Pasívne zistené zariadenia tvoria pozorovaný stav OT, nie však automaticky úplný inventár. Sonda vidí zariadenia, ktoré počas pozorovania komunikovali v segmentoch privedených cez SPAN porty alebo TAP, a pri niektorých protokoloch nemusí spoľahlivo určiť typ či firmvér. Výstup preto treba čítať ako pozorovaný stav a zosúladiť ho s evidenciou prevádzky.
Rýchle zhrnutie
- Ako z pasívneho zistenia vytvoriť použiteľný inventár
- Asset discovery ukazuje pozorovaný stav siete
- Pokrytie inventára začína pri segmentoch, SPAN portoch a TAP
- Nekomunikujúce zariadenie zostáva mimo pasívneho zoznamu
- Protokol určuje, koľko o zariadení zistíte
- Zosúladenie s evidenciou odhalí rozdiely, nie ich príčinu
- Shadow OT je označenie na preverenie, nie automatický nález
- Kedy je inventár pripravený na ďalšie rozhodnutia
- Časté otázky
Ako z pasívneho zistenia vytvoriť použiteľný inventár
Postup má štyri kroky:
- vymedziť segmenty a odberné body, ktoré bude sonda pozorovať,
- nechať zariadenia komunikovať počas vopred vymedzeného pozorovacieho okna,
- oddeliť spoľahlivo určené a neurčité identifikačné údaje v pozorovanom zozname,
- porovnať pozorovaný stav s evidenciou, určiť evidované položky, ktoré sonda počas merania nepozorovala, a pri každom rozdiele zaznamenať jeho pôvod, segment, pozorovacie okno a stav overenia.
Výsledkom je zoznam, pri ktorom viete povedať, odkiaľ položka pochádza, v akej časti siete ju sonda pozorovala a čo ešte treba overiť.
Asset discovery ukazuje pozorovaný stav siete
Pri pasívnom zistení sa k sonde privedie kópia sieťovej komunikácie. Sonda ju číta a vyhodnocuje, sama však do zariadení neposiela dopyty, neskúša otvorené porty a neprihlasuje sa na ne. V bežiacej výrobe tak získate pohľad na to, čo v pozorovanej časti siete reálne komunikovalo.
Tým sa vymedzuje hranica výsledku vo vašej sieti. Zoznam monitorovaných zariadení odpovedá na otázku, čo sa počas merania ozvalo. Neodpovedá automaticky na otázku, čo všetko je vo vašej hale fyzicky zapojené. Preto text zostáva pri pasívnom pozorovaní a podrobné porovnanie s aktívnym prístupom v tejto časti zámerne nerozoberá.
Pojem asset discovery v tomto článku označuje práve zistenie zariadení z pozorovanej komunikácie. Neznamená záruku úplného inventára ani potvrdenie každého technického detailu o zariadení.
Pokrytie inventára začína pri segmentoch, SPAN portoch a TAP
Sonda vidí iba komunikáciu, ktorú k nej privedú nakonfigurované SPAN porty. Samotné pripojenie jej nedáva pohľad na celú sieť. Ak zrkadlenie vynechá časť siete, zariadenie v tejto časti sa v pozorovanom zozname neobjaví ani vtedy, keď komunikuje.
Preto si pred meraním pomenujte, ktoré segmenty vstupujú do pozorovania. Pri každom z nich potrebujete vedieť, ktorý sieťový prvok zrkadlí komunikáciu a či odberný bod skutočne pokrýva zamýšľanú časť siete. Nesprávne nastavený alebo preťažený prepínač môže časť zrkadlenej prevádzky vynechať.
Ak na sieťovom prvku neviete nastaviť zrkadlenie alebo nemáte voľný SPAN port, komunikáciu privediete cez TAP. TAP potom zrkadlenie do sondy zabezpečí. Jeho vloženie do komunikačnej trasy je zásah pri inštalácii, preto jeho rozsah a čas vopred dohodnite s prevádzkovateľom. Samotné meranie zostáva pasívne. Celý priebeh rozoberá článok Ako prebieha monitoring OT siete.
