הבנת שורש ניתוח ב- ICS Context

מערכות בקרה תעשייתיות (ICS) מהוות את עמוד השדרה של תשתיות קריטיות - רשתות כוח, צמחי טיפול במים, זיקוקי שמן ומתקני ייצור כימיים.כפי שסביבות אלה לאמץ קישוריות דיגיטלית ואינטרנט תעשייתי של דברים (IIoT), פני השטח של ההתקפה מתרחבים באופן דרמטי.בניגוד להפרות IT אופייניות, פשרה ב- ICS יעילה יכולה להוביל לנזק פיזי, אסונות סביבתיים, או אובדן חיים.

RCA ב ICS שונה מ- IT אבטחה חישה כי זה חייב לקחת בחשבון את אילוצים תפעוליים (OT): פרוטוקולים מורשת שחסרים הצפנה, לולאות בקרה בזמן אמת שאינן יכולות לסבול עצלות, מחזורי חיים בטיחות שניתן לשבש על ידי כתמים ביטחוניים. RCA יסודית מגשרת את הפער בין מתודולוגיה חושית ומציאות הנדסית, עוזר לארגונים לזהות אם נגרם כתוצאה מבעיה טכנית, פגום, או פגום, או עדיפויות אבטחה, או פגום.

סיבות שורשים נפוצות של ICS Cybersecurity Breaches

בעוד שכל אירוע הוא ייחודי, דפוסים מופיעים על פני פריצות ICS.הבנת הגורמים הנפוצים האלה מסייעת לארגונים להתמקד במשאבים הגנתיים שלהם.

סיסמאות ואיומים

מערכות ICS רבות עדיין מסתמכות על אישורי ברירת מחדל משותפים למכשירים מרובים או סיסמאות קודמות בקרי לוגיקה הניתנים לתוכנה (PLCs) של 2021, אך בעיקר פצצת IT, הדגישו כמה חלש על כלי גישה מרחוק יכול להוביל לתנועה מאוחרת יותר לסביבות OT.השורש הוא לעתים קרובות לא רק הסיסמה עצמה אלא גם חוסר מדיניות הדורשת חזק, ייחודי ורב-ספק אימות (M) עבור כל נקודות גישה.

תוכנות לא צפויות ופגיעות חברות

מערכות תעשייתיות לעתים קרובות לרוץ על מערכות הפעלה מיושנות כמו Windows 7 או XP, מחזורי תיקון יכולים להאריך חודשים או שנים בשל בדיקות תאימות עם יישומי בקרה.זה יוצר חלון חשיפה לפגיעות ידועות.הטריטון / ה-Trisis לתקוף על צמח פטרוכימי סעודי בשנת 2017 מנוצל פרצות היגיינה בבקר הבטיחות של שניידר אלקטריק - מכשיר שלא היה פגום בגלל מפעילי חששו מפני שתפקודי של אבטחה מופרעת.

חוסר יכולת רשת בין IT ו-OT

רשתות שטוחות הן החולשה המבנית היחידה בסביבות ICS.כאשר רשתות IT ובקרת חברות אינן מרוצות כראוי באמצעות חומת אש, DMZs, או אחת הדרכים דידות, אימייל שברירי שמפשר מערכת עסקית יכול לאפשר לתוקפים לחדור לרשת הבקרה.ההתקפה על כוח אוקראינה הצליחה חלקית משום שהתוקפים השתמשו ברשת התוקפים כדי להגיע לרשת הICS, תוצאה ישירה של פערים לא מספיקים של המציאות.

איומים מבפנים: ממאירים ותאונות

איומים פנימיים ב-ICS יכולים לנוע בין מהנדס ממורכל אשר קידם מחדש PLC כדי לגרום לתקלות, קבלן אשר מחבר באופן בלתי נמנע מחשב נייד הנגוע בתוכנות זדוניות לרשת OT. A 2019 על ידי מכון Ponemon מצא כי בתוךרס אחראים כמעט 25% של אירועי ICS.הסיבה היא לעתים קרובות שילוב של בקרת גישה לא מספקת, היעדר התנהגות, ופעולות אבטחה משותפות כדי להפוך את זה לאפקטיביות רחב יותר.

