Riadiaci systém vo výrobe znáša zásah zvonku horšie než kancelárska sieť. Stačí zastaviť riadenie na jednu sekundu a škoda je hotová. Meranie v OT sieti sa preto stavia tak, aby sa procesu nedotklo. Tam, kde sa tomu vyhnúť nedá, je dotyk minimálny a dohodnutý vopred.
Technický bezpečnostný audit siete je štvortýždňový program. Sonda je vo vašej sieti dvadsaťjeden dní, z toho štrnásť sa učí a sedem beží s plnou sadou detekcií. Posledný týždeň pripadá na spracovanie výstupu. K sonde sa privedie odklonená kópia komunikácie, ktorú analyzuje v reálnom čase, a sama do siete nič neposiela.
Riadenie po celý čas merania pracuje rovnako ako predtým a na konci dostanete zoznam monitorovaných zariadení v sieti spolu s identifikovanými zraniteľnosťami a s anomáliami správania, teda odchýlkami oproti aktivite zachytenej počas obdobia učenia.
Rýchle zhrnutie
- Prečo je dobré, že meranie v OT stojí na pasívnej sonde
- Čo robí aktívny sken a prečo sa mu v OT vyhýbame
- Čo sa dohodne skôr, než sa niečo pripojí
- Ako sa sonda pripojí k sieti
- Čo si pripraviť a ako dlho trvá inštalácia
- Ako meranie beží, štrnásť dní učenia a sedem dní plnej detekcie
- Čo meranie ukáže a čo neukáže
- Čo dostanete, keď meranie skončí
- Čo je v cene
- Časté otázky
Prečo je dobré, že meranie v OT stojí na pasívnej sonde
V kancelárskom IT sa ciele bezpečnosti chránia v poradí dôvernosť, celistvosť, dostupnosť. Vo výrobe sa poradie otáča a na prvom mieste stojí kontinuálna prevádzka. Toto poradie rozhoduje o tom, ktoré nástroje sa do prevádzky vôbec dostanú, a je primárnym východiskom celého prístupu ku kybernetickej bezpečnosti prevádzkových technológií.
Každý nástroj, ktorý do riadiacej siete niečo posiela, musí najprv obhájiť otázku, čo sa stane, ak to zariadenie na druhom konci pracuje inak, než sa čakalo. Pri riadiacich systémoch, ktoré vznikli v čase, keď dnes bežne dostupný výkon neexistoval, je táto otázka na mieste. Sú postavené úsporne a práve odtiaľ pochádza ich zraniteľnosť. Podrobne to rozoberáme v článku o legacy systémoch vo výrobe.
Pasívna sonda túto otázku nemusí riešiť. Do siete neposiela nič, takže nemá čím zasiahnuť do procesu. Vidí len to, čo jej sieť sama privedie.
Čo robí aktívny sken a prečo sa mu v OT vyhýbame
Vetu o tom, že pasívne meranie je pre výrobu vhodnejšie, ste už pravdepodobne počuli. Menej často je ale rozpísané, čo je pri tej druhej ceste konkrétne v hre.
Pasívny sken vyhodnocuje údaje čisto zo zrkadlenej komunikácie sieťových prvkov. Nepokúša sa prihlásiť na žiadne zariadenie, neskúša, ktoré porty sú otvorené, na počítače sa neinštalujú žiadni agenti. Vašej infraštruktúry sa to nedotkne, s výnimkou konfigurácie SPAN portov, o ktorých je reč nižšie.
Aktívny sken pracuje inak. Posiela dopyty na zariadenia, skúša sa na ne prihlásiť, skenuje porty, kontroluje zraniteľnosti a nezriedka inštaluje agentov priamo na koncové stanice. Agenti zariadenia vyťažujú, posielajú dáta, čím rastie aj objem komunikácie v sieti.
