Teollisuusverkot muodostavat kriittisen infrastruktuurin toiminnan selkärangan, voimantuotannosta ja vedenkäsittelystä tuotanto- ja öljynjalostamoihin. Nämä verkot, jotka yhdistävät ohjelmoitavat logiikkaohjaimet (PLC), valvonta- ja tiedonhankintajärjestelmät (SCADA) ja hajautetut valvontajärjestelmät (DCS) fyysisten prosessien hallintaan. Kun Industrial Internet of Things (IIoT) laajenee, hyökkäyspinta kasvaa vastaavasti. Tietojensiirron varmistaminen näissä ympäristöissä ei ole vapaaehtoista, vaan välttämätöntä toiminnan jatkuvuuden, turvallisuuden ja kansallisen turvallisuuden kannalta. Tässä artikkelissa kuvataan parhaita käytäntöjä, joita insinööriryhmät, IT-hallinnat ja kyberturvallisuuden ammattilaiset voivat soveltaa teollisen verkon tietojen suojaamiseksi kauttakulkuliikenteessä.

Teollisuusverkon turvallisuuden maisema

Teollisuusverkot ovat pitkään toimineet ilman katkaistun eristämisen periaatteen mukaisesti. Tosiaikaiseen analytiikkaan, kaukovalvontaan ja toimitusketjun integrointiin tähtäävät toimet ovat kuitenkin heikentäneet tätä eristäytymistä. Nykyaikaiset teollisuusverkot ovat nyt yhteydessä yritysten IT-järjestelmiin, pilvialustoihin ja jopa kolmannen osapuolen toimittajiin. Tämä konvergenssi tuo mukanaan uusia verkkouhkien vektoreita, kuten lunnasohjelmia, tiedon ulosvientiä ja hallintakomentojen manipulointia.

Teollisuusverkkojen ainutlaatuisten ominaisuuksien ymmärtäminen on ratkaisevan tärkeää. Ne priorisoivat luottamuksellisuuden saatavuuden ja eheyden, mutta tiedonsiirto vaatii silti vahvaa suojaa. Legacy-laitteet voivat suorittaa omistusoikeudellisia protokollia, kuten Modbus TCP, DNP3, tai Profinet, joita ei ole suunniteltu turvallisuus mielessä. Ilman asianmukaisia toimenpiteitä hyökkääjä, joka sieppaa verkkoliikenteen voi oppia järjestelmäkokoonpanoja tai syöttää vääriä tietoja, jotka johtavat fyysiseen vahinkoon.

Avainprotokollat ja niiden haavoittuvuus

Protokollat kuten Modbus TCP puuttuvat tunnistautuminen ja salaus. DNP3 Secure Authentication on olemassa, mutta ei ole yleisesti hyväksytty. Monet järjestelmät edelleen luottaa selkeä tekstiviestintä. Attackers voi haistaa paketteja, suorittaa ihmisen keskipistehyökkäykset, tai toistaa kaapattuja komentoja. 2021 siirtoputkihyökkäys osoitti, miten yksi vaarantunut salasana voisi pysäyttää polttoaineen toimitusta Itä-Yhdysvalloissa. Vaikka tämä tapaus liittyi ransomware, se korosti tarvetta kerrostettu puolustus teollisuusverkoissa.

Yhteiset haavoittuvuustekijät teollisuusympäristöissä

Useat pysyvät haavoittuvuudet rutolla teollisuuden verkostot:

  • Paikantamattomat perintöjärjestelmät:[] Monet PLC:t ja RTU:t käyttävät firmwarea, joka on vanhentunutta. Valmistajat voivat lopettaa tuen, jolloin tunnettuja urotekoja ei käsitellä.
  • Heikko todennus:[ Oletussalasanat tai yhden tekijän kirjautuminen HMI:ihin ja konepajatyöasemiin ovat edelleen yleisiä.
  • Lähetysverkkotopologia:[] Hajauttamisen puute mahdollistaa yhden laitteen rikkovan hyökkääjän siirtymisen sivuttain kohti herkkiä ohjaimia.
  • Salaamaton etäyhteys:[ Kauko-tukiyhteydet käyttävät usein VPN-verkkoja, mutta väärin määritellyt tai vanhentuneet VPN-järjestelmät voidaan ohittaa.
  • Sisäpiirin uhat:[] Vihaiset työntekijät tai alihankkijat, joilla on laillinen pääsy, voivat poistaa tietoja tai muuttaa prosesseja.

