העלאת סיכונים אבטחת סייבר במערכות הנדסה חכמות

ככל שמערכות הנדסה חכמות הופכות עמוק בתוך תשתיות קריטיות, אוטומציה תעשייתית ומערכות אקולוגיות עירוניות, ההתכנסות של טכנולוגיה מבצעית (OT) עם טכנולוגיית מידע (IT) יוצרת הישגים נרחבים של יעילות, אך מרחיבה גם את פני השטח של ההתקפה.איומים סייבר שמכוונות המערכות הללו אינם תיאורטיים יותר – הן גרמו לעצי ייצור, נזק גופני ואפילו למקרי בטיחות משתמשים.

הבנה של מערכות הנדסה חכמות

מערכות הנדסה חכמות משלבות חיישנים, פועלים, בקרים ופלטפורמות מחשוב עם ניתוח נתונים ולמידה מכונה כדי להתאים את התהליכים הפיזיים ואופטימיזציה.הם נמצאים ברשתות חכמות, במים ובתחנות טיפול במים, קווי ייצור אוטומטיים, ניהול בנייה אינטליגנטי ורשתות תחבורה אוטונומיות.בניגוד ל- IT ארגוני מסורתי, מערכות אלה לעתים קרובות יש רכיבים מורשת, מגבלות תפעוליות בזמן אמת, ומעגלות חיים ארוכים (10+ שנים), מה שהופך לתקן סטנדרטי להפרעות קשות לשיבושים ללא הפרעה לפעילות ארגונית.

מרכיבי הליבה של מערכת הנדסה חכמה טיפוסית כוללים:

(ב) [15] ,9) ,[דרוש מקור] ב[[1924]] ו[[1924]]]] ו[[1924]]]]]]
(ב) [ה] [ה] [ה]] [התקדשות, לחץ, רטט, זרימה] ו-FLT:2actuatorsph3] (עבדים, מנועים, מס הכנסה).
(FLT:0) פיקוח על פיקוח ורכישה של נתונים (SCADA)IRLT) 1 פלטפורמות עבור ניטור ושליטה מרכזית.
(ב) ,0) ,Industrial Internet of Things (IIoT)BuildFLT) 1 שערים שגשרים על מכשירים OT לענן או לחוד החנית.
(ב) ◄ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇

האופי המקושר של רכיבים אלה הוא הפרה בשכבה אחת יכולה לחלחל לנזק פיזי, גניבה של נתונים או נזק סביבתי.לדוגמה, רשת הכוח האוקראינית 2015 תקיפת spear-phishing כדי להשיג גישה ראשונית, ולאחר מכן עבר מאוחר יותר לתוך מערכות SCADA כדי לגרום לשחורים נרחבים.

איומים נפוצים בתחום אבטחת סייבר בהנדסת חכמה

בעוד מערכות הנדסה חכמות חולקות איומים רבים עם IT ארגוני, ההשפעה של התקפות מוצלחות היא הרבה יותר חמורה.למטה הם קטגוריות האיום הנפוצות ביותר, הורחבו מהרשימה המקורית.

Malware ו-Rensomware

התקפות רנסמוware על מערכות תעשייתיות זינקו ב-2021, פיגוע הטמונים של הקו הטורקי סגר צינור דלק גדול בארה"ב, לא באמצעות פשרות OT ישירות, אלא על ידי צפיית מערכות IT שהצליחו לקבוע ולתזמון.עם זאת, גרסאות מסוכנות יותר ל-OT ישירות.לדוגמה, טריזה (הידועה גם בשם HatMan) ממוקדת בקרי בטיחות שניידר אלקטריקנקט, במטרה לקלקל מערכות אבטחה, שעלולות לגרום נזק גופני, אשר עלול להוביל לחשיפה פיזית, כלומר, למניעה, למניעה, עלולה להוביל למניעה, כולל יישום אבטחה, לחץ דם נוקשה.