V kancelárskom prostredí je to únosné. V riadiacej sieti z toho plynie riziko spomalenia siete alebo zahltenia zariadení, ktoré na takú záťaž neboli navrhnuté. A na otázku prečo to nie je dobré, vám odpovie prvá veta tohto článku: Stačí sekunda a škoda sa stáva realitou.
Čo sa dohodne skôr, než sa niečo pripojí
Meranie sa nezačína technikou. Pred pripojením sondy prejdeme štyri dohody a tie sú administratívne najnáročnejšou časťou celého programu.
- Mlčanlivosť. Potvrdíme ju dohodou skôr, než uvidíme čokoľvek z vašej siete.
- Kritériá úspechu. V samostatnom dokumente zadefinujeme rozsah siete, kam sa sonda umiestni, a čo z nej budeme vyhodnocovať. Podľa toho sa na konci posudzuje, či meranie splnilo, čo malo.
- Prvotná konfigurácia. Dohodneme umiestnenie vo vašej infraštruktúre a či bude k zariadeniu vzdialený prístup.
- Podmienky zapožičania. Sonda ostáva naša, takže vopred pomenujeme, čo platí pri vrátení po termíne alebo pri poškodení.
Až potom sa rozhoduje o rozsahu merania a to rozhodnutie určuje, čo bude viditeľné. Sonda pozoruje komunikáciu v tej časti siete, kam ju pripojíme, a o dianí mimo nej nevie. Ak vás zaujíma konkrétna hala, konkrétna linka alebo konkrétny prechod medzi kancelárskou a výrobnou sieťou, je to vec, ktorú treba povedať skôr, než sa sonda niekam pripojí.
Ako sa sonda pripojí k sieti
Vopred sa dohodne aj spôsob pripojenia. Bežná cesta je zrkadlenie na prepínači, čiže SPAN port, ktorý kópiu komunikácie odkloní k sonde. Nastavenie zrkadlenia robí správca vašej siete, ak sa nedohodneme, že s tým potrebujete pomôcť. Táto úprava si nevyžaduje reštart sieťových zariadení.
Ak sa na vašich sieťových prvkoch zrkadlenie nastaviť nedá alebo nemáte voľné porty, komunikáciu odchytíme cez TAP. TAP sa vkladá priamo do trasy, takže spoj v hlavnom uzle treba na chvíľu prerušiť. To isté platí pri jeho odpájaní, ak si zariadenie po meraní nenecháte.
Ako veľmi to zaváži, závisí od jednej veci. Pri redundantnej komunikácii, ktorá je v OT bežná, prerušenie jednej vetvy prevádzku neohrozí. Pri neredundantnej trase je problém aj jedna sekunda, preto tam TAP vkladáme počas plánovanej odstávky. Termín odstávky preto treba poznať dopredu.
Jeden rozdiel sa oplatí držať oddelene. Samotné meranie do prevádzky nezasiahne za žiadnych okolností, lebo sonda je pasívna. Jediné, čo sa siete dotkne, je vloženie TAP-u a nastáva len tam, kde SPAN port k dispozícii nie je. Je to plánovaná udalosť s presným časom, ktorú viete zaradiť do odstávky. Preto sa na to pýtame v úvodnej konzultácii a nie v deň, keď stojíme v hale.
Čo si pripraviť a ako dlho trvá inštalácia
Dĺžka inštalácie závisí od jednej veci, a to od toho, či je na mieste pripravené to, čo sonda potrebuje.
Pripravte štyri veci:
- Voľné miesto v racku. Sonda má rozmery 44 × 438 × 300 milimetrov a zaberie jednu jednotku.
- Napájanie 230 V.
- Káble od SPAN portov zo switchov privedené na miesto, kde bude sonda stáť.
- Sieťové nastavenia pre konfiguráciu sondy.
Ak je toto hotové, inštalácia trvá dve až štyri hodiny plus cesta. Ak hotové nie je, počítajte šesť až osem hodín plus cesta, lebo príprava sa robí na mieste. Dokonfigurovanie a kontrolu vieme spraviť aj vzdialene, ak nám poskytnete VPN prístup.