מעקב וזיהוי בעיות

ICS רבים סביבות חסרות זיהוי ותגובה (EDR), ניטור רשת, או מידע אבטחה וניהול אירועים (SIEM) אשר מכוונים לפרוטוקולים OT.ללא חשיפה ל התעבורה ברשת שליטה - כגון Modbus, DNP3, או PROFINET - תוקף יכול לעבור מאוחר יותר במשך שבועות או חודשים לפני הגילוי של 2017 לא פיטריה השפיע על ארגונים ICS רבים, אבל במקרים רבים, קוד זדוניים, כי כבר לא היה מסוגל לזהות את ה-FS בשלב מוקדם יותר מאשר להפעיל את ה-D.

שיטות לביצוע ניתוח שורש ב ICS

RCA הוא תהליך מובנה.בעוד שמסגרות התגובה לאירועי אירוע IT מספקות נקודת התחלה, ICS-specificמתודולוגיות משלבות את ההקשר התפעולי.הגישות הבאות משמשות באופן נרחב בהגדרות תעשייתיות.

5 למה

במקור פותחה על ידי טויוטה, 5 למהות טכניקה פשוטה: לשאול "למה" שוב ושוב עד שגורם הבסיס מופיע.לדוגמה, מדוע מערכת הביטחון נכשלה? כי קושחה מיושנת אפשרה תוקף לעקוף אותו.מדוע קושחה מיושנת? כי התיקון לא נבדק עבור הפונקציה בטיחות ספציפית?

דגים (Ishikawa) Diagram

(הידוע גם כניתוח סיבתי ותוצאה, דיאגרמת הדגול מארגן סיבות פוטנציאליות לקטגוריות כגון אנשים, תהליכים, טכנולוגיה, סביבה ונוהלים.עבור פריצה ICS, קטגוריות עשויות לכלול:0 אנשיםFLT:0PeopleFLT:1 (אימון, מודעות, פערים פנימיים), FLT:2Process FLT 3 (שינוי, תיקון, סימני תגובה), LT5)

ניתוח עץ Fault Tree Analysis (FTA)

FTA היא שיטה עליונה, ניכויית המשמשת לעתים קרובות בהנדסה בטיחות, אך גם החלת באותה מידה על פריצות אבטחה. החל מהאירוע הבלתי צפוי (הפרצה), אנליסטים פועלים לאחור באמצעות שערי לוגיקה (AND, או) כדי לזהות שילובים של כישלונות שעלולים לגרום לאירוע. FTA הוא שימושי במיוחד ב-ICS כי הוא מראה את ניתוח הבטיחות שכבר מבצעים.

