Az üzemi hálózat ritkán marad elszigetelt. A termelési adatokra szüksége van a vállalatirányítási rendszernek, a minőségügynek és a karbantartásnak, a gépeket gyártó cégek távolról akarnak hibát keresni, a szerverekre pedig frissítés kell. Minden ilyen igény egy újabb kapcsolatot jelent az irodai és az üzemi hálózat között.
Ha ezek a kapcsolatok egyenként, szükség szerint születnek, néhány év alatt átláthatatlan háló lesz belőlük. A cikk azt írja le, hogyan lehet az adatcserét egyetlen, ellenőrizhető határon átvezetni: mit tartalmaz egy ipari DMZ, milyen köztes rendszereken érdemes az adatot átadni, mikor indokolt a fizikailag egyirányú kapcsolat, és melyek azok a kerülőutak, amelyek a legjobb határt is hatástalanná teszik.
Miért kell határ az irodai és az üzemi hálózat közé
A két hálózat más célra épült. Az IT-rendszerben a bizalmas adat védelme az első, egy szerver rövid kiesése üzleti kárt okoz, de embert vagy berendezést közvetlenül nem veszélyeztet. Az OT-környezetben a folyamat folyamatos, biztonságos működése a legfontosabb: egy vezérlő kiesése leállíthat egy gyártósort, rosszabb esetben veszélyes állapotba hozhat egy berendezést.
Az eszközök is mások. Egy PLC vagy egy kezelői munkaállomás gyakran évtizedekig üzemel, a gyártó által jóváhagyott, régi operációs rendszerrel. A frissítéshez leállás és a gyártó engedélye kell, ezért sok ismert sebezhetőség évekig javítatlan marad. Az ipari protokollok egy része hitelesítés nélkül működik, a klasszikus Modbus/TCP például nem tartalmaz hitelesítést: aki eléri a vezérlőt a hálózaton, az parancsot is küldhet neki.
Az irodai hálózat ezzel szemben a nagyobb támadási felület. Ott érkeznek a levelek, ott böngésznek a felhasználók, ott jelenik meg először a zsarolóvírus. Ha az iroda és az üzem között szabad az út, a fertőzés ugyanazokon a fájlmegosztási és távoli felügyeleti protokollokon terjed át az üzembe, amelyeken az irodai gépek között is.
A szintmodell
A határ helyét a Purdue-modell szemlélteti a legjobban. A 0–2. szint a folyamat közvetlen közelében van: érzékelők, beavatkozók, vezérlők, kezelői felületek. A 3. szint az üzemi szerverek helye (historian, gyártásirányítás, mérnöki állomások), a 4–5. szint a vállalati IT. A két világ közé illesztett réteget szokás 3.5-ös szintnek hívni, ez az ipari DMZ.
Az IEC 62443 szabványcsalád ugyanezt zónákkal és csatornákkal fogalmazza meg: az azonos védelmi igényű eszközök egy zónába kerülnek, a zónák között pedig csak meghatározott, ellenőrzött csatornán folyhat forgalom. A szabvány alapjairól az IEC 62443 zónáiról és Security Level-jeiről szóló cikk ír részletesen. A NIST SP 800-82 (Rev. 3, 2023) OT-biztonsági útmutató is a DMZ-t ajánlja a két hálózat közé. Hogy ez a forgalomra nézve mit jelent, azt a következő szakasz írja le.
Az ipari DMZ felépítése
Az ipari DMZ egy önálló hálózati szegmens, amelybe mindkét oldalról be lehet lépni, de rajta keresztül átmenni nem. A szabály egyszerű: az irodai hálózatról a DMZ-ben lévő rendszerek érhetők el, az üzemi hálózatról szintén, a két szélső hálózat között viszont semmilyen közvetlen kapcsolat nincs. Minden adatfolyam a DMZ-ben ér véget, és onnan egy másik, külön kapcsolat viszi tovább.
Tűzfalak
A klasszikus felépítés két tűzfalat használ: egyet az IT és a DMZ, egyet a DMZ és az OT között. Ha a két tűzfal eltérő típusú, egy sebezhetőség nem nyitja meg egyszerre mindkét oldalt. Ha más csapat kezeli őket, ugyanaz a konfigurációs hiba nem ismétlődik meg mindkettőn. Kisebb üzemben gyakori az egyetlen tűzfal három külön interfésszel. Ez is működik, ha a DMZ saját interfészt kap, és a szabálykészlet a fenti alapszabályt minden szabályban betartja.
A szabálykészlet alapállása a tiltás. Minden engedélyező szabályhoz tartozik egy konkrét forrás, cél és port, egy üzleti indok és egy felelős. Az „any” forrás vagy cél a határtűzfalon szinte mindig hibát jelez. A zónák közötti szabályok megtervezésére és dokumentálására a forgalmi mátrix a bevált eszköz: egy táblázat arról, melyik rendszer melyikkel, milyen protokollon és miért kommunikálhat.
A DMZ szolgáltatásai
- Az üzemi adatok tükrözött példánya, amelyet az irodai felhasználók olvasnak.
- Fájlátviteli szerver a két oldal közötti dokumentum- és programcseréhez.
- Frissítési és vírusdefiníciós szerver, amely az OT-oldali gépeket kiszolgálja.
- A távoli hozzáférés belépési pontja, jellemzően egy ugródeszka-szerver.
- Naplógyűjtő vagy továbbító, amely az OT-oldal eseményeit az irodai felügyeleti rendszer felé adja át.
