и автомобили не производятся».

Чàssар заключает:

«Кратко: каждый, независимо от области или сектора, в котором он находится, должен быть осведомлен о промышленной кибербезопасности и о том, насколько жизненно важно защищать всё более связанные промышленные заводы и производственные объекты мира. Эта проблема имеет огромное значение для нас как отдельных потребителей и экономики в целом».