Ulepszanie metod oceny i certyfikacji, audytów bezpieczeństwa oraz metod testowych stanowi fundament do oceny użyteczności i poziomu bezpieczeństwa urządzeń Przemysłowego Internetu Rzeczy (IIoT).
Wraz z rosnącą liczbą ataków na sieci komunikacji danych infrastruktury krytycznej w aplikacjach przemysłowych, które stały się coraz częstsze i bardziej dotkliwe, wymagane jest wdrożenie większej liczby rozwiązań operacyjnych, które agregują, analizują i korelują różne źródła danych oraz wiele różnych platform systemowych, tworząc dokonywaną w czasie zbliżonym do rzeczywistego wizualizację potencjalnych zagrożeń. Firmy, organizacje, zakłady przemysłowe muszą wyjść z inicjatywą działań w zakresie bezpieczeństwa poza swoje granice w celu współpracy z partnerami biznesowymi oraz dostawcami surowców i sprzętu, a także oszacowania wpływu cyberataków na te firmy. Biorąc pod uwagę złożone systemy wzajemnie oddziałujących na siebie urządzeń, sieci, organizacji oraz ludzi, zdolność do produktywnego udostępniania informacji staje się w takim samym stopniu korzyścią, jak i zagrożeniem.
Ponieważ amerykańska Agencja Ochrony Środowiska (Environmental Protection Agency – EPA) stała się wiodącą organizacją realizującą działalność mającą na celu zabezpieczenie infrastruktury krytycznej sektora dostaw wody, w efekcie zakłady wodociągów i kanalizacji zostały niejako zmuszone do skoncentrowania się nie tylko na zabezpieczeniach fizycznych, ale uwzględnienia w swej działalności także kwestii cyberbezpieczeństwa.
Raporty rządowe potwierdzają, że sektor wodociągów i kanalizacji napotyka zagrożenia w postaci całych kampanii wieloetapowych prób cyberwłamań, realizowanych przez niektóre państwa oraz organizacje przestępcze, próbujące w ten sposób zagrozić bezpieczeństwu systemów operacyjnych i związanych z nimi danych wspomnianego sektora w USA. Zarządzanie cyberbezpieczeństwem przemysłowych systemów sterowania (ICS) jest jednak złożonym przedsięwzięciem. Wymaga ono podejścia interdyscyplinarnego opartego na ryzyku, obejmującego zarząd organizacji, inżynierów i prawników. Segmentacja i projektowanie będą tu kluczowe, szczególnie biorąc pod uwagę fakt, że niektóre organizacje zwiększają poziom wdrożenia technologii Przemysłowego Internetu Rzeczy (IIoT).
Zakłady energetyczne, wodociągowe oraz inne muszą skorygować i zaktualizować swoje polityki i procedury cyberbezpieczeństwa oraz sposoby wyszukiwania słabych punktów w zabezpieczeniach, aby wykorzystywać technologię IIoT. Źródło: MG Strategy+
Polityki cyberbezpieczeństwa
Organizacje, firmy, zakłady powinny posiadać polityki i procedury, które dotyczą środowisk technologii operacyjnej (OT) i technologii informatycznej (IT). Musi istnieć zgodność pomiędzy tymi sektorami a procesami oraz sposobami ich zarządzania, tak aby nie były realizowane w tzw. silosach informacyjnych.
Największe zagrożenie dla zgodności cyberbezpieczeństwa z normami i przepisami rozpoczyna się od personelu firmy, a w dalszej kolejności znajduje się brak jasno określonych metod postępowania w przypadku cyberwłamania. Inne zagrożenia to brak ścisłego przestrzegania zasad zarządzania zmianami w procesach oraz egzekwowania procedur kontroli dostępu.
Aby zminimalizować cybrezagrożenia oraz ich wpływ na funkcjonowanie organizacji, zakładów, firm muszą być utrzymywane strategie ciągłej zmiany kultury pracy i realizacji procesów produkcyjnych oraz prowadzone szkolenia ze świadomości zagrożeń dla pracowników i kadry zarządzającej firm.
Kultura ICS skoncentrowana jest na głównych konsekwencjach zagrożeń, obejmujących poważne awarie systemów przemysłowych, które mogą doprowadzić do śmierci ludzi. Takie podejście pozwoli na utrzymywanie wysokiej niezawodności systemów w celu unikania przestojów zakładów i zmian w systemach sterowania. Wszystko, co może zagrozić niezawodności, bezpieczeństwu czy wydajności i efektywności tych systemów operacyjnych, ma większe znaczenie w ich ogólnym wdrażaniu.
