הפרקטיקה הטובה ביותר לשמירה על אבטחת רשת פרופ'יבוס נגד מתקפות סייבר

פרופ'יבוס נשאר אחד מפרוטוקולי התקשורת התעשייתיים הנפוצים ביותר בייצור, בקרת תהליכים ותשתיות קריטיות.כאשר רשתות טכנולוגיה מבצעיות הופכות יותר ויותר מחוברות ל-IT ארגונית וענן, פני השטח של יריבים שמקדמים רשתות פרופ'בוס התרחבו באופן דרמטי.

מאמר זה מספק מדריך מקיף, פעיל לשמירה על אבטחת רשת של פרופ'יבוס נגד מתקפות סייבר.זה מכסה את הנוף האיום, בקרה אדריכלית, פרקטיקות תפעוליות ומסגרות ממשל המעצבות את הבסיס של יציבה ביטחונית חזקה.

האיום על רשתות פרופ'יובוס

מערכות בקרה תעשייתיות הפכו למטרות עיקריות עבור שחקנים איומים מתוחכמים, כולל קבוצות כופר, האקרים, וגופים בחסות מדינת הלאום.רשתות פרופ'יבוס, שהונדסו במקור לאמינות ותזמון רציונאלי ולא אבטחה, לעתים קרובות חסר אימות, הצפנה או בדיקות יושרה הודעה.התקפות שקיבלו גישה למגזר פרופ'יבוס יכולות להזריק טלגרם זדוני, replay שנתפס מחדש, פריבילגיות על ידי אי-אדם של קווי הפעלה או הפסקת ייצור.

תקריות בעולם האמיתי מדגישות את חומרת הסיכונים הללו.במגזרים החל מייצור הרכב ועד להפצת אנרגיה, התוקפים ניצלו רשתות לא מאובטחות ברמה השדה כדי לשבש פעולות, לגרום נזק פיזי, והפצת מידע על תהליך קנייני.ההתכנסות של מערכות IT ורשתות OT, בעוד שתאפשר ניתוחים מתקדמים ופעולות מרוחקות, יצרה גם מסלולים חדשים עבור תנועה מאוחרת יותר.

התקפות נפוצות נגד פרופ'יבוס רשתות

הבנת כיצד יריבים יכולים להגיע לתנועה של פרופ'יבוס היא קריטית לתכנון מערכות הגנה יעילות.

• (FLT:0) עידוד השימוש לרעה בגישה: חיבורי VPN בלתי מאובטחים או נמלי תחזוקה מרוחקים המוגדרים בצורה גרועה מספקים נקודות כניסה ישירות לרשת ה-OT.
• (FLT:0) הנדסת ידע: מחשבי מחשב 1FLT) המשמשים לתכנות או אבחון שנדבקים בתוכנות זדוניות יכולים להפיץ תנועה זדונית על פלח פרופ'יובוס כאשר הם מחוברים.
• (FLT:0) tampering:FLT:1; פיסות RS-485 ניתן למצמץ, מכשירים סורים מחוברים, או מכשירים לגיטימיים שהוחלפו בחומרה פגועה אם אבטחה פיזית חסרה.
• (FLT:0) פרצות שרשרת של ספוגים: גרף 1) קושחה או חומרה של ספקים של צד שלישי יכול להציג דלתות אחוריות לרשת.
• (FLT:0)Ransomware propagation: כאשר IT ו-OT רשתות הם ללא דיחוי, כופר יכול להתפשט לתחנות HMI והנדסת מערכות ולשיבוש תקשורת עם מכשירים שדהיים.

כל אחד מהוקטורים הללו ניתן לצמצם באמצעות שילוב של בקרה אדריכלית, ניטור ומשמעת תפעולית.