Nekomunikujúce zariadenie zostáva mimo pasívneho zoznamu
Zariadenie môže byť v monitorovanom segmente a napriek tomu ho v zozname nenájdete. Stačí, že počas pozorovacieho okna neodošle ani neprijme komunikáciu. Keď začne komunikovať a sledovaný odberný bod zrkadlí jeho prevádzku, sonda ho môže objaviť.
Pre váš inventár z toho plynie jednoduché pravidlo. Položku, ktorú sonda nevidela, veďte ako neuzavretú, pretože neprítomnosť v pozorovanom zozname nepotvrdzuje neexistenciu zariadenia. Zariadenie mohlo zostať tiché, mohlo ležať mimo pozorovaných segmentov alebo jeho komunikácia nemusela prejsť odberným bodom.
Pozorovacie okno voľte podľa doložených režimov a cyklov vlastnej prevádzky. Z prevádzkovej dokumentácie určte, v ktorých z nich majú sledované zariadenia komunikovať, a do okna zahrňte tie, ktoré chcete vyhodnotiť. Dĺžku okna zaznamenajte pri výsledku a zoznam viažte iba na komunikáciu pozorovanú v tomto čase. Pre tento postup nemožno určiť univerzálnu dĺžku, ktorá zaručí úplný zoznam.
Protokol určuje, koľko o zariadení zistíte
Aj zachytená komunikácia nemusí dať úplnú identifikáciu. Sonda môže model, hostname a firmvér čítať z údajov v paketoch, ktoré zariadenie alebo sieťový prvok posiela samo. Pri pasívnom prístupe však sonda tieto údaje neoveruje priamym prihlásením na zariadenie, takže môže vzniknúť nesprávne určenie.
Ďalšou hranicou je podpora protokolov. Nástroje na objavovanie zariadení majú neúplnú podporu protokolov, horšie odlišujú podobné typy zariadení a často získajú málo detailu o firmvéri. Proprietárny protokol výrobcu môže zostať nečitateľný a model protokolu v sonde nemusí zodpovedať konkrétnej implementácii výrobcu.
Preto pri položke vo vašom zozname oddeľte dve veci: sonda pozorovala komunikujúci prvok a sonda ho zároveň určitým spôsobom identifikovala. Prvé potvrdzuje prítomnosť komunikácie v pozorovanom bode. Druhé môže vyžadovať overenie vaším človekom, najmä pri neurčitom type alebo firmvéri. Ako čítať všetky položky výstupu, vysvetľuje článok Čo z monitoringu OT siete reálne uvidíte.
Za spoľahlivo určené považujte iba identifikačné údaje, ktoré výstup pri položke skutočne poskytol a ktoré ste pri porovnaní potvrdili evidenciou. Typ, model, hostname alebo firmvér ponechajte ako neurčitý, ak vo výstupe chýba, je nejednoznačný alebo sa pri porovnaní nepotvrdí.
Zosúladenie s evidenciou odhalí rozdiely, nie ich príčinu
Porovnajte pozorovaný zoznam s evidenciou, ktorú vaša prevádzka používa. Vo vašom pracovnom prehľade vzniknú tri skupiny:
- zariadenia v pozorovanom zozname aj evidencii,
- evidované zariadenia bez pozorovania počas merania,
- pozorované zariadenia, ktoré v evidencii nemajú zodpovedajúcu položku.
Ani druhá, ani tretia skupina ešte nevysvetľuje príčinu rozdielu. Evidované zariadenie mohlo zostať tiché alebo mimo pokrytia. Pozorovaná položka môže byť chýbajúci záznam, nepresne priradený záznam alebo nepresná identifikácia protokolu. Preto najprv preverte rozdiel a až potom zmeňte evidenciu.
Pri každom rozdiele zaznamenajte, z ktorého zoznamu pochádza, či sonda pozorovala komunikáciu, v ktorom segmente a počas ktorého pozorovacieho okna. Potom preverte, či položka nemá iný záznam, či ju sonda určila správne a aký stav jej patrí podľa interných pravidiel prevádzky. Položku uzavrite až po tomto priradení; dovtedy ju ponechajte otvorenú.