Näiden riskien tunnistaminen on puolustusstrategian perusta.

Tiedonsiirron turvaamiseen liittyvät säätiön parhaat käytännöt

Turvatoimien toteuttaminen edellyttää järjestelmällistä ja tasoitettua lähestymistapaa. Seuraavissa parhaissa käytänteissä käsitellään yleisimpiä hyökkäysreittejä ja säilytetään samalla toiminnan suorituskyky.

Vahva tunnistautuminen ja kulunvalvonta

Monitoiminen tunnistautuminen (MFA) on oltava normi kaikille ihmisen käyttöpisteille.Moottorityöasemien, HMI:ien ja etätukiporttien on oltava vakio. Kone-koneeseen viestinnässä on harkittava varmenteeseen perustuvaa todentamista tai esijaettuja avaimia, joissa on kiertopolitiikka. [CISAn Teolliset ohjausjärjestelmät[] ohjeessa korostetaan, että MFA on yksi suurimmista vaikutuksista. Vältä skriptien tai konfiguraatiotiedostojen tunnuksia.

Salausstandardit ja täytäntöönpano

Ethernet-pohjaisissa verkoissa on käytettävä TLS 1.3:tä sovelluskerrosten viestinnässä ja IPsec:iä verkonkerrosten suojauksessa. Langallisissa teollisuusverkoissa (esim. WPA3-Enterprise) on varmistettava, että kaikki liikenne on salattu. Vanhojen sarjaprotokollien osalta on harkittava sellaisten protokollaporttien käyttöönottoa, jotka muuntavat salatut tunnelit. National Institute of Standards and Technology (NIST) suosittelee NIST SP 800-82 Rev. 2[:n noudattamista salausohjeissa, jotka koskevat teollisia ohjausjärjestelmiä.

Verkkosegmentointi ja mikrojakauma

Jakakaa teollisuusverkko eri alueille toiminnan ja riskien perusteella. Käytä palomuureja, VLAN-muureja tai seuraavan sukupolven teollisuuspalomuureja rajoittaaksesi vyöhykkeiden välistä liikennettä. Tyypillinen suunnittelu erottaa yrityksen IT-verkon, ohjausverkon ja turvalaitejärjestelmän (SIS) verkon. Mikrosegulaatio vyöhykkeillä rajoittaa edelleen viestintää: PLC tuotantokennossa pitäisi puhua vain nimetylle HMI:lle ja historioitsijalle, ei muille soluille. Tämä rajoitus estää sivuttaisen liikkumisen murroksen sattuessa.

Paikkauksen hallinta ja järjestelmän päivitykset

Valmistaja-sovelluksissa olevat paikat käsittelevät tunnettuja haavoittuvuuksia, mutta niiden soveltaminen teollisuusympäristöissä on monimutkaista ajanpuutteen vuoksi. Luodaan laastarinhallintaprosessi, joka testaa päivityksiä vaiheympäristössä ennen käyttöönottoa. Järjestelmät, joita ei voida helposti paikata, ottavat käyttöön kompensoivia säätöjä, kuten sovelluksen valkaisua tai virtuaalista paikkaamista tunkeutumisenestojärjestelmien (IPS) avulla. Teollisuusverkon jatkuva haavoittuvuusskannaus, vaikkapa passiivisessa ympäristössä, auttaa priorisoimaan paikkaamista.

Jatkuva seuranta ja tunkeutumisen havaitseminen

Käynnistä verkon seurantatyökaluja, jotka ymmärtävät teollisia protokollia. SCADA-ympäristöille räätälöidyt tunnistimentunnistusjärjestelmät (IDS) voivat tunnistaa anomalouskomennot (esim. kirjoittamalla odottamaton asetuspiste PLC:lle) tai liikennekuviot, jotka osoittavat tiedustelun. []ISA Secure[] -ohjelma tarjoaa sertifioinnin teollisissa asemissa käytettäville turvatuotteille. Yhdistä verkon havaitseminen päätepisteen havaitsemiseen koneellisissa työasemissa ja palvelimissa.