Pre prevádzkového inžiniera z toho plynie praktický záver. Príprava tých štyroch vecí vopred skráti čas, keď sa okolo jeho siete niečo deje, zhruba na polovicu.
Ako meranie beží – štrnásť dní učenia a sedem dní plnej detekcie
Prvých štrnásť dní sonda počúva prevádzku a učí sa, čo je v nej bežné alebo známe správanie. Zapisuje si, ktoré zariadenia komunikujú, s kým a akým protokolom. Postupne si tak stavia obraz toho, ako vaša sieť naozaj pracuje, nie ako by mala pracovať podľa projektovej dokumentácie.
Ďalších sedem dní beží s plnou sadou detekcií s tým naučeným obrazom. Hlásia sa v ňom zmeny v sieti aj nové zariadenia, ktoré sa objavia. Sonda ani v tejto fáze do siete nič neposiela, mení sa len to, koľko toho vyhodnocuje.
Keď zaznamená niečo iné, upozorní na anomáliu. Jednotlivé upozornenia pritom nezostávajú samostatné. Automaticky sa korelujú a spájajú do incidentov, so zaradením podľa MITRE ATT&CK for ICS, čo je katalóg techník útoku na priemyselné riadiace systémy. Vďaka tomu na konci dostanete pomenované udalosti namiesto surového zoznamu poplachov.
Počas celého času sa na vašej strane nič nemení. Linka beží, obsluha robí to, čo bežne robí a sonda len pozoruje. Na našej strane medzitým beží priebežný odborný dohľad, ktorý je súčasťou ceny. Ak si chcete zariadenie vyskúšať sami, prístup do rozhrania vieme podľa dohody poskytnúť aj vám.
Čo meranie ukáže a čo neukáže
Meranie ukáže komunikáciu, ktorá počas času merania prebehla. Zariadenie, ktoré sa za dvadsaťjeden dní neozvalo, v zozname nebude. Vzdialený prístup, cez ktorý sa počas merania nikto nepripojil, sa neprejaví. Preto hovoríme o zozname monitorovaných zariadení, nie o zozname všetkého, čo vo vašej sieti fyzicky je. Ako sa vzdialené prístupy dostávajú do siete a prečo o časti z nich nikto nevie, rozoberáme v samostatnom článku.
Meranie ďalej ukáže zraniteľnosti zariadení, ktoré komunikovali, a anomálie v ich správaní. Vyhodnotenie rizika k nemu nepatrí, lebo riziko vzniká až posúdením zraniteľnosti voči vašej konkrétnej prevádzke a to je práca pre plné nasadenie monitorovacej platformy.
Ak si myslíte, že vaša výrobná sieť nie je nikam prepojená, meranie má zmysel práve preto. Izolácia býva často skôr predpoklad než overený stav.
Čo dostanete, keď meranie skončí
Sonda sa deinštaluje a posledný týždeň programu pripadá na spracovanie výstupu.
Výstup má dve podoby. Prvou je samostatný dokument, v ktorom stojí, ako meranie prebiehalo, čo sa našlo a čo s tým odporúčame robiť. Druhou je prezentácia výsledkov, na ktorej to prejdeme s vaším tímom. Čo v dokumente presne stojí a ako sa jednotlivé časti čítajú, rozoberáme v článku o výstupoch z monitoringu OT siete.
Výstup sa navyše dá použiť neskôr ako auditný dôkaz o monitoringu pri certifikovanom audite. Metodika auditu kybernetickej bezpečnosti, ktorú vydal Národný bezpečnostný úrad, definuje auditný dôkaz ako overiteľný záznam a audítorovi zároveň zakazuje merať vo vašej sieti sám. Údaje mu teda dodávate vy.
Zostáva otázka o dátach. Vaše dáta ostávajú u nás iba po dobu, kým sa report tvorí, a po skončení merania sa mažú. Ak nechcete, aby dáta opustili vašu firmu, report vieme spracovať priamo u vás, ak nám na to poskytnete pracovné prostredie. Dáta sa potom vymažú pri preberaní sondy.