Poprzez wdrożenie nowego modelu zarządzania, który umożliwia współpracę pomiędzy podstawowymi działami w organizacji, takimi jak IT, techniczny, operacyjny, automatyki i bezpieczeństwa, możliwe będzie zwiększenie świadomości potrzeby wdrożenia standaryzowanego zarządzania ryzykiem dla efektywnego zarządzania współpracą z dostawcami i zaopatrzeniem w surowce.
Bieżące wyzwania dotyczą najlepszych metod ograniczania zagrożeń za pomocą projektów kapitałowych obejmujących zmiany w systemie sterowania, doborze i kontaktach z dostawcami usług realizujących wsparcie przy użyciu swoich własnych, zewnętrznych terminali (laptopów) poza zakładem oraz nabywanie sprzętu, który może wymagać spełniania nowych wymagań zgodności z normami przemysłowymi czy przepisami. Wychodzenie naprzeciw tym i innym wyzwaniom wymaga między innymi precyzyjnego określenia procedur bezpieczeństwa w łańcuchu dostawców – czy mają one w głównej mierze dotyczyć dostawców trzeciego szczebla (obwody scalone, nośniki pamięci), dostawców drugiego szczebla (mierniki, czujniki, oprogramowanie), czy tylko dostawców pierwszego szczebla (systemy główne, systemy komunikacyjne, integracja systemów)?
Wzmacnianie cyberbezpieczeństwa
Oprogramowanie do wykrywania włamań do sieci informatycznych, firewalle, zarządzanie łatkami programowymi, oprogramowanie do zabezpieczania informacji, oprogramowanie klasy SIEM (security information and event management, dostarczające raportów i generujące ostrzeżenia dotyczące podejrzanego ruchu w sieci) oraz antywirusowe – wszystko to już nie wystarczy do zapewnienia cyberbezpieczeństwa organizacji przemysłowej. Potrzebna jest wysoka świadomość potencjalnych zagrożeń oraz znajomość stanu pracy i parametrów maszyn.
Pozyskiwanie informacji na temat zagrożeń
Czasy obecne, w których zarządy korporacji wymagają świadomości cyberzagrożeń, szybszego przetwarzania kompleksowych danych oraz efektywnie zarządzanych usług dla rosnącej liczby inteligentnych urządzeń, stanowią wyzwanie dla osób pracujących na stanowiskach menedżerów bezpieczeństwa. Działy bezpieczeństwa, broniąc swoich organizacji przed zagrożeniami, znajdują się w lepszej pozycji, jeśli wiedzą, jakie są to zagrożenia. Posiadanie odpowiednich narzędzi i personelu jest tu sprawą kluczową i zasadniczą, jednak musi być poparte i rozszerzone o dysponowanie odpowiednimi informacjami.
Rys. 2. Wektory cyberataków wymagają uwagi. Projektowanie i utrzymywanie nienaruszalności cyberbezpieczeństwa Przemysłowego Internetu Rzeczy (IIoT) wymaga dokładnego zrozumienia standardów komunikacyjnych wykorzystywanych do przesyłania danych pomiędzy komponentami systemowymi. Źródło: MG Strategy+
Ryzyko oraz zgodność z wymaganiami norm i przepisów
Wraz z nowymi okazjami rodzącymi się na rynku, nieustającymi wyzwaniami ekonomicznymi, zmieniającymi się przepisami prawa oraz zwiększonym naciskiem na podnoszenie efektywności zarządzania ryzykiem, wiele organizacji uznaje potrzebę transformacji swoich funkcji audytów wewnętrznych oraz zarządzania ryzykiem. Organizacje są wystawione na większe ryzyko niezachowania zgodności z wymaganiami norm i przepisów, niż kiedykolwiek przedtem. Poprzez wykorzystanie nowoczesnej platformy monitorowania w strategii audytowania zarządzania ryzykiem, osoby zainteresowane w przedsiębiorstwie mają możliwość dokonywania ocen oraz uzyskiwania zgodności z wymaganiami.
Programy zgodności z wymaganiami są kluczem do monitorowania i zapewnienia możliwości zweryfikowania, że te procesy biznesowe odzwierciedlają udokumentowane polityki i procedury. Daje to obiektywne, praktyczne informacje oraz zwiększa efektywność zarządzania ryzykiem poprzez napędzanie częstego recenzowania procesów i oceny ryzyka oraz zapewnia zgodność z wymaganiami.