בקרת אבטחה אדריכלית עבור פרופ'יבוס

אמצעי האבטחה היעילים ביותר הם אלה שעוצבו לתוך הארכיטקטורה של הרשת מההתחלה.הפעלת האבטחה על רשת של פרופ'יבוס הקיימת מציגה אתגרים, אך גישה מובנית המוצבת במסגרות התעשייה הופכת את המאמץ ליעילות ויעילה ביותר.

רשת Segmentation ו- Zoning

חלוקת רשת פרופ'יבוס לאזורי אבטחה לוגיים היא השליטה היחידה המשפיעה ביותר זמינה.פרקטיקה זו מגבילה את רדיוס הפיצוץ של כל פשרה, מבודדת פונקציות בקרה קריטיות מאזורים פחות מאובטחים, ומפשטת ניטור ברשת שטוחה שבה כל מכשיר יכול לתקשר עם כל מכשיר אחר, פלח לאכוף מודל צורך לתקשורת.

חומות אש תעשייתיות ו נתבים התומכים במדיניות סינון פרופ'יבוס-מודע הם הכלים העיקריים לאכיפת פלחציה.מכשירים אלה יכולים לבדוק את הטלגרם של פרופ'יבוס ברמת שדהבוס ולקבל החלטות בהתבסס על קוד וכתובות יעד, קודים פונקציונליים ואפילו תוכן נתונים ביישום כלשהו.כאשר בשילוב עם מודל ה-Purdue Enterprise Reference Architecture, מארגן הגנה שכבתית שמתאים את דרישות האבטחה התפעוליות והטיפולים הטובים ביותר של HMI.

הגדרות אש ורשימת בקרת גישה

חלוקת חומת אש תעשייתית ייעודית בגבולות האזור מסייעת לאכוף מדיניות תנועה ולחסום ניסיונות גישה לא מורשים.בניגוד ל-MRI, מודלים תעשייתיים נועדו להתמודד עם דרישות הדטרמיניזם בזמן אמת ומאפיינים ספציפיים של פרופ'יבוס, כולל תוכנית הבוררות המעופפת שלה ודפוסי החלפת נתונים מחזוריים. Access צריך לציין אילו בדיוק כתובות מקור ויעד פרופ'בוס מותרות, אשר קודים מותרים, והאם לכתוב פרמטרים מסוימים הוא מוגבל.

מנגנוני אימות חזקים לכלי הנדסה עוד יותר להפחית את הסיכון.כל שינוי תצורה שנעשה באמצעות מכשיר תכנות או HMI צריך לדרוש אישורים בתוקף. אימות רב-ספק מומלץ מאוד לכל גישה מינהלית, במיוחד כאשר מבוצעת מרחוק.כל האירועים האימות ושינויי התצורה צריכים להיות רשומים במסלול ביקורת מרכזי, tamper-resistantistant-resistant. ⁇ אלה להיות בלתי-סבירים במהלך חקירות וציות אירועים.

אדריכלות גישה מרחוק

גישה מרחוק לאדיח, תחזוקה ותמיכה של ספקים היא דרישה מבצעית נפוצה, אבל זה גם מייצג את אחד הפעילויות בסיכון הגבוה ביותר עבור רשתות פרופ'יבוס.אדריכלות גישה מרחוק בטוחה צריכה לכלול את האלמנטים הבאים:

• שרת קפיצה ייעודית או מנחת ביזה שיושבת ב-DMZ ומברוקרים את כל הקשרים לחטיבת פרופ'יבוס.
• הקלטה ו ניטור לכל הפעילויות המרוחקות.
• אישורים מוגבלים בזמן עם הרשאות גרניט בהיקף של מכשירים או משימות ספציפיות.
• מנהרות מוצנות באמצעות פרוטוקולי VPN מודרניים עם סוויטות cipher חזקות.
• חיבורים בלבד שבהם ניתן, למנוע מצדדים חיצוניים ליצור קשר עם רשת ה-OT.

יישום בקרה אלה מבטיח כי הנוחות של גישה מרחוק לא מגיעה על חשבון השלמות הרשתית.