גישה בלתי מורשה ו- Credential Theft

סיסמאות חלשות או ברירת מחדל, VPNs ללא תשלום, ונקודות גישה מרחוק מנוהלות גרועות הן וקטורים נפוצים כניסה.בסביבות תעשייתיות רבות, מפעילים עדיין משתמשים באישורים של הספק על HMIs או הנדסה. Attackers ניצול אלה יכולים לקבל שליטה מלאה על לוגיקה שליטה (התולעת Stuxnet הידועה לשמצה propagated באמצעות מדיה נשלפת ושימוש במספר רב של אפס יום כדי reprograms, כולל בקרת תפקוד גרעיני).

נתונים בוגדים ונכס אינטלקטואלי Theft

מערכות הנדסה חכמות לייצר כמויות עצומות של נתונים רגישים: מתכונים תהליכים, אלגוריתמים קנייניים, לוחות זמנים ייצור ומידע על לקוחות.פרץ יכול להוביל לאובדן של יתרון תחרותי קנסות רגולטוריים.תוקפים משתמשים לעתים קרובות באיומים מתקדמים (APTs) כדי להפיץ נתונים על פני תקופות ארוכות.מוצ'י במנוחה ובמעבר, מניעת אובדן נתונים (DLP) כלים, מדיניות ניהול נתונים קפדנית הם אמצעי מניעה חיוניים.

הכחשת השירות (DoS) ו- Distributed Denial of Service (DDoS)

התוקף עשוי להציף את התנועה ברשת למניעת תקשורת SCADA, מה שגורם לתהליכים להישען או להיכשל במדינות לא בטוחות.אפילו פיגור קצר במפעל תרופות או כימי יכול להוביל לחבילות מחוץ לספקטרום, לזרמים חומריים מסוכנים או נזק בציוד. ניטור רשת, סינון תנועה, ו אדמומיות במסלולי תקשורת (למשל, נתיבי סיבים מגוונים) לעזור להפחית את הסיכון של DoS.

שרשרת אספקה וסיכון שלישי

מערכות הנדסה חכמות רבות מסתמכות על רכיבים ממוכרים מרובים, כולל קושחה משובצת, ספריות קוד פתוח ושירותי ענן.פגיעות בקושחה של חיישן יחיד ניתן לנצל על פני אלפי מתקנים.ה-ה-הסולווינדוס 2020, אם כי בעיקר תקרית IT, מוכיחה כיצד שרשרת האספקה העדכונים המוקצבים יכולה להפיץ ארגונים.

התקפות על איכות הסביבה של OT/IIoT

הבנת האופן שבו התוקפים מקבלים בדרך כלל גישה למערכת הנדסה חכמה מסייעת למקד את ההגנות.

(FLT:0) הטמעת הנדסה חברתית: FLT:1) מהנדסים, מפעילי, או מנהלי מתקנים עם הודעות דוא"ל המופיעות כלגיטימיות.
(FLT:0) עידוד גישה לא נכונה: מיפוי:1 ; VPN בלתי מאובטח, חשפו את נמלי RDP או ממשקי HMI / PLC ישירות.
(FLT:0) תקשורת ניתנת למניעה: 1FLT:1 כונן USB המשמש להעברת קבצים או עדכוני קושחה יכול להציג קוד זדוני, כפי שניתן לראות ב Stuxnet.
(ב) למערכות ארגוניות:0) , כאשר רשת IT מופרת, התוקפים מפצחים לרשתות OT אשר מופרכות באופן לא הולם.
(FLT:0) פרצות תקשורת ללא תשלום: חיישנים רבים IIoT משתמשים בפרוטוקולים לא מוצפנים או אותנטיות גרועה (למשל, Modbus, DNP3, MQTT) שניתן למצמץ או לספוג אותם.

