A két gép, amiről ritkán beszélnek
Ha egy üzem informatikai védelméről van szó, a figyelem a PLC-kre és a gépekre megy. Pedig az ipari hálózat legfontosabb pontjai közül kettő hétköznapi Windows gép:
- A mérnöki munkaállomás, amiről a PLC-ket programozzák és karbantartják.
- A historian, ami a gyártási adatokat gyűjti és tárolja.
Mindkettő Windows, mindkettőn fut az irodai világból ismert kockázat is (adathalászat, makrós dokumentum, újrahasznált jelszó), és mindkettő olyan helyen áll, ahol egy hiba vagy egy támadás a gyártásig ér.
Miért pont ezek?
A mérnöki munkaállomás
Innen éri el a mérnök a vezérlőket: ide tartoznak a PLC projektfájljai, innen lehet logikát módosítani és új programot feltölteni. Aki ezt a gépet átveszi, annak lényegében ugyanaz a hozzáférése van a vezérlőkhöz, mint a mérnöknek. A vezérlők pedig jellemzően elfogadnak minden parancsot, amit érvényes eszköz küld nekik.
A historian
A historian az IT és az OT határán áll. Az üzem felől kapja az adatot, az iroda felé szolgáltatja (riportok, ERP, vezetői nézetek), ezért gyakran két hálózati kártyával van beállítva: az egyik az irodai, a másik a gyártási hálózaton. Ez kényelmes, de egy híd a két hálózat között. A benne tárolt adat is értékes: termelési paraméterek, receptek, hónapok vagy évek folyamatadata.
A leggyakoribb hibák
- A gép az irodai Active Directory tagja. Kényelmes a közös bejelentkezés, de ha az irodai tartomány kompromittálódik, vele együtt az összes bejelentkezett OT Windows gép is.
- Ugyanaz a jelszó mindenhol. Az irodai és az üzemi rendszereken újrahasznált jelszavak a támadó első célpontjai.
- Híd a két hálózat között. A kétkártyás historian pont azt a szétválasztást kerüli meg, amit a tűzfal akar elérni.
- A mentés nincs, vagy ugyanazon a hálózaton van. A zsarolóvírus célja pontosan az, hogy a historian adatbázisát, a konfigurációkat és a PLC-programok mentéseit is elérje. Ha a mentés ott van a hálózaton, azt is titkosítja. Visszaállítást pedig sokszor soha nem próbáltak ki.
- A mérnöki laptop mindenhol megfordul. Egyszer a gépgyártó hálózatán, máskor otthon, aztán bedugják az üzemi hálózatba. Pendrive-ok is gyakran járnak rajta.
- A frissítés vagy elmarad, vagy vakon megy. Az ipari szoftverek gyakran nem viselik el a frissítést tesztelés nélkül, ezért sok ilyen gép elavult állapotban fut, az operációs rendszer támogatása is lejárhatott.
Mit lehet kis üzemben is rendbe tenni?
Nem kell nagyvállalati megoldás ahhoz, hogy ez a két gép biztonságosabb legyen:
- Válaszd szét a hitelesítést. Az OT gépeknek legyenek saját fiókjai, ne az irodai jelszavak működjenek rajtuk. Ahol lehet, ne legyenek az irodai tartomány tagjai.
- A historiant tedd a DMZ-be, és az adat egy irányban menjen az iroda felé. Így nincs szükség kétkártyás hídra. A DMZ-ről itt és itt írtam.
- Legyen offline mentés, és próbáld ki a visszaállítást. Három dolgot mentsetek: a historian adatbázisát, a konfigurációkat és a PLC-projekteket. Egy mentés, amit még soha nem állítottak vissza, nem mentés.
- A mérnöki laptop legyen dedikált. Csak erre a célra használják, USB-ellenőrzéssel, és tudni lehessen, ki kezeli. A szervizesek saját laptopja ne kerüljön közvetlenül az üzemi hálózatra.
- Frissíts tervezetten. Karbantartási ablakban, tesztelés után, a gyártó jóváhagyásával. Ha nem lehet frissíteni, legyen kompenzáló védelem: szegmentálás, szigorú hozzáférés.
- Naplózd, ki lép be ezekre a gépekre. Nem kell hozzá nagy rendszer, de utólag meg kell tudni mondani, ki mikor mit csinált.
Ellenőrizd magad: öt kérdés
- Az OT Windows gépeid az irodai tartomány tagjai?
- Van-e olyan gép két hálózati kártyával, amely az iroda és a gyártás között van?
- Van-e offline mentés a historianról és a PLC-programokról, és kipróbáltátok a visszaállítást?
- Ki és milyen laptopról éri el a mérnöki munkaállomást?
- Meg tudod mondani, mikor frissült utoljára a historian és a mérnöki állomás, és támogatott-e még az operációs rendszerük?
Ha ezek közül kettőre nem tudod a választ, az már jó ok a felmérésre.
Összefoglalás
Az ipari hálózat védelme nem csak a PLC-kről és a tűzfalról szól. A két legfontosabb Windows gép, a mérnöki állomás és a historian, egyszerre a legértékesebb és a leggyakrabban elhanyagolt pont. Szétválasztott hitelesítéssel, a híd megszüntetésével, tesztelt mentéssel és rendezett laptop-kezeléssel a kockázat nagy része kis üzemben is csökkenthető.
Ha nem tudod, hogyan áll a mérnöki állomás és a historian az üzemetekben, az ipari IT/OT hálózat felmérése és szétválasztása passziven, a termelés zavarása nélkül megrendelhető.