Kibernetinis saugumas nepertraukiamai gamybai

Šiuolaikinė gamybos įmonė yra glaudžiai susieta skaitmeninė ekosistema. Gamybos linijos, pramoniniai valdikliai, SCADA sistemos, robotai, sandėlio įranga, verslo valdymo sistemos ir debesijos platformos vis dažniau keičiasi duomenimis tarpusavyje.

Didėjanti IT ir OT integracija padeda automatizuoti procesus ir didinti gamybos efektyvumą, tačiau kartu sukuria naujų kibernetinio saugumo rizikų.

Kibernetinis incidentas gamybos įmonėje gali reikšti ne tik prarastus duomenis. Jis gali sustabdyti gamybos liniją, sutrikdyti logistiką, paveikti produkcijos kokybę ar sustabdyti visą įmonės veiklą.

AVEDUS projektuoja, diegia ir integruoja gamybos įmonėms skirtus kibernetinio saugumo sprendimus, padedančius apsaugoti IT ir OT infrastruktūrą, kontroliuoti prieigą, aptikti kibernetines grėsmes ir mažinti gamybos procesų sutrikimo riziką.

Gamybos kibernetinis saugumas

Gamybos įmonėje IT ir OT infrastruktūros atlieka skirtingas funkcijas.

IT sistemos užtikrina verslo procesus – elektroninį paštą, ERP, finansus, dokumentus, vartotojų autentifikavimą ir kitas paslaugas.

OT sistemos tiesiogiai valdo fizinius gamybos procesus.

Tai gali būti:

• PLC valdikliai;

• SCADA sistemos;

• HMI;

• pramoniniai robotai;

• CNC įranga;

• DCS;

• sensoriai;

• gamybos linijų valdikliai;

• inžinerinės darbo vietos;

• kiti pramoniniai įrenginiai.

Šių sistemų apsaugai reikalingas požiūris, kuris įvertina ne tik informacijos saugumą, bet ir gamybos proceso prieinamumą bei fizinės įrangos veikimą.

Gamybos prastova – viena didžiausių kibernetinių rizikų

Tradicinėje IT infrastruktūroje incidento poveikis dažnai vertinamas pagal prarastus duomenis ar neveikiančias informacines sistemas.

Gamyboje viena svarbiausių rizikų yra prastova.

Sustojus kritinei gamybos linijai gali:

• nutrūkti gamybos procesas;

• vėluoti užsakymai;

• sutrikti tiekimo grandinė;

• būti sugadintos žaliavos ar produkcija;

• atsirasti papildomų įrangos paleidimo kaštų;

• būti nevykdomi įsipareigojimai klientams.

Todėl gamybos kibernetinio saugumo tikslas – ne tik apsaugoti sistemas, bet ir didinti viso gamybos proceso atsparumą.

IT ir OT konvergencija

Gamybos infrastruktūra nebėra izoliuota.

OT sistemos gali būti integruotos su:

• ERP;

• MES;

• duomenų analitikos platformomis;

• debesijos paslaugomis;

• nuotolinio aptarnavimo sistemomis;

• sandėlio valdymo sprendimais;

• kitomis verslo aplikacijomis.

Tai leidžia efektyviau valdyti gamybą, tačiau kartu sukuria potencialius kelius tarp verslo IT infrastruktūros ir gamybos sistemų.

IT aplinkoje prasidėjusi kibernetinė ataka neturi nekontroliuojamai išplisti į gamybos tinklą.

IT ir OT tinklų segmentavimas

Vienas svarbiausių gamybos infrastruktūros apsaugos principų – tinkamas IT ir OT segmentavimas.

Gamybos įrenginiai neturėtų veikti viename bendrame tinkle su darbuotojų kompiuteriais ir kitomis IT sistemomis.

Infrastruktūra gali būti skirstoma į atskiras zonas:

Verslo IT → IT/OT DMZ → Gamybos tinklas → Gamybos linijos → Kritiniai valdikliai.

Ryšiai tarp šių zonų turi būti kontroliuojami ugniasienėmis ir kitomis tinklo saugumo priemonėmis.

Segmentavimas padeda apriboti galimos atakos plitimą ir sumažinti vienos kompromituotos sistemos poveikį visai gamyklai.

Gamybos įrenginių matomumas

Daugelyje gamybos įmonių OT infrastruktūra buvo kuriama daugelį metų.

Joje gali veikti skirtingų gamintojų, skirtingų kartų ir skirtingo saugumo lygio įranga.