אסטרטגיות להורדת סיכוני סייבר

הגנה על מערכות הנדסה חכמות דורשת גישה הגנה שכבתית המשלבת טכנולוגיה, תהליכים ואנשים.אסטרטגיות הבאות לבנות ברשימה המקורית תוך הוספת עומק והדרכה מעשית.

עדכוני תוכנה ותוכנות תוכנה קבועים

אחת ההגנות היעילות ביותר היא שמירה על תוכנה עדכנית על כל המכשירים, כולל PLCs, RTUs, HMIs, IIoT שערי רשת, עם זאת, הזנת מכשירים OT יכול להיות מאתגר בגלל דרישות זמינות - החלות פונות בקר עלול להפריע תהליכים קריטיים.

רשת רשת ו- Zero Trust Architecture

הסגמנטציה מגבילה את רדיוס הפיצוץ של חדירה. A נפוץ בפועל הוא מודל Purdue עבור אבטחת ICS, אשר מחלק רשתות לתוך רמות (למשל, רמה 0 - תהליך פיזי, רמה 1 - שליטה בסיסית, רמה 2 - שליטה פיקוח, רמה 3 - פעילות האתר), עם סינון תנועה קפדני בין אותם.מיישם חומות אש הדור הבא עם בדיקה עמוקה (I) עבור פרוטוקולים פיקוח ואימוץ גישה רציפה, במקום זאת, ללא הגבלת גישה מרחוק;

בקרת גישה חזקה וניהול זהות

מעבר לסיסמאות פשוטות. השתמש באימות רב-ספק (MFA) לכל הקשרים המרוחקים ולכל גישה מועדפת ליצירות הנדסיות או לשרתי SCADA.יישם בקרת גישה מבוססת-תפקיד (RBAC) התואם לפונקציות עבודה - אוורסים עשויים רק לדרוש את HMI View/editedtas, בעוד מהנדסים זקוקים לגישה לתוכנות.

מעקב מתמשך וזיהוי אנומליות

ניטור פרואקטיבי הוא חיוני לאיתור מוקדם של פשרה. Deploy מערכת ספציפית תעשייתי SIEM (מידע אבטחה וניהול אירוע) מערכת כי ingests יומני מ PLCs, חומות אש, בקרים דומיין, ומקורות אחרים. השתמש במערכות זיהוי מבוסס רשת (IDS) מותאם לפרוטוקולים OT (למשל, Modbus, Profinet, Ether / IP) כדי לזהות לפתע מערכת בקרה חיצונית או הוראות בקרה חיצונית.

בנוסף, ליישם את מכשירי הדבש והמכשירים המלוכלכים בתוך רשתות OT כדי לפתות תוקפים ולזהיר צוותי אבטחה.רגילים קבועים של צוות אדום-צוות ספציפיים כדי לאמת יכולות זיהוי ותגובה.

אימון עובדים ומודעות

טעות אנושית נותרה גורם עליון להפרות.תוכניות הכשרה חייבות לעבור מעבר לשקיות סייבר גנריות ולהתמקד בתרחישים ספציפיים OT: כיצד לזהות אימייל phishing מיקוד מהנדס, את הסיכונים של שימוש בדחפים USB אישיים בחדרי בקרה, ואת החשיבות של נעילת יצירות. ליצור תרבות אבטחה שבה עובדים מרגישים נוח דיווח על אירועים ללא חשש של טבלאות.

המונחים: Integrating Cybersecurity early

במקום לחידוש האבטחה לאחר הפריסה, ארגונים צריכים להטמיע עקרונות אבטחת סייבר לתוך רכש, עיצוב, וקביעת השלבים של מערכות הנדסה חכמות.

