Priemyselný protokol je dohodnutý spôsob, akým si dve zariadenia v riadiacej sieti vymieňajú správy. Týmto jazykom sa programovateľný automat dohovára s operátorským panelom alebo so systémom SCADA, ktorý dohliada na proces a riadi ho. Systém, ktorý ním hovorí, zostáva vo výrobnej hale pätnásť až dvadsať rokov a často aj dlhšie. Aj krátke prerušenie riadenia môže znamenať odstávku.
Rýchle zhrnutie
- Čo je priemyselný protokol a čo v sieti určuje
- Prečo staršie protokoly vo výrobe zostarli spolu so zariadeniami
- Aktívny sken potrebuje iné časovanie než pasívny zber
- Dve cesty, ako chrániť protokol, ktorý nevymeníte
- Ako zistíte, ktorými protokolmi vaša sieť hovorí
- Časté otázky
Čo je priemyselný protokol a čo v sieti určuje
Protokol určuje, ako správa vyzerá a čo od seba zariadenia môžu žiadať. Správy putujú sieťou v paketoch a paket často prezradí viac, než by ste čakali. Mnohé sieťové prepínače v ňom samy od seba posielajú údaje o firmvéri, názve zariadenia a modeli.
Práve s tým pracuje pasívna sonda. Je to zariadenie, ktoré dostáva kópiu komunikácie z vašej siete a priebežne ju analyzuje. Obdobiu, keď sonda vo vašej sieti komunikáciu číta, hovoríme meranie. Údaje o modeli a firmvéri sonda vyčíta z paketov a na zariadenie sa pritom neprihlasuje. Nemá ich teda ako overiť a niektoré sa neskôr ukážu ako falošne pozitívne.
Takéto čítanie má aj ďalšie hranice. Zariadenia s vlastným protokolom výrobcu, teda s proprietárnym protokolom, bežné nástroje spoľahlivo neprečítajú ani nezaradia. A podrobností o firmvéri sa z pasívneho čítania dá zistiť málo.
Pre rozhovor o vašej sieti z toho plynie jedna vec. To, ktoré zariadenia sa v sieti ozývajú, a to, ktorými protokolmi hovoria, sú dve rôzne otázky.
Prečo staršie protokoly vo výrobe zostarli spolu so zariadeniami
V kancelárskom IT sa systém obmieňa po troch až ôsmich rokoch. Keď výrobca ukončí podporu, nahradíte ho modernejším, na ktorý výrobca podporu garantuje. Riadiaci systém vo výrobe žije pätnásť až dvadsať rokov a často aj dlhšie. Jeho výmena znamená odstávku, nové oživenie linky a jej novú certifikáciu. Termín výmeny sa preto posúva, kým sa dá.
Systém, ktorý sa nedá záplatovať a v hale zostane ešte roky, nezmeníte. Zmeniť môžete jeho okolie. Aké opatrenia sem patria a ako ich skladáme dohromady, rozpisujeme v článku o legacy systémoch vo výrobe.
Spolu so systémom zostáva v hale aj protokol, ktorým hovorí. Protokoly sa v zabezpečení výrazne líšia, najmä v tom, či overujú protistranu a či prenos šifrujú.
- Modbus TCP/IP nemá v základnej špecifikácii autentifikáciu a správy prenáša v otvorenej podobe.
- Profibus DP je zbernica, ktorá jedným káblom spája riadiaci systém so senzormi a akčnými členmi. Protistranu neoveruje a jej správy, takzvané telegramy, idú v otvorenom texte.
- OPC UA je výnimka. Bezpečnosť má priamo v návrhu a aplikácie sa navzájom overujú certifikátmi. V praxi sa však prevádzkuje aj bez zabezpečenia.
Z mena protokolu teda zistíte, čo protokol podľa špecifikácie dokáže. Či je to v konkrétnom nasadení aj zapnuté, z neho nevyčítate.
Aktívny sken potrebuje iné časovanie než pasívny zber
Vo výrobe má prednosť nepretržitý chod. Do bežiacej prevádzky preto patrí pasívny prístup. Sonda vyhodnocuje zrkadlenú komunikáciu zo sieťových prvkov, zariadeniam neposiela žiadne dopyty, nepoužíva prihlasovacie údaje a neskenuje otvorené porty.
Aktívny sken so zariadeniami naopak komunikuje. Podľa typu im posiela dopyty, skenuje porty, kontroluje zraniteľnosti alebo sa prihlasuje pomocou údajov, ktoré na tento účel niekto cielene vytvoril a poskytol. Jeho rozsah sa preto dohaduje vopred.
Aktívny sken má svoje miesto, len v inom čase. Patrí do obdobia, keď prevádzka nebeží alebo zariadenie ešte nie je v prevádzke. Typicky pri dodávke nových zariadení, pri upgrade systému a počas odstávky. Vtedy ide o presný sken konkrétnych zariadení. Jeho cieľom je nájsť zraniteľnosti a odstrániť najväčšie riziká skôr, než sa zariadenie spustí.
Tretím, samostatným modelom je zber cez agenta. Agenta na zariadenie pred zberom nasadí človek alebo nástroj na správu zariadení, aktívny sken ho neinštaluje. Agent môže zariadenie zaťažiť a vytvárať ďalšiu komunikáciu. Treba preto osobitne overiť, či ho zariadenie podporuje, aké zdroje potrebuje a ako sa bude aktualizovať.
Prečo výroba potrebuje iné postupy než kancelária, rozoberáme v článku o tom, prečo sa OT bezpečnosť robí inak než IT.