תהליך RCA בחמישה שלבים

  1. (FLT:0)Phase 1: איסוף נתונים ו-PreservationofLT:1) - הדמיה משפטית של בקרים, היסטוריונים, עבודות הנדסיות, ו יומני רשת.ב-OT, זה חייב להיעשות בזהירות כדי למנוע משבש תהליכים קריטיים. השתמש בגישה לקריאה בלבד שבה ניתן להתייעץ עם מהנדסים לפני הפעלת כוח מ.
  2. (FLT:0) תהלוכה 2: Event Timeline RevisionFIRLT:1) - יומני שחיתות משני מקורות IT ו- OT. ICS לעתים קרובות יש בעיות סינכרוניזציה זמן (מכשירים שונים באמצעות שרתי NTP שונים או אף אחד בכלל), אז נורמליזציה היא קריטית.
  3. (FLT:0)Phase 3: Vulnerability IdentificationFLT 1:1 - ממפה את הנתיב ההתקפה חולשות ספציפיות.זה כולל לא רק פרצות טכניות (CVEs) אלא גם פערים פרודוקטוריים, כגון חוסר בדיקות רקע עבור קבלנים או היעדר לוח ביקורת פורמלי.
  4. (FLT:0)Phase 4: שורש סיבה DeterminationFLT:1) - יישום אחת או יותר מתודולוגיות (5 למה, סמרטוט, FTA) כדי להתאסף על הסיבה הבסיסית לעתים קרובות, שורש הוא שילוב של פגיעת טכנית וכשל תהליך.לדוגמה, מדיניות פלחציה רשת קיימת על הנייר, אך מעולם לא נחקרה.
  5. (FLT:0)Phase 5: תיקון פעולה ופיתוח ו VerificationFLT 1 - יישום אמצעים המתייחסים לגורם השורש, לא רק הסימפטומים. פעולות נפוצות כוללות עיצוב מחדש של ארכיטקטורת רשת, הגדרות מכשיר קשיחות, יישום תיבות ניהול תיקון אוטומטיים ארגזים ניהול תיקון, ולהציג OT-מודע זיהוי חדירה.

אתגרים ייחודיים של RCA בסביבת ICS

ביצוע RCA במערכת בקרה תעשייתית מציג מכשולים לעתים רחוקות נתקלו באבטחת IT.הכרה אתגרים אלה מעלה את איכות הניתוח.

Legacy Technology and Prorietary Protocols

מכשירים ICS רבים כבר לפעול במשך 15-30 שנים, קושחה פועל שלא ניתן לתקן או אפילו לרישום. פרוטוקולים מפיצים כמו סימנס, רוקוול, או ABB אולי אין תכונות אבטחה מקומיות או כניסה סטנדרטית. Analysts לעתים קרובות צריך ידע הנדסי עמוק כדי לפרש התנהגות מכשיר.

בטיחות על אבטחה Constraints

RCA לעולם לא צריך להמליץ על פעולה נכונה המפרה את פרוטוקולי הבטיחות.לדוגמה, הדורשת שינוי סיסמה כל 30 יום עשוי להיראות בטוח, אבל אם מהנדס נעול במהלך הליך של הפסקת חירום, חיי אדם יכולים להיות בסיכון.תהליך ניתוח שורש גורם חייב לכלול מהנדסי בטיחות ותקני התייחסות כגון ISA-62 (IEC 62443) שמאזן אבטחה פונקציונלית עם בטיחות פונקציונלית.

מוגבלות לרגישויות

בניגוד לשרתי IT, כלים רבים של PLCs ו- RTUs אין אחסון מתמשך עבור יומני מידע אירוע עשוי להיות מוחזק בזיכרון תנודתי כי נעלם על boot. כלי עזר שנועדו ICS, כגון אלה מדרדרגואו או Nozomi Networks, יכול ללכוד מידע המדינה, אבל הם אינם מסודרים באופן אוניברסלי. כתוצאה מכך, RCA לעתים קרובות מסתמכת על ראיות - מפקח, ראיונות, משמרות, היסטוריון, הדורש נתונים זהירים.

לחץ ושיקום

תעשיות כגון אנרגיה, מים וייצור כימי כפופות לתקנות (NERC CIP, NIST SP 800-82, האיחוד האירופי צו) שעשויות לחייב הליכים ספציפיים של RCA.הניתוח חייב לייצר דו"ח כי שומר רואיסטורים מבלי לחשוף פרצות רגישות שניתן לנצל. Balancing שקיפות עם סודיות היא מיומנות כי צוותי RCA חייבים לפתח.

בניית תוכנית RCA יעילה עבור ICS

RCA לא צריך להיות תרגיל חד פעמי לאחר כל הפרה; זה צריך להשתלב במשטר האבטחה של הארגון. תוכנית בוגרת כוללת את האלמנטים הבאים.