Čo je v cene
Technický bezpečnostný audit siete stojí 2 785 eur bez DPH za štyri týždne.
V tejto cene je zapožičanie a konfigurácia sondy, prístup k databáze zraniteľností zariadení, priebežný odborný dohľad počas merania a finálna analytická správa s prezentáciou výsledkov. Sonda sa zapožičiava, takže neplatíte za hardvér, ktorý vám po meraní ostane na stole.
K cene pribúdajú náklady spojené s inštaláciou a deinštaláciou sondy, ktoré závisia od spôsobu a miesta doručenia zariadenia. Zariadenie sa k vám dostane dvoma spôsobmi, teda osobne alebo kuriérom. Podľa toho sa počítajú náklady, ktoré k cene merania pribúdajú.
Rozdiel medzi osobným doručením a kuriérom sa preto premietne sem. Čo cenu bezpečnostného merania v OT tvorí a prečo, rozoberáme v cenovom článku.
Časté otázky
Zasiahne meranie do chodu výroby? Nie. Sonda do siete nič neposiela, len analyzuje odklonenú kópiu komunikácie, ktorá sa k nej privedie. Riadenie počas merania pracuje rovnako ako predtým. Siete sa niečo dotkne len pri inštalácii bez dostupného SPAN portu, keď treba na krátko prerušiť hlavné uzly kvôli TAP-u.
Ako dlho to celé trvá? Sonda je v sieti dvadsaťjeden dní, čiže štrnásť dní učenia a sedem dní plnej detekcie. Posledný týždeň pripadá na spracovanie výstupu, takže celý program trvá štyri týždne. K tomu treba počítať čas na úvodnú konzultáciu a na doručenie zariadenia.
Čo si máme pripraviť pred inštaláciou? Voľné miesto v racku, napájanie 230 V, káble od SPAN portov a sieťové nastavenia pre konfiguráciu sondy. Časť zákazníkov si nastavenie SPAN portov spraví vlastnými silami a inštaláciu tým ďalej skráti. S pripraveným miestom trvá inštalácia dve až štyri hodiny, bez neho šesť až osem.
Uvidíte úplne všetky zariadenia v našej sieti? Uvidíme tie, ktoré počas merania komunikovali v monitorovanej časti siete. Zariadenie, ktoré sa za ten čas neozvalo, vo výstupe nebude. Preto sa výstup nazýva zoznam monitorovaných zariadení.
Dostaneme zoznam rizík? Dostanete identifikované zraniteľnosti a zaznamenané anomálie spolu s odporúčaniami, čo s nimi robiť. Vyhodnotenie rizika, čiže posúdenie zraniteľnosti voči vašej prevádzke, patrí k plnému nasadeniu platformy.
Čo sa stane s našimi dátami? Ostávajú u nás iba po dobu tvorby reportu a potom sa mažú. Ak nemajú opustiť vašu firmu, report spracujeme u vás a dáta vymažeme pri preberaní sondy.
Má meranie zmysel, keď naša výrobná sieť nie je prepojená s internetom? Má. Prepojenie nie je podmienkou. Firma si izoláciu často predpokladá a meranie ukáže, či komunikácia smerom von naozaj neprebieha.
Ďalší krok
Ak neviete povedať, ktoré zariadenia vo vašej výrobnej sieti spolu komunikujú a čo si posielajú, meranie vám to ukáže bez toho, aby sa dotklo výrobnej linky.
Technický bezpečnostný audit siete trvá štyri týždne a stojí 2 785 eur bez DPH plus náklady spojené s inštaláciou a deinštaláciou sondy podľa spôsobu a miesta doručenia.
Napíšte nám a dohodneme miesto merania aj termín inštalácie sondy. Ak viete, či máte na swichi voľný SPAN port, napíšte to rovno, ušetrí to jedno kolo otázok.