Dve cesty, ako chrániť protokol, ktorý nevymeníte
Kompenzačné opatrenia. Základom je separácia. Zariadenie dostane vlastný segment siete s presne definovanou komunikáciou, takže obmedzíte, s kým môže hovoriť. Zároveň tým brzdíte laterálny pohyb. Komunikácia z jedného segmentu sa bez povolenej cesty do ďalších nedostane. K týmto opatreniam patrí aj obmedzenie a zaznamenávanie prístupu a sledovanie správania zariadenia.
Virtuálne záplatovanie. Ide o ochrannú vrstvu, ktorá stojí priamo v ceste komunikácie a vynucuje bezpečnostnú politiku. Komunikáciu analyzuje a pokus o zneužitie známej zraniteľnosti zachytí skôr, než dorazí k zariadeniu. Kód zariadenia sa pritom nemení.
Aby to fungovalo, musia platiť tri podmienky.
- Komunikácia musí cez ochrannú vrstvu fyzicky prechádzať. Pasívna sonda číta iba kópiu komunikácie a do siete nič neposiela, preto ide o iné nasadenie na inom mieste siete.
- Vrstva musí komunikácii rozumieť, inak prepustí aj to, čo mala zastaviť. Týka sa to šifrovanej a tunelovanej komunikácie aj proprietárnych protokolov.
- Zraniteľnosť musí byť známa a musí sa dať opísať pravidlom. Pri niektorých typoch chýb je ochrana len čiastočná.
Ani jedna z týchto ciest zraniteľnosť zo zariadenia neodstráni. Obe obmedzujú cestu k jej zneužitiu a chyba v zariadení zostáva. Na rozdiel od bežnej softvérovej záplaty tu preto téma nekončí a potrebuje ďalší dohľad.
K opatreniam patrí aj zálohovanie. Audítori sa pri ňom držia pravidla z praxe, ktoré nazývajú golden rule. Nevychádza z predpisu a hovorí, že obnova bez zálohy potrebuje viac ľudí, peňazí aj času. Ako všetky tieto opatrenia zapadajú do celku, mapuje sprievodca kybernetickou bezpečnosťou prevádzkových technológií.
Ako zistíte, ktorými protokolmi vaša sieť hovorí
Odpoveď dá meranie. Prehľad používaných protokolov je jednou z položiek, ktoré prinesie pasívne meranie. Sonda číta kópiu komunikácie a do siete nič neposiela, takže meranie beží popri chode linky. Čo celý výstup z merania obsahuje a ako sa číta, rozpisujeme osobitne. Tu sa venujeme jednej jeho položke a tomu, čo z nej plynie pre ochranu.
Pri čítaní prehľadu majte na pamäti tri veci.
Prehľad pokrýva komunikáciu, ktorá počas merania prebehla v tej časti siete, kam ste sondu pripojili.
Model a firmvér zariadení sonda vyčíta z paketov, bez prihlásenia na zariadenie. Pri pasívnom prístupe sa preto falošne pozitívne nálezy objavujú častejšie ako pri aktívnom skene. Taký nález treba skontrolovať a po kontrole sa nemusí potvrdiť.
Prehľad ukáže, či sieť používa protokol, ktorý zápis principiálne podporuje. Nepreukazuje však, že bol zápis v konkrétnom nasadení povolený alebo že počas merania prebehol. Modbus TCP/IP, Profibus DP aj OPC UA pritom nesú povely do riadenia, nielen čítanie hodnôt. Zápis cez ne mení stav zariadenia.
Časté otázky
Čo je priemyselný protokol?
Dohodnutý spôsob, akým si dve zariadenia v riadiacej sieti vymieňajú správy. Určuje, ako správa vyzerá a čo od seba zariadenia môžu žiadať. Práve ním sa dohovára programovateľný automat, operátorský panel a systém SCADA.
Ktorými protokolmi hovorí naša sieť?
Odpoveď dá meranie komunikácie vo vašej sieti. Prehľad používaných protokolov je jednou z položiek výstupu z pasívneho merania. Nájdete v ňom protokoly, ktoré počas merania bežali v monitorovanej časti siete.
Prečo sa starý riadiaci systém jednoducho nevymení?
Vo výrobe žije pätnásť až dvadsať rokov a často aj dlhšie. Jeho výmena znamená odstávku, nové oživenie linky a jej novú certifikáciu. V kancelárskom IT sa systém obmieňa po troch až ôsmich rokoch a po ukončení podpory ho nahradíte modernejším, na ktorý výrobca podporu garantuje.
Kedy virtuálne záplatovanie nasadiť nejde?
Keď komunikácia cez ochrannú vrstvu fyzicky neprechádza. Nasadenie, ktoré číta iba jej kópiu, ju nemá ako spoľahlivo zastaviť. Ďalej keď vrstva komunikácii nerozumie, čo platí pre šifrovanú a tunelovanú komunikáciu aj proprietárne protokoly. A napokon keď zraniteľnosť nie je známa alebo sa nedá opísať pravidlom.
Ďalší krok
Ak dnes neviete povedať, ktorými protokolmi vaše zariadenia hovoria a s kým, prvým krokom je meranie komunikácie.
Technický bezpečnostný audit siete je 28-dňový zákaznícky proces. Z toho 21 dní meria sonda vo vašej sieti a približne sedem dní zaberie spracovanie výstupov a príprava prezentácie. Cena je 2 785 eur bez DPH plus náklady spojené s inštaláciou a deinštaláciou sondy podľa spôsobu a miesta doručenia.
Napíšte nám, koľko lokalít a sieťových prepínačov máte, a dohodneme rozsah merania.