Todėl pirmas klausimas dažnai yra labai paprastas:

Kas iš tikrųjų yra prijungta prie mūsų gamybos tinklo?

OT saugumo sprendimai gali padėti automatiškai identifikuoti:

• PLC;

• HMI;

• SCADA sistemas;

• inžinerines darbo vietas;

• robotus;

• pramoninius kompiuterius;

• IoT įrenginius;

• tinklo įrangą;

• kitus gamybos infrastruktūros komponentus.

Tai leidžia sukurti realų gamybos infrastruktūros žemėlapį.

Pasyvus OT tinklo stebėjimas

Tradicinis aktyvus pažeidžiamumų skenavimas ne visada tinkamas gamybos infrastruktūrai.

Kai kurie senesni PLC ar kiti pramoniniai įrenginiai gali būti jautrūs neįprastoms tinklo užklausoms.

Todėl OT aplinkose gali būti naudojama pasyvi tinklo srauto analizė.

Ji leidžia identifikuoti įrenginius, naudojamus protokolus ir komunikaciją tarp sistemų netrikdant gamybos proceso.

Senesnių OT sistemų apsauga

Gamybos įranga dažnai eksploatuojama gerokai ilgiau nei tradicinė IT infrastruktūra.

Gamybos tinkle gali veikti sistemos, kurių:

• operacinė sistema nebepalaikoma;

• programinės įrangos negalima lengvai atnaujinti;

• negalima įdiegti EDR;

• negalima sustabdyti įprastu darbo metu;

• pakeitimas reikalautų didelių investicijų.

Tokiais atvejais saugumas turi būti stiprinamas naudojant kompensuojančias apsaugos priemones.

Tai gali būti segmentavimas, tinklo prieigos ribojimas, pramoninės ugniasienės, pasyvi stebėsena ir griežtesnė administravimo kontrolė.

Pažeidžiamumų valdymas OT aplinkoje

Gamybos sistemų pažeidžiamumų valdymas skiriasi nuo įprastų darbo vietų ar serverių.

Ne kiekvieną kritinį pažeidžiamumą galima nedelsiant pataisyti.

Prieš diegiant atnaujinimą gali reikėti:

• gauti įrangos gamintojo patvirtinimą;

• atlikti suderinamumo testavimą;

• suplanuoti gamybos sustabdymą;

• įvertinti poveikį technologiniam procesui.

Todėl pažeidžiamumai turi būti prioritetizuojami pagal realią riziką gamybos procesui, o ne vien pagal techninį kritiškumo balą.

Ransomware ir gamybos įmonės

Ransomware yra viena pavojingiausių grėsmių gamybos organizacijoms.

Net jei pati kenkėjiška programa tiesiogiai neužkrečia PLC, kompromituoti gali būti serveriai, Active Directory, MES, failų sistemos, inžinerinės darbo vietos ar kiti komponentai, nuo kurių priklauso gamybos procesas.

Todėl apsauga nuo ransomware turi apimti visą infrastruktūrą:

Elektroninio pašto apsauga → Endpoint EDR/XDR → MFA → Serverių apsauga → Segmentavimas → Atsarginės kopijos → SIEM/SOC stebėsena.

Svarbiausias tikslas – neleisti vienos sistemos kompromitavimui sustabdyti visos gamybos.

Saugi tiekėjų nuotolinė prieiga

Gamybos įrangą dažnai prižiūri jos gamintojai, integratoriai ar kiti išoriniai specialistai.

Jiems gali reikėti nuotoliniu būdu pasiekti PLC, HMI, inžinerines darbo vietas ar kitas sistemas.

Nekontroliuojama VPN ar nuotolinio darbalaukio prieiga gali tapti reikšminga saugumo rizika.

Todėl trečiųjų šalių prieigai gali būti naudojama:

• MFA;

• ZTNA;

• PAM;

• individualios paskyros;

• riboto galiojimo prieiga;

• prieiga tik prie konkrečios sistemos;

• administravimo sesijų registravimas;

• veiksmų auditas.

Prieiga turi būti suteikiama tik tada ir tik ten, kur jos realiai reikia.

OT tinklo anomalijų aptikimas

Gamybos įrenginių komunikacija dažnai yra gana stabili.

PLC paprastai komunikuoja su konkrečiomis sistemomis naudodamas nustatytus protokolus ir komandas.

Todėl neįprastas elgesys gali būti svarbus saugumo signalas.