Lifecycle Security and Operational Practices

אבטחה אינה מאמץ חד פעמי של תצורה; יש להמשיך לאורך מחזור החיים של כל מכשיר וחותך רשת.הפרקטיקות הבאות מתייחסות לממד התפעולי המתמשך של אבטחת פרופ'בוס.

ניהול משרדים ו- Patch Management

פרצות בלתי צפויות ב- PLCs, מרוחקות I / O מכשירים, ומודולים תקשורת נשארים אחד נקודות הכניסה הנפוצות ביותר עבור תוקפים. ארגונים חייבים להקים תהליך ניהול תיקון קפדני המהווה את המגבלות הייחודיות של סביבות OT, כולל הצורך בזמינות גבוהה ואת הסיכון של חוסר יציבות מושרה תיקון.כל קושחה צריך להיבדק בסביבה מגובשת שמשקף את הייצור לפני פריסה הוא מורשה.

לשמור על מלאי מקיף של כל מכשירי פרופ'יבוס, כולל איפור, מודל, גרסת קושחה, והקצה את כתובת פרופ'יבוס.מנויים אבטחה ממוכרים למכשירים ומארגונים כגון CISA ו- ICS-CERT כדי להישאר מעודכן לגבי פרצות חדשות מעודכנים.כאשר לא ניתן ליישם באופן מיידי עקב מגבלות תפעוליות, הצבת בקרה כגון ניטור משופר או פלמנטציה ברשת צריכה להיות מיושמת כדי להפחית את החשיפה במהלך הסיכון.

אבטחה פיזית עבור פרופ'יבוס Components

בעוד איומים ברשת שולטים כותרות, גישה פיזית לכבלים ומכשירים של פרופ'בוס נותרה וקטור משמעותי. תוקףים עם קרבה פיזית יכולים להתחבר ל- RS-485 באמצעות כלים זולים, לחבר מכשירים אבחון סורגים, או ישירות גישה לנמלים בתצורה ב- PLCs ו- I/O מודולים. כל ארונות שדה ופאנלים בקרה צריך להיות מאובטח עם מנעולים ומערכות בקרה אלקטרוניות.

בסביבות שבהן פרופ'יבוס מועבר על פני מתפתל נחושת מעוות, לשמור על הפרדה פיזית מכבלי חשמל בעלי מתח גבוה.זה מונע התערבות אלקטרומגנטית שיכולה לשבש תקשורת ויכולה גם להיות מנוצל על ידי תוקפים כדי להזריק רעש או טלגרם מושחתים.

אימון מודעות והדרכה

מהנדסים, טכנאים ומפעילים הם קו ההגנה הראשון נגד התקפות רבות.תוכניות הכשרה צריכות לכסות הכרה בהודעות דוא"ל שמקדמים רשתות OT, טיפול מאובטח במחשבי תכנות ובמדיה הניתנים להחלפה, הליכים מתאימים לדיווח התנהגות רשת חשודה, ואת החשיבות של לא לעקוף את בקרת האבטחה לנוחות.דגש כי אבטחת סייבר היא אחריות משותפת המשפיעה ישירות על אמינות הייצור ועל בטיחות האדם.

תרגילים קבועים טבלאות ותרחישים סימולציה של אירועים לעזור לחזק את האימון וחשיפת פערים בתהליכי תגובה לפני אירוע אמיתי מתרחשת. התרגילים האלה צריכים לערב צוותים בין-תפקודיים ממבצעים, הנדסה, אבטחת IT וניהול.הלקחים של כל תרגיל צריכים להאכיל בחזרה לעדכוני מדיניות ושיפורי תשתיות.

מעקב, גילוי ותגובה לתאונה

אפילו את הפקדים המונעים הטובים ביותר ניתן לעקוף.ארגונים חייבים להיות מסוגלים לזהות חדירה במהירות ולהגיב לפני שהתוקפים יכולים להשיג את מטרותיהם.זה דורש חשיפה לתנועה של פרופ'יבוס ולקבוע הליכים לטיפול באירועים ביטחוניים.