(FLT:0) הערכת אבטחה: FLT:1 דורש ספקים להפגין מחזור חיים בטוח (SDL) שיטות, לספק SBOMs, ולהגיש לבדיקות חדירות של צד שלישי.
דרישות סודיות בחוזים: FLT:1 , ציין אמצעי אבטחה מינימליים כגון הצפנה, כניסה וציוד מאובטח עבור ציוד חדש.
(FLT:0)Architecture Reviews:FLT:1IRECT זה דיאגרמות רשת, זרימת נתונים וגבולות אמון עומדים בסטנדרטים של אבטחה (למשל, ISA/IEC 62443).
(FLT:0) תצורה של הגדרות בסיס:FLT:1 Disable שירותים מיותרים, שינוי אישורי ברירת מחדל, ואכיפת הגדרות מערכת ההפעלה קשיחות עבור כל הרכיבים.

תוצאות חיפוש עבור Smart Engineering Systems

גם עם מניעה חזקה, אירועים יתרחשו.תוכנית תגובה יעילה של אירוע (IRP) המותאמים ל-OT היא קריטית.הבדלים מרכזיים מתגובה לאירועי ה-IT:

הגישה הראשונה של ה-FLT:0 (FLT:1) המטרה העיקרית היא להביא את התהליך למצב בטוח, גם אם זה אומר להתנתק מהרשת או לסגור את הנתונים, לוקח עדיפות משנית.
(FLT:0) הליכים של Air-gap: FLT:1ve תיעדו צעדים לנתק פיזית את בקרים ברשת הבקרה מבלי לגרום נזק מכני.
צוותי תגובה מיוחדים:0 (FLT:1) כולל גם אנליסטים בתחום אבטחת הסייבר וגם מהנדסי OT אשר מבינים את התנהגות התהליך.
(FLT:0) מוכנות משפטית: FLT:1 ודא כי יומני מ PLCs, זרימת רשת, HMIs נשמרים באופן מאובטח, טמפר-הוכחה לשימוש בכרטיסי SD מוגנים או מכשירי logging.
מקורות חיצוניים:0 (FLT:1) לשמור על יחסים עם ICS-CERT (CISA), תמיכה טכנית של ספקים וחברות תגובה מקריות מנוסים בסביבות תעשייתיות.

באופן קבוע לבצע תרגילים טבלה המדמים תרחישים מסוימים OT, כגון תוקף כתב לוגיקה של PLC או מסך אנזימים מופיע על HMI. Update The IRP מבוסס על שיעורים נלמדים.

קריטריונים לרישום וסטנדרטי תעשייה

מערכות הנדסה חכמות רבות נופלות תחת פיקוח רגולטורי.מסגרות מפתח כוללות:

(FLT:0)NIST SP 800-82 Rev. 3:03FIRLT:1 מדריך לניהול תעשייתי מערכת אבטחה מערכת אבטחה - מספק פיקוח מקיף וניהול סיכונים.
סדרת ה-IEC 62443: תקן עולמי לאבטחת מערכות אוטומציה ובקרה תעשייתיות.זה מכסה הערכת סיכונים, תכנון מערכת וניהול אבטחה.
(FLT:0)NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection): דרישות אבטחת מידע מנדרינית עבור מפעילי מערכת חשמל גדולים.
(FLT:0) ותקנות הגנת נתונים אחרות: FLT:1) ניתן לייחס כאשר מערכות הנדסה חכמות מעבדות נתונים אישיים (למשל, מטר חכם במבנים).

ארגונים צריכים להתאים את תוכנית אבטחת הסייבר שלהם עם הסטנדרטים המתאימים, לבצע ביקורת סדירה, ולהפגין תאימות לצמצום האחריות המשפטית וביטוח פרמיות.