Galima identifikuoti:

• naujus įrenginius;

• neįprastus ryšius;

• netikėtas valdymo komandas;

• konfigūracijų pakeitimus;

• naujų protokolų naudojimą;

• pažeidžiamumų išnaudojimo bandymus;

• kitus nukrypimus nuo įprastos veiklos.

Gamybos tinklo saugumas

OT infrastruktūros apsauga prasideda nuo patikimo tinklo.

Gamybos aplinkoje gali būti naudojami:

• pramoniniai komutatoriai;

• pramoninės ugniasienės;

• saugūs maršrutizavimo sprendimai;

• segmentavimas;

• VLAN;

• prieigos kontrolė;

• rezervuoti tinklo ryšiai;

• saugus belaidis ryšys.

Tinklo architektūra turi užtikrinti ne tik saugumą, bet ir gamybos sistemoms reikalingą stabilumą bei prieinamumą.

Belaidis ryšys gamyboje

Gamybos įmonėse Wi-Fi vis dažniau naudojamas mobiliesiems terminalams, sandėlio sistemoms, IoT įrenginiams ir kitai infrastruktūrai.

Tačiau gamybinė aplinka kelia papildomų iššūkių.

Metalinės konstrukcijos, gamybos įranga, didelės patalpos ir elektromagnetiniai trukdžiai gali reikšmingai paveikti belaidžio ryšio kokybę.

Todėl profesionalus Wi-Fi turi būti projektuojamas atliekant radijo dažnių analizę ir vertinant konkrečios gamyklos aplinką.

IoT ir IIoT saugumas

Gamybos infrastruktūroje sparčiai daugėja Industrial Internet of Things (IIoT) įrenginių.

Sensoriai, matavimo sistemos ir kiti išmanūs įrenginiai suteikia daugiau duomenų apie gamybos procesus, tačiau kartu padidina prie tinklo prijungtų sistemų skaičių.

Svarbu užtikrinti:

• įrenginių inventorizaciją;

• tinklo segmentavimą;

• kontroliuojamą komunikaciją;

• saugią autentifikaciją;

• programinės įrangos atnaujinimus;

• nuolatinį įrenginių stebėjimą.

IIoT įrenginys neturėtų tapti nekontroliuojamu keliu į gamybos infrastruktūrą.

SIEM ir IT/OT saugumo analitika

Gamybos saugumo įvykiai neturėtų būti analizuojami izoliuotai.

OT saugumo platformų generuojama informacija gali būti perduodama į SIEM ir koreliuojama su duomenimis iš:

• ugniasienių;

• Active Directory;

• EDR/XDR;

• serverių;

• VPN ir ZTNA;

• debesijos sistemų;

• kitų saugumo sprendimų.

Tai suteikia bendrą IT ir OT saugumo situacijos vaizdą.

SOC/MDR gamybos infrastruktūrai

Kibernetinė ataka gali prasidėti bet kuriuo metu, todėl svarbu kuo greičiau identifikuoti realų incidentą.

SOC/MDR gali nuolat analizuoti saugumo įvykius ir padėti nustatyti, ar atskiri įspėjimai yra vienos didesnės atakos dalis.

Integravus IT ir OT saugumo informaciją galima greičiau pastebėti ataką, kuri prasideda darbuotojo kompiuteryje ir vėliau juda gamybos infrastruktūros kryptimi.

Atsarginės kopijos ir gamybos atkūrimas

Atsarginės kopijos gamybos įmonėje turi apimti ne tik verslo duomenis.

Svarbu apsaugoti ir informaciją, reikalingą technologinėms sistemoms atkurti.

Tai gali būti:

• serverių duomenys;

• virtualios mašinos;

• aplikacijų duomenų bazės;

• PLC programos;

• įrangos konfigūracijos;

• tinklo įrangos konfigūracijos;

• kiti kritiniai duomenys.

Atkūrimo procedūros turi būti periodiškai testuojamos.

Atsarginė kopija yra vertinga tik tada, kai iš jos galima realiai atkurti veikiančią sistemą.

Incidentų valdymas gamyboje

Reagavimas į kibernetinį incidentą gamybos aplinkoje turi būti planuojamas itin atsargiai.

Negalima automatiškai išjungti kiekvieno įtartino įrenginio, jeigu nuo jo priklauso kritinis technologinis procesas.

Todėl incidentų valdymo plane turi būti aišku:

Kokios sistemos yra kritinės?

Ką galima izoliuoti?

Ką galima išjungti?

Kas priima sprendimą dėl gamybos stabdymo?

Kaip bendradarbiauja IT, OT ir gamybos komandos?