ניטור רשת וזיהוי חדירה

Visibility לתוך התנועה פרופ'יבוס הוא קריטי לזיהוי התנהגות בלתי-נפרדת. כלי ניטור רשתי שיכולה לפצח את פרופ'יבוס טלגרם וזיהוי סטייתות מהתנהגות הבסיס, כגון הודעות אמן בלתי צפויות, פרמטר כותב, או שינויים בדפוסי נתונים מחזוריים.מערכות זיהוי חדירה שנבנו עבור פרוטוקולים תעשייתיים יכולים לדגל אלה anomalies וליצור התראות עם שיעורי חיובי נמוך כאשר הם מתאימים כראוי.

שילוב מעקב פסיבי עם בדיקות שלמות פעיל במרווחים.לדוגמה, אימות קריאה של פרמטרים קריטיים על מכשירי פרופ'יבוס יכול לאשר כי לא נעשו שינויים בלתי מורשים.כל הנתונים ניטור צריכים להאכיל במערכת ניהול אירוע אבטחה מרכזית עם כללים ותהליכי הסלמה מוגדרים.אינטגרציה עם כלי אבטחה IT מספקת תצוגה מאוחדת של איומים על פני הארגון כולו, המאפשרת התקפות מתואמות כאשר הגבול הבין-תחומי IT.

תכנון אירועים עבור OT Environments

כל ארגון הפועל רשתות פרופ'יבוס חייב להיות תוכנית תגובה תועדות, נבדקה ספציפית לסביבות OT.תוכנית תגובה של אירוע ה-IT הגנרית אינה יכולה להסביר את המגבלות התפעוליות, השלכות הבטיחות, ואת משטחי ההתקפה הייחודיים של מערכות בקרה תעשייתיות.התוכנית צריכה להגדיר תפקידים ואחריות, ערוצי תקשורת (כולל שיטות נפילה לא מקוון), שיטות למניעת תקלות), הפחתה של שלב אחר צעד אחר צעד, הנחיות לשימור ראיות רגישות ללא פעולות, שחזור ושיקום.

למעט מידע ליצירת קשר עבור ספקי מכשירים, אינטגרטורים במערכת, אכיפת החוק ורשויות רלוונטיות.התוכנית צריכה להיות נבדקה לפחות מדי שנה ומעודכנת בכל פעם ששינויים משמעותיים נעשים לאדריכלות הרשת או למלאי המכשיר.לערוך תרגילים מעשיים ומקדחים בקנה מידה מלא כדי להבטיח שכל בעלי העניין יבינו את האחריות שלהם וכי ההליכים נשארים יעילים תחת הלחץ של אירוע אמיתי.

ממשל, כבוד ושיפור מתמיד

אבטחה בת קיימא דורשת מבני ממשל שמקצים אחריות, מגדירים מדיניות, ומניעים שיפור מתמשך.יש לשלב את אמצעי האבטחה של פרופ'נביבוס לתוכנית האבטחה הרחבה יותר של OT במקום להתייחס למאמץ עומד.

מינוף עם תקני תעשייה

מסגרות מבוססות כגון IEC 62443 ו-T SP 800-82 מספקות גישה מובנית לניהול סיכונים אבטחת סייבר בכל נכסי האוטומציה התעשייתית.הפקדים הספציפיים של פרופ'בוס המתוארים במאמר זה תואמים לדרישות מפתח בסטנדרטים אלה, כולל פלח רשת, גישה, בקרה, ניטור, ניהול תיקון ותגובה תקרית.מיפוי מדיניות פנימית למסגרות אלה תומך בדרישות רגולטוריות יותר ויותר ליישם מערכות תעשייתיות, כגון סוכנויות הגנה ממוקדת על תשתיות קריטיות.