Rooli perustuu kulunvalvonta ja vähiten Privilege

Rajoita käyttäjän oikeudet työtoimintojen edellyttämään vähimmäismäärään. Operaattoreilla ei pitäisi olla hallinnollisia oikeuksia ohjauspalvelimissa. Käytä keskitettyä henkilöllisyydenhallintaa (esim. Active Directory tai LDAP) teollisesti laadukkailla tunnistusmoduuleilla. Monitoimiympäristöissä on noudatettava periaatetta, jonka mukaan vähiten etuoikeus koskee kaikkia OT-varoja. Tarkista ja peruuta pääsy entisille työntekijöille tai alihankkijoille.

Pitkälle kehitetyt turvatoimenpiteet

Perustavanlaisten käytäntöjen lisäksi järjestöjen olisi vakiinnutettava turvallisuuskulttuuri, joka on yhdenmukainen alan standardien ja sääntelypuitteiden kanssa.

Turvallisuuspolitiikka ja hallinto

Kehitetään kirjallinen kyberturvallisuuspolitiikka, joka kattaa tiedonsiirron turvallisuuden, vaaratilanteiden reagoinnin ja hyväksyttävän käytön. Varmista, että toimintaperiaatteet tarkistetaan vuosittain ja niistä tiedotetaan koko henkilöstölle. Hallinnointirakenteet, kuten OT:n monitoiminen turvallisuusohjauskomitea, auttavat vastuullisuuden valvonnassa. ISA/IEC 62443 -sarja[ tarjoaa kattavat ohjeet teolliselle kyberturvallisuudelle, mukaan lukien verkon turvallisuuden hallinta.

Säännöllinen turvallisuustarkastus ja läpäisytestaus

Suorita määräajoin teollisuusverkon arviointeja. Käytä passiivista haavoittuvuusskannausta häiriön välttämiseksi ja ajoita aktiiviset läpäisytestit suunniteltujen huolto-ikkunoiden aikana. Ulkopuoliset tilintarkastajat tuovat ulkonäön ja voivat paljastaa sokeita kohtia. Tarkastuksen jälkeinen kunnostus on seurattava sulkemiseen.

Kyberturvallisuustietoisuuskoulutus

Inhimillinen virhe on edelleen johtava syy turvallisuustilanteisiin. Kouluttaa kaikkia työntekijöitä, jotka ovat vuorovaikutuksessa teollisuusjärjestelmien ...insinöörien, operaattoreiden ja jopa urakoitsijoiden kanssa turvallisuusperusasioissa: tunnistaa phishing yritykset, raportoida epäilyttävää käytöstä ja ymmärtää seuraukset väärinkäyttäen pääsyä. Räätälöidä koulutusta teollisuuden yhteyksissä; esimerkiksi opettaa insinöörejä, miten epävarma etäkäyttö voisi mahdollistaa hyökkääjä ohittaa turvallisuusvalvonta.

Teollisuusstandardien hyväksyminen

Aseta turvaohjelmat tunnustettuihin kehyksiin kuten NIST SP 800-82, ISA/IEC 62443 tai UK NCSC. Nämä puitteet tarjoavat kypsyysmalleja ja teknisiä valvontatoimia, jotka auttavat priorisoimaan investointeja. Sertifiointi ISA/IEC 62443:a vastaan voi osoittaa asianmukaista huolellisuutta sääntelyviranomaisille ja asiakkaille.

Päätelmä: Resilient Industrial Network -verkoston rakentaminen

Teollisten verkkojen tiedonsiirron turvaaminen on jatkuva ja kehittyvä työ. Mikään yksittäinen teknologia ei takaa suojaa; puolustus-in-in-dect strategia, jossa yhdistyvät vahva tunnistaminen, salaus, segmentointi, seuranta ja hallinto ovat välttämättömiä. Koska teollisuusympäristöissä integroidaan enemmän IIoT-laitteita ja pilviyhteyksiä, tässä esitetyt periaatteet ovat edelleen turvallisen asennon perusta. Hyväksymällä nämä parhaat käytännöt ja pysymällä nykypäivän yhteiskunnan perustana olevien fyysisten prosessien luotettavuuden ja turvallisuuden kannalta ja pitämällä yllä standardeja, kuten ISA/IEC 62443 ja NIST-ohjeissa, organisaatiot voivat vähentää merkittävästi kalliiden verkko-onnettomuuksien riskiä.