עתיד Outlook ואתגרים מתעוררים

האבולוציה של מערכות הנדסה חכמות יציגו הן הזדמנויות והן סיכונים.כמה מגמות כבר מעצבות את הנוף אבטחת הסייבר:

(FLT:0) אינטליגנציה מלאכותית ולמידה מכונה: FLT:1 AI יכול לשפר את זיהוי אנומלי על ידי זיהוי דפוסים עדינים בנתונים חיישן המדהים התקפה.עם זאת, למידה מכונה יריבתית יכולה לאפשר לתוקפים להתחמק מגלאיים מבוססי בינה מלאכותית על ידי הרעלה של מידע הכשרה או יצירת קלטות זדוניות.
(FLT:05G ו- Edge מחשוב:FLT:1ird נמוך-latency 5G רשתות מאפשרות שליטה בזמן אמת על קישורים אלחוטיים, אך גם להציג משטחים חדשים של התקפות כגון תחנות בסיס ופונקציות רשת וירטואליות.
תאומים וסימולציה:0 (FLT:1) תאומים דיגיטליים מאפשרים בדיקות בטוחות של שינויים בתצורה ובבקרות אבטחה, אך הם גם יוצרים עותק של המערכת, שאם ניגשו אליה, יכולים לחשוף פרצות או לאפשר התקפות לא-מודעות.
(FLT:0)Quantum מחשוב: 1FLT:1 פעם בר-קיימא, מחשבים קוונטיים יכולים לשבור את הקריפטוגרפיה הנוכחית של הציבור המשמש לתקשורת בטוחה ואימות המכשיר.ארגונים צריכים להתחיל לתכנן הגירה קריפטוגרפית לאחר ה-quantum.
(FLT:0) קבלת ה-IT ו-OT:03FLT:1) כאשר ארגונים מתאחדים את מערכות ה-IT וה-OT, יש לנהל הבדלים תרבותיים וטכניים.מודל ממשל מאוחד עם מדדי סיכון משותפים עוזר לשבור את סילוס.

שיתוף פעולה בין התעשייה, הממשלה והאקדמיה חיוני לחיזוי האתגרים הללו.מיזמים כגון:0NIST של Cybersecurity FrameworkveFLT:1 ומרכזי שיתוף מידע וניתוח ספציפיים למגזר (ISACs) להקל על שיתוף מודיעין איומים והפצת הפרקטיקה הטובה ביותר.

מסקנה

הטמעת סיכונים בתחום אבטחת סייבר במערכות הנדסה חכמות דורשת אסטרטגיה פרואקטיבית ורב-שכבתית המשלבת בקרה טכנית, תהליכים ארגוניים ותרבות בעלת מודעות ביטחונית.מבין את הנוף האיום הייחודי ליישום ארכיטקטורות מאובטחות בעיצוב ותרגול תגובה אירועית חזקה, כל שכבה ספירה.העתיד יביא למבצעים מתקדמים יותר וטכנולוגיות מתפתחות – אך באמצעות השקעה בשיפור מתמשך ושיתוף פעולה, ארגונים יכולים להבטיח שמערכות ההנדסה החכמה שלהם יישארו מבטיחות, אך ורק את תהליכי אבטחת המידע של מרכז אבטחת המידע החדש, אך ורק לאחר מכן, אך ורק לאחר מכן, אך ורק לאחר מכן, החל מ-CDC, אינה משקף את תהליכי אבטחה, אך ורק לאחר מכן, היא מערכת אבטחה, היא מערכת אבטחה בטוחה, אך ורק לאחר מכן, אך ורק לאחר מכן, היא מערכת אבטחה (מרכז אבטחת מידע מאובטח, אך ורק לאחר מכן, אך ורק לאחר מכן, החל מ-ידי מרכז אבטחת מידע מאובטח, אך היא מערכת אבטחה של מערכת אבטחה של מערכת אבטחה של מערכת אבטחה של האיחוד האירופי, אך היא מערכת אבטחה רציפה, אך היא מערכת אבטחה, אך היא מערכת אבטחה של מערכת אבטחה, אך היא מערכת אבטחה, אך היא מערכת אבטחה, אך היא מערכת אבטחה של 20.

(ב) לקריאה נוספת, התייחס ל-FLT:0) ICS ICS ICS WhitepapersFLT:1 ו- TheFLT:2ISA/IEC 62443 סדרה של 3443 עבור הדרכה מפורטת של יישום.