הכנה מוקדמת

לפני שפרצה מתרחשת, להגדיר את צוות RCA: שילוב של אנשי מקצוע בתחום אבטחת המידע, OT מהנדסים, מפעילי מערכת בקרה וניהול.Pre- Authorize גישה לקריאה בלבד למערכת מפתח והקמת שרשרת של משמורת על ראיות רגישות. לתעד את הארכיטקטורה של הרשת, מלאי נכסים, וארגוני תלות ידועים.

בחירת כלי ואינטגרציה

להשקיע בכלים המספקים חשיפה לסביבות OT. .מכשירי ניטור ברשת שיכולים parse Modbus, DNP3 ו- OPC-UA התנועה הם חיוניים.סוכני Endpoint שנועדו עבור מערכות משובצות (כגון אלה מ- Microsoft Defender for IoT או Armis) יכולים לאסוף טלמטרי ללא ייצוב בקרים.מרכזי כניסה עם הזנות נתונים מסונכרומים המאפשרות בין IT ו-OT אירועים טובים היה לענות על ידי , "האם היה צריך להיות מושפע" (RCA"לספקית" (RCA) כדי לענות על ידי שימוש במקור, אילו תכונות אבטחה) האם היה צריך היה צריך היה לגשת ל-RCA היה לענות על ידי שימוש ב-PROD.

למידה פוסט-אינט ושיפור מתמיד

לאחר פרסום דו"ח RCA, לעקוב אחר יישום פעולות תיקון. ליצור סקירה רבעונית המערכת האם הפעולות למעשה הפחיתו את הסיכון.לדוגמה, אם שורש היה חסר של פיטורים, ודא כי כללי חומת האש החדשים מאוישפים וכי לא יוצאים מן הכלל נוספו בשקט.שתף שיעורים אנונימיים על פני התעשייה באמצעות קבוצות שיתוף מידע כגון LT:0CISA כולה עוזר להעלות את הבסיס האוטומטי של למידה (AAPIRIS)

מחקר מקרה לא פולשני: שיעורים מ- Hypothetical ICS Breach

(ב) [ה]: [הדוגמה הבאה] בנויה מתבניות נפוצות שנצפו על ידי חוקרי אבטחה, היא אינה מייצגת אירוע ספציפי אלא מסנתנתזת סיבות שורש אופייניות.

שירות מים בינוני חווה הפרה שגרמה למשאבות לרוץ במהירויות לא בטוחות, מה שגרם לעיכובי חירום.תסמינים ראשוניים הצביעו על עומס זדוני בתוכנת HMI (ממשק המכונה האנושי) של צוות RCA השתמש בשיטת הדגול וזיהה גורמים שתורמים: HMI רץ Windows 7 ללא עדכון אבטחה, הגישה מרחוק של VPN המשמשה אימות חד-מנועי משותף בין 12 מפעילי רשת, ו-Uses הראו כי לא היה קיים מ- HIV של מערכת בקרה (לא היה קיים על ידי מערכת אבטחה אחת).

מקרה זה מדגיש כי שורש שורש לא הייתה פגיעה אחת אלא שילוב של פערים טכנולוגיים וכישלונות תהליכים.על ידי התייחסות לשניהם, התועלת לא רק התאוששה מהאירוע אלא גם בנתה סביבת בקרה יותר גמישה.

מסקנה: Embedding RCA כתהליך מתמשך

ניתוח שורש אינו טקס לאחר המוות; זוהי יכולת אסטרטגית שהופכת את האירועים להזדמנויות למידה. במערכות בקרה תעשייתיות, שבו העלות של כישלון כוללת נזק פיזי וסיכון בטיחות הציבור, היכולת לחשוף ולסלק את שורש היא הכרחית. על ידי אימוץ מתודולוגיות מובנות, תוך שמירה על המגבלות הייחודיות של סביבות OT, ובניית תוכנית ייעודית, ארגונים יכולים לנוע משריפה תגובתית לריחות אקטיבית לכדי עמידות אקטיבית – כל מטרה בטוחה יותר.