Cyberświadomość sytuacyjna
Ciągły monitoring przepływu danych systemu operacyjnego w sieci przez zbieranie danych w czasie rzeczywistym umożliwi wykrywanie obcej, nieznanej działalności za pomocą uczenia maszynowego, modelując zdolność do wykrywania niepożądanych zdarzeń. Daje to właścicielom procesów oraz audytorom cyberbezpieczeństwa możliwości wykrywania i widoczności zdarzeń, niezależnie od tego, czy będzie to cyberatak, nieprawidłowe funkcjonowanie sprzętu, czy incydent. Aplikacje analityki Big Data także mogą przechwytywać i analizować w czasie rzeczywistym każdy pakiet informacji przepływający przez sieć.
Protokoły warstwy pakietów mogą być rozbite na części w celu ustalenia przeznaczenia i szczegółów dotyczących każdego pakietu. Poprzez analizowanie każdego pakietu można opracować wzorce normalnego ruchu sieciowego, co znacznie zwiększy prawdopodobieństwo wykrycia każdego podejrzanego ruchu.
Jednak w środowiskach Big Data istnieją dodatkowe wyzwania dla cyberbezpieczeństwa. Ograniczanie zagrożeń obejmuje takie rozwiązania cyberbezpieczeństwa, które będą dostosowywać się w czasie do ciągłej ewolucji nierelacyjnych baz danych i środków do zabezpieczania zautomatyzowanych transferów danych. To pomaga zapewnić częste występowanie weryfikacji danych pod kątem zaufania, pochodzenia i dokładności, środki przeciw nieetycznym zachowaniom związanym z wydobywaniem danych (data mining), szyfrowanie kontroli dostępu oraz posiadanie szczegółowych procesów audytowania, które potrafią zarządzać ogromnymi ilościami danych.
Organizacje muszą skorygować i zaktualizować istniejące dokumenty opisujące, w jaki sposób odnajdują słabe punkty w zabezpieczeniach oraz regulują poziom bezpieczeństwa przez dołączanie urządzeń, danych i platform IIoT. Opracowane rozwiązania muszą ulepszyć kombinację wykrywania cyberwłamań oraz technik ich ograniczania w celu ochrony zasobów i danych przed znanymi i nieznanymi atakami, bez polegania tylko na aktualizacjach antywirusów czy łatkach oprogramowania. Niedostatecznie skonfigurowane firewalle, nieprawidłowa segmentacja sieci oraz bezpieczeństwo łańcucha dostawców – wszystko to powinno być przeanalizowane i skorygowane przed ponownym opracowaniem środowiska dla modernizacji w kierunku IIoT.
Projektowanie i utrzymywanie nienaruszalności systemu z technologiami IIoT wymaga dokładnego zrozumienia standardów komunikacyjnych, wykorzystywanych pomiędzy różnymi komponentami IIoT w celu utrzymywania bezpiecznej i efektywnej realizacji operacji w zakładzie. W tej warstwie cyberfizycznej trudne może być dostrzeżenie błędów komunikacji, zagrożeń dla cyberbezpieczeństwa oraz problemów związanych ze słabą kondycją sieci. Oczywiste symptomy cyber-ataków obejmują opóźnienia w aktualizacji wizualizacji, niewyjaśnione awarie urządzeń oraz awarie komponentów IIoT.
Solidna i prawidłowo działająca sieć IIoT jest kluczem do zapobiegania takim awariom. Opracowanie bezpiecznych kompleksowych rozwiązań IIoT wymaga kompleksowego podejścia, które obejmuje różne poziomy aplikacji i łączy kluczowe funkcje bezpieczeństwa w urządzeniach, komunikacji, chmurze oraz warstwach cyklu życia (wdrożenie polityki, regularne audyty i kontrolowanie dostawców).
Wektory ataku a cyberbezpieczeństwo
Wszystkie aspekty cyberbezpieczeństwa w przemyśle muszą ze sobą współdziałać w celu zwiększenia poziomu cyberbezpieczeństwa procesów klienta końcowego. Przemysł musi zrozumieć, w jaki sposób zasoby i struktura organizacyjna rozrastają się w czasie, czego skutkiem jest silniejsza struktura bezpieczeństwa sprzętu, oprogramowania, sieci, usług oraz informacji w przedsiębiorstwie. W tych aspektach pozostaje jeszcze wiele do zrobienia, w szczególności w kwestii norm, standardów, współpracy i świadomości.