אימוץ גישה מבוססת מסגרת גם עוזר לארגונים לאשר השקעות ולהפגין עקב דיקליגנטיות לבעלי העניין, המורדים, הרגולטורים.

הערכת אבטחה רגילה וביקורת

הערכות אבטחה תקופתיות חיוניות לזיהוי פרצות חדשות ולוודא כי בקרות קיימות נשארות יעילות.הערכה צריכה לכלול סריקה של מכשירים הנמצאים או גשר לרשתות פרופ'יבוס, בדיקות חדירות של הסביבה ה-OT עם מיקוד ספציפי על וקטורים של ניצולי שדהבוס, תצורה של ביקורת נגד בסיס אבטחה מבוסס, וביקורת על יומניות ורשומות ערנות לסימנים של הפרות של פשרות או מדיניות בעבר.

עידוד של צד שלישי עם מומחיות מוכחת בתחום אבטחת סייבר תעשייתית לספק נקודת מבט אובייקטיבית.מצאות צריכות להיות במעקב באמצעות רישום סיכון, עם פעולות תיווך שהוקצו לבעלי אחריות ועקבו להשלמתן.

עתידו של פרופ'בוס

כמו יצרנים ומפעילים רודף אחר התעשייה 4.0 ויוזמות ייצור חכמות, רשתות פרופ'יבוס יהיו יותר ויותר קואקסיסטיות ומשותפות עם טכנולוגיות מבוססות Ethernet כגון פרופ'ינט, EtherNet/IP, ו-OPC UA מעל TSN. סביבה היברידית זו מציגה אתגרים ביטחוניים חדשים הדורשים תשומת לב זהירה לאזורים מעבריים, פרוטוקולים ונקודות מיפוי נתונים.A ב-שער שמתרגם לטלוקסום ל-Ficbusxixixix, לדוגמה, ל-F, ל-Ficial ל-Ficialments, ל-F, ל-F, ל-Ficmatements, ל-F.

ארגונים צופים קדימה מאמצים אלמנטים של אדריכלות Zero Trust, כולל מיקרו-גילה גם ברמת השדה, אימות מתמשך של זהות המכשיר באמצעות בדיקת קריפטוגרפיים שבו תמיכה, מבוססת סיכון גישה מותנית לאינטראקציות הנדסיות, והצפנה של נתוני עומס בשכבה היישום כדי להגן על סודיות ויושרה. בעוד שלא כל היכולות הללו זמינות עבור מכשירי פרופ'יבוס כיום, הם מייצגים את הכיוון של אבטחת נסיעות לרשת אבטחה תעשייתית.

העיקרון הבסיסי נותר ללא שינוי: יש לתכנן את האבטחה לאדריכלות הרשת מלכתחילה ולא ליישם כמחשבה לאחר מכן.על ידי דבקות בפרקטיקה הטובה ביותר המתוארת במאמר זה ולשמור על תרבות של מודעות אבטחה, מפעילי יכולים להשתמש בבטחה פרופ'רובו בתהליכים הקריטיים ביותר שלהם תוך הגנה מפני האיומים הסייבר של היום ומחר.

שמירה על אבטחת רשת פרופ'יבוס דורשת מאמץ מתמשך, מעריכות והשקעה.נוף האיום ממשיך להתפתח, מונע על ידי חדשנות תוקף וחיבוריות מתרחבת של מערכות תעשייתיות.עם זאת, הכלים והשיטות הדרושים כדי להגן מפני איומים אלה הם מובן ומוכחים היטב בפריסה של העולם האמיתי. ארגונים אשר מתחייבים לגישה מובנת, ארכיטקטונית לאבטחה יפחיתו באופן משמעותי את הפגיעות שלהם להתקפות סייבר, להגן על הייצור שלהם, להבטיח את התפעול, והתמיכה המהימנות של מערכות התקשורת.