Shadow OT je označenie na preverenie, nie automatický nález
Výrazom shadow OT neoznačujte automaticky každé zariadenie bez zodpovedajúceho záznamu. Názov použite až po vylúčení chyby párovania alebo identifikácie a po internom overení, že pozorované zariadenie alebo jeho komunikácia nemá schválený záznam v evidencii alebo priradenú zodpovednosť podľa pravidiel prevádzky. Dovtedy ho veďte iba ako položku na preverenie.
Zariadenie, ktoré zostalo tiché, ležalo mimo pozorovaných segmentov alebo jeho komunikácia neprešla odberným bodom, pasívne pozorovanie samo nemusí odhaliť. Ak zároveň chýba v evidencii, ani porovnanie oboch zoznamov ho neodhalí. Preto výstup pasívneho pozorovania nie je úplný inventár.
Rozdiel medzi meraním a evidenciou je signál na preverenie. Interné pravidlá prevádzky určia, či ide o legitímne zariadenie bez záznamu, chybu v párovaní alebo prvok, ktorý potrebuje ďalšie riešenie. Takto pojem nepodsúva príčinu skôr, než ju potvrdia údaje a interné overenie.
Kedy je inventár pripravený na ďalšie rozhodnutia
Inventár je použiteľný vtedy, keď pri ňom zostane zaznamenaný rozsah pozorovania a otvorené rozdiely neprezentujete ako potvrdený stav. Pri každej položke potrebujete vedieť, či ju potvrdila komunikácia, evidencia alebo následné overenie.
Preto taký zoznam už dáva podklad pre ďalšie kroky OT bezpečnosti: rozhodovanie o segmentácii, riadení prístupov, monitorovaní alebo ochrane legacy systémov. Celú mapu týchto opatrení nájdete v sprievodcovi Kybernetická bezpečnosť prevádzkových technológií vo výrobnom podniku.
Inventár sa priebežne mení. Pasívne pozorovanie môže od chvíle, keď zariadenie začne komunikovať v sledovanej časti siete, ukázať nový prvok alebo zmenu. Aj tento nález však ostáva viazaný na nakonfigurované SPAN porty a na komunikáciu zariadenia.
Časté otázky
Je zoznam z pasívneho monitoringu úplný inventár OT zariadení?
Zoznam z pasívneho monitoringu obsahuje iba zariadenia, ktoré počas pozorovania komunikovali v časti siete viditeľnej cez nakonfigurované odberné body. Preto v ňom môžu chýbať nekomunikujúce zariadenia a prvky mimo pozorovaných segmentov.
Čo znamená, keď je zariadenie v evidencii, ale sonda ho nevidela?
Znamená to iba, že sonda zariadenie v pozorovaných dátach nezachytila. Mohlo zostať tiché, ležať mimo pokrytia alebo jeho komunikácia nemusela prejsť správne nastaveným odberným bodom.
Je každé zariadenie mimo evidencie shadow OT?
Zariadenie mimo evidencie je najprv položka na overenie. Preverte, či položka nemá iný záznam, či ju sonda určila správne a aký stav jej patrí podľa interných pravidiel prevádzky.
Dokáže pasívna sonda vždy určiť model a firmvér?
Určenie modelu a firmvéru závisí od údajov v komunikácii, podpory protokolu a konkrétnej implementácie výrobcu. Pri proprietárnom protokole alebo nedostatočnom detaile môže byť výsledok neurčitý alebo nesprávny.
Čo má nasledovať po pasívnom zistení zariadení?
Pozorovaný zoznam porovnajte s evidenciou. Pri každom rozdiele zaznamenajte pôvod položky, pozorovanú komunikáciu, segment a pozorovacie okno a ponechajte ju otvorenú do overenia podľa internej evidencie a zodpovedností prevádzky.
Ďalší krok
Technický bezpečnostný audit siete (BAS) používa pasívnu sondu a medzi výstupy tejto služby patrí zoznam monitorovaných zariadení. Ak potrebujete získať pozorovaný zoznam zariadení a komunikácie vo svojej OT sieti, dohodnite si tento audit s KFB Control.