Typowe wektory ataku na infrastrukturę IIoT to:
→ atak fizyczny na urządzenie,
→ ataki poprzez sieć, serwer lub architekturę chmury.
Konfiguracja systemu IIoT obejmuje:
→ Urządzenie IIoT. Część systemu, w którym urządzenia komunikują się ze związanymi z nimi innymi urządzeniami w celu przesyłania użytecznych danych.
→ Bramę sieciową. Służy ona jako punkt połączenia pomiędzy urządzeniem a wykorzystywaną platformą. Brama sieciowa stanowi miejsce wstępnego i lokalnego przetwarzania danych na krawędzi sieci, przed przesłaniem ich do chmury lub platformy sieciowej, systemowej istniejącej w zakładzie. Gdy dane te są agregowane, podsumowywane i analizowane na krawędzi sieci, wówczas redukuje to ilość danych, które muszą być przesłane przez sieć. Bramy sieciowe mogą być także punktami zabezpieczenia, gdy mają takie funkcje i moduły, jak wykrywanie sabotażu (tamper detection), szyfrowanie danych, sprzętowe generatory liczb losowych (hardware random number generators – HRNG) oraz moduły szyfrujące Crypto Engine.
→ Sieć. Ciągły monitoring statusu sieci za pomocą oprogramowania jest prosty i powinien być tak skonfigurowany, aby dokonywał samooptymalizacji.
→ Serwer lub chmurę. Podczas uzyskiwania dostępu do usług w chmurze należy stosować certyfikaty cyfrowe. Dla celów uwierzytelniania transakcji i zaszyfrowania kanału od urządzenia do chmury przed uwierzytelnieniem, należy stosować kryptografię asymetryczną.
Ponieważ potencjalna powierzchnia ataku na sieci i urządzenia IIoT jest bardzo duża i obejmuje różne systemy operacyjne, to opracowanie języków i protokołów sieciowych, standaryzacji oraz zalecanych architektur prawdopodobnie będzie prowadzone pod kątem zgodności z komputerowymi systemami sterowania procesami technologicznymi i produkcji (SCADA). Ulepszanie metod oceny i certyfikacji, audyty bezpieczeństwa oraz testowanie mogą stworzyć fundament pod zunifikowany standard oceny urządzeń IIoT.
Aby ułatwić zabezpieczanie platformy IIoT, użytkownicy końcowi oraz duże firmy – producenci wyposażenia oryginalnego (OEM) – będą adaptować zaakceptowane protokoły komunikacyjne oraz standardy bezpieczeństwa, wymagać zaaprobowanych i zatwierdzonych bibliotek lub tworzyć je wewnętrznie, realizować ciągłe aktualizacje oprogramowania oraz dążyć do bycia częścią strategii bezpieczeństwa użytkownika końcowego.
Współpraca działów OT i IT w zakresie bezpieczeństwa
Jak nadawać priorytety, przesyłać i łączyć zagrożenia dla bezpieczeństwa IIoT z innymi zagrożeniami dla działów operacyjnych oraz informatycznych w celu reagowania na zagrożenia oraz ich ograniczania za pomocą narzędzi warstwy urządzeń i warstwy komunikacyjnej? W tym celu należy rozważyć kilka kwestii.
Rozważania na temat warstwy urządzeń obejmują:
→ Czy dostawcy urządzeń dostarczają też zabezpieczenia przed złośliwym oprogramowaniem typu rootkit?
→ Czy urządzenie jest wrażliwe na cyberatak podczas instalowania?
→ Czy urządzenia są regularnie testowane na obecność złośliwych rootkitów?
→ Czy architektura IIoT umożliwia zdalne testowanie oprogramowania układowego urządzenia?
Rozważania na temat warstwy komunikacyjnej obejmują:
→ Które elementy danych wymagają szyfrowania i na jakim poziomie?
→ Czy organizacja posiada właściwą kulturę i strategię działania, aby przeciwdziałać zagrożeniom dla bezpieczeństwa IIoT?
→ Czy możliwe jest zdalne patchowanie urządzeń?
→ Czy architektura sieci IIoT ogranicza skutki nieautoryzowanych włamań?
→ Czy testowanie firmy trzeciej może odgrywać ważną rolę?
→ Jak zabezpieczać się przeciw słabym punktom na krawędzi sieci?
Do tych list można dopisać dodatkowe pozycje, mające znaczenie dla danej firmy lub gałęzi przemysłu.
Anil Gosine jest globalnym menedżerem programu w firmie MG Strategy+.