Mit jelent az OT?
Az OT (Operational Technology) az a technika, ami a fizikai folyamatokat vezérli: gépsorokat, kemencéket, szivattyúkat, szelepeket, szállítószalagokat. Ide tartoznak a PLC-k, a HMI-k (kezelői felületek), a SCADA-rendszerek, a mérnöki munkaállomások és az ezeket összekötő ipari hálózat. Az OT biztonság ennek a világnak a védelme.
Miben más, mint az irodai IT?
Az irodai IT-ben az adat a tét: ha baj van, kiszivárog vagy elvész valami. Az OT-ban a fizikai folyamat a tét: ha baj van, leáll a gyártás, megsérül a gép, rosszabb esetben ember vagy környezet károsodik.
Ebből következik, hogy a prioritások is megfordulnak:
- IT: először a titkosság, aztán az integritás, végül a rendelkezésre állás
- OT: először a rendelkezésre állás és a biztonság, aztán az integritás, a titkosság csak a sor végén jön
Ezért az irodai reflexek gyakran ártanak az üzemben. Egy automatikus újraindítással járó frissítés vagy egy agresszív hálózati szkennelés az irodában rutin, egy gyártósoron leállást okozhat. Az OT biztonság első szabálya: a védelem nem ronthatja a működést.
Az alapfogalmakról bővebben az IT és OT hálózat különbségéről szóló cikkben írtam.
Miért lett hirtelen téma?
Régen az ipari hálózat "légréssel" el volt választva a céges hálózattól, és ez elég védelemnek tűnt. Ma a vezetőség valós idejű termelési adatot akar, a gépgyártó távoli hozzáférést, a karbantartó VPN-t, a cég pedig felhős rendszereket. Minden ilyen kapcsolat egy új belépési pont. A légrés a gyakorlatban ritkán létezik: USB-pendrive-ok, szervizes laptopok és elfelejtett modemek "áthidalják".
A támadók köre is kibővült. Korábban főleg államilag támogatott csoportokról volt szó, ma a zsarolóvírus-bandák is gyártó cégeket céloznak, mert egy leállt gyár gyorsan fizet.
Mitől sebezhető egy tipikus üzem?
- Régi rendszerek, amelyeket nem lehet vagy nem szabad frissíteni
- Védelem nélküli ipari protokollok. A Modbus, a Profibus vagy a klasszikus OPC nem kér azonosítást, és nem titkosít. Aki eléri a hálózatot, az parancsokat is küldhet
- Lapos hálózat, ahol az irodai gép és a PLC ugyanabban a szegmensben van
- Nincs pontos eszközlista. Amiről nem tudod, hogy létezik, azt nem tudod védeni
- Ellenőrizetlen távoli hozzáférés, közös jelszavakkal
- Dokumentáció hiánya, így incidensnél senki sem tudja, mi mivel beszél
Hogyan néz ki a jó védelem?
Nem egyetlen terméket kell venni, hanem rétegezni. A szakma közös nyelve a Purdue-modell és az IEC 62443 szabványcsalád. A lényegük pár lépésben:
- Leltár. Minden eszköz, szoftver, firmware, IP- és MAC-cím egy helyen
- Zónák és átjárók. Az azonos védelmi igényű eszközök egy zónába kerülnek, a zónák közti forgalom pedig csak ellenőrzött csatornákon mehet. A biztonsági rendszerek (SIS) külön, a lehető legszigorúbban elzárva
- IT/OT határ (DMZ). Az irodai és az ipari hálózat közt nincs közvetlen kapcsolat, minden forgalom egy köztes zónán megy át
- Szűrés "alapból tilt" elvvel. Csak az a forgalom engedett, amire ténylegesen szükség van
- Ellenőrzött távoli hozzáférés: ugrószerver, kétfaktoros belépés, naplózás, egyéni fiókok
- Passzív megfigyelés. Az ipari hálózat forgalma kiszámítható, ezért az eltérés jól észrevehető. Megfigyelni lehet úgy, hogy közben nem terheljük a folyamatot
- Óvatos frissítés és biztonsági mentés, tesztelve, karbantartási ablakban, gyártói jóváhagyással
- Incidenskezelési terv, ami ipari környezetre szól. Itt a "húzd ki a kábelt" sokszor rosszabb, mint maga a támadás, mert biztonsági leállást okozhat
Kockázatalapon érdemes haladni: nincs 100%-os biztonság, de a "most mit tegyünk először" kérdésre mindig van jó válasz. Az egyetlen rossz stratégia a semmittevés.
Hol érdemes kezdeni?
Szinte mindig a felméréssel és dokumentálással. Kell egy valós kép arról, mi van a hálózatban, mi kivel beszél, hol vannak a határok. Ebből lesz eszközlista, hálózati térkép és egy priorizált lista arról, mit érdemes megoldani és milyen sorrendben. Ezt a munkát passzívan, a termelés zavarása nélkül lehet végezni.
Összefoglalás
Az OT biztonság nem az irodai IT másolata, hanem külön szemlélet: előbb a folyamat, aztán az adat. A legtöbb üzemben nem új eszközre van szükség, hanem arra, hogy valaki felmérje és leírja, mi van a hálózatban, és ebből sorrendbe rakja a teendőket.