Kaip bus atkuriama infrastruktūra?

Šios procedūros turi būti parengtos dar prieš įvykstant realiam incidentui.

IEC 62443 gamybos aplinkoje

Projektuojant pramoninių sistemų kibernetinį saugumą gali būti vadovaujamasi IEC 62443 standartų šeimos principais.

Vienas svarbiausių principų – OT infrastruktūros skirstymas į saugumo zonas ir kontroliuojamus ryšius tarp jų.

Tai leidžia skirtingoms gamybos sistemoms taikyti jų kritiškumą ir riziką atitinkančias saugumo priemones.

IEC 62443 gali būti naudojamas kaip struktūrinis pagrindas kuriant ilgalaikę gamybos OT saugumo architektūrą.

Gamyba ir NIS2

Priklausomai nuo organizacijos veiklos srities, dydžio ir kitų kriterijų, daliai gamybos įmonių gali būti aktualūs NIS2 pagrindu nustatyti kibernetinio saugumo reikalavimai.

Tačiau net ir organizacijoms, kurioms konkretūs reikalavimai netaikomi, NIS2 rizikų valdymo principai gali būti naudingi stiprinant kibernetinį atsparumą.

Svarbios sritys apima:

• rizikų valdymą;

• incidentų valdymą;

• veiklos tęstinumą;

• tiekimo grandinės saugumą;

• pažeidžiamumų valdymą;

• prieigos kontrolę;

• MFA;

• saugumo stebėseną.

Jeigu organizacijos veikla priklauso nuo OT sistemų, jos turi būti vertinamos kartu su tradicine IT infrastruktūra.

Tiekimo grandinės saugumas

Gamybos įmonės priklauso nuo daugelio technologijų tiekėjų ir išorinių partnerių.

Įrangos gamintojai, automatizacijos integratoriai, programinės įrangos tiekėjai ir priežiūros partneriai gali turėti tiesioginę arba netiesioginę prieigą prie svarbių sistemų.

Todėl svarbu kontroliuoti:

• tiekėjų vartotojų paskyras;

• nuotolinę prieigą;

• naudojamą programinę įrangą;

• atnaujinimų procesą;

• suteiktų teisių galiojimą;

• incidentų ir pažeidžiamumų komunikaciją.

Organizacijos saugumas priklauso ir nuo jos technologinės tiekimo grandinės.

Kibernetinis saugumas neturi stabdyti gamybos

Gamybos aplinkoje saugumo priemonės turi būti diegiamos įvertinus jų poveikį technologiniam procesui.

Prieš atliekant pakeitimus svarbu įvertinti:

• įrangos kritiškumą;

• leistiną prastovą;

• gamybos grafiką;

• sistemų tarpusavio priklausomybes;

• įrangos gamintojo reikalavimus;

• galimą poveikį fizinei saugai.

Tikslas – didinti kibernetinį atsparumą nesukuriant papildomos rizikos gamybos procesui.

Daugiasluoksnė gamybos apsauga

Efektyvus gamybos kibernetinis saugumas nėra vienas produktas.

Jį sudaro tarpusavyje susiję apsaugos sluoksniai:

IT/OT matomumas → Segmentavimas → Prieigos kontrolė → MFA/PAM → Endpoint ir serverių apsauga → OT grėsmių aptikimas → SIEM/SOC → Atsarginės kopijos → Incidentų valdymas.

Toks modelis padeda sumažinti atakos tikimybę, apriboti jos plitimą ir greičiau atkurti gamybą po incidento.

Kodėl AVEDUS?

IT ir OT kompetencija

Gamybos saugumą vertiname kaip bendrą tinklo, IT, OT ir kibernetinio saugumo infrastruktūrą.

Orientacija į gamybos tęstinumą

Saugumo sprendimus projektuojame atsižvelgdami į technologinių procesų kritiškumą ir galimą prastovų poveikį.

Nuo segmentavimo iki SOC/MDR

Galime apjungti tinklo saugumą, OT matomumą, EDR/XDR, prieigos kontrolę, SIEM ir SOC/MDR į vientisą apsaugos architektūrą.

Esamos infrastruktūros apsauga

Padedame apsaugoti ir senesnes gamybos sistemas, kurių negalima paprastai atnaujinti ar pakeisti.

Nuo vertinimo iki priežiūros

AVEDUS gali įvertinti gamybos IT ir OT infrastruktūrą, suprojektuoti tikslinę saugumo architektūrą, įdiegti reikalingus sprendimus ir užtikrinti jų tolesnę priežiūrą.