Saját azonosítás
A DMZ-be ne kerüljön az irodai tartomány tagja. Ha a DMZ-szerverek az irodai címtárból hitelesítenek, egy irodai tartományi rendszergazdai fiók megszerzése a DMZ-t, onnan pedig az üzemet is megnyitja. A DMZ-nek és az OT-oldalnak érdemes külön címtárat vagy helyi fiókokat használni, megbízási kapcsolat nélkül az irodai tartomány felé, és a két oldalon eltérő jelszavakkal.
Adatcsere köztes rendszereken: historian-tükör, fájlátvitel, frissítésszerver
A köztes rendszer lényege, hogy a két oldal soha nem beszélget közvetlenül egymással. Mindkettő a DMZ-ben lévő géppel áll kapcsolatban, és a kapcsolatot lehetőleg az üzemi oldal kezdeményezi kifelé. Az OT-tűzfalon így a DMZ felől alig kell befelé irányuló szabály. A tipikus kivétel a távoli hozzáférés, erről a szakasz végén lesz szó.
Historian-tükör
A historian az üzemi folyamatadatok idősoros adatbázisa. Ha a vállalati riportok közvetlenül az üzemi historianból olvasnak, az irodai hálózat minden lekérdezéssel eléri a 3. szintet. Jobb megoldás, ha az üzemi historian a DMZ-ben lévő másodpéldányba replikál, és minden irodai igényt ez a tükör szolgál ki. A tükör túlterhelése vagy feltörése így nem érinti a termelést, és az irodai oldal semmilyen írási lehetőséget nem kap az üzemi adatbázisba.
Fájlátvitel
A dokumentumok, receptek, PLC-programok és telepítőcsomagok cseréje a DMZ fájlszerverén keresztül megy. Bevált minta, hogy minden mappa csak egy irányt szolgál: az egyikbe az irodai oldal ír és az üzemi olvas, a másikba fordítva. A beérkező fájlokat a továbbítás előtt kártevővizsgálat ellenőrzi, a két oldal külön fiókkal fér hozzá, és a szerver naplózza, ki mit tett fel és mit töltött le.
Frissítésszerver
Az üzemi gépek nem érik el az internetet, a frissítéseket és vírusdefiníciókat ezért a DMZ-ben lévő szerver tölti le, és onnan kapják meg. Ez a szerver egyben szűrő is: csak azok a csomagok jutnak tovább, amelyeket a gyártó az adott ipari rendszerre jóváhagyott, és amelyeket az üzemeltetés előzetesen kipróbált.
Távoli hozzáférés
A távoli karbantartás a DMZ-ben lévő ugródeszka-szerveren át zajlik: a felhasználó ide lép be többfaktoros hitelesítéssel, és innen csak a számára engedélyezett gépeket éri el, időkorlátosan, naplózva. Ez az a befelé irányuló kapcsolat, amelyet az OT-tűzfalon kivételként engedélyezni kell: forrásként csak az ugródeszka-szerverrel, célként csak a jóváhagyott gépekkel és protokollokkal. A beszállítói hozzáférés részleteiről a beszállítói távoli hozzáférésről szóló cikk szól.
Egyirányú kapcsolat: az adatdióda
A tűzfal szabályai szoftverben dőlnek el. Egy hibás szabály, egy sebezhetőség a tűzfal szoftverében vagy egy ellopott adminisztrátori jelszó megnyithatja a visszautat. Az adatdióda ezt a fizika szintjén zárja ki: a hardver csak az egyik irányba képes jelet továbbítani. Optikai megvalósításnál például a küldő oldalon csak adó, a fogadó oldalon csak vevő van, így a fogadó oldalról semmilyen jel nem juthat vissza.
A TCP-kapcsolat felépítéséhez mindkét irányú forgalom kell, egy egyirányú vonalon ez nem működik. A dióda két oldalán ezért egy-egy proxy áll: az üzemi oldali átveszi az adatot a forrásrendszertől, egyirányú formában átküldi, a túloldali pedig a célrendszer felé újra a megszokott protokollon adja át. Így tükrözhető historian-adat, továbbítható napló vagy fájl. Amire visszajelzés kell, például egy távoli munkamenet vagy egy interaktív lekérdezés, azt a dióda nem engedi át.
Mikor indokolt
Ott, ahol az üzemi oldalnak csak adatot kell kiadnia, befelé pedig soha semminek nem kell bejutnia hálózaton. Ilyen lehet a biztonsági funkciót ellátó rendszerek (SIS) hálózata, a kritikus infrastruktúra legérzékenyebb zónái, vagy egy olyan üzemrész, ahol a folyamatadatok kivezetése az egyetlen igény. A NIST SP 800-82 a nagy védelmi igényű környezetekre külön kitér az egyirányú átjárókra.
Amit végig kell gondolni
- A frissítések és a programmódosítások befelé másik úton jutnak el: ellenőrzött adathordozón, dokumentált eljárással.
- A távoli hibakeresés nem lehetséges a diódán át, a beszállítónak helyben kell dolgoznia, vagy egy külön, csak alkalmanként bekapcsolt csatornára van szükség.
- A kézbesítés visszaigazolás nélkül történik, ezért a túloldalnak észlelnie kell, ha az adat késik vagy hiányos.
- Ha a dióda mellett megmarad egy kétirányú tűzfalas kapcsolat „vésztartaléknak”, a dióda védelme elvész.
Tipikus kerülőutak: két hálózati kártya, ideiglenes kábel
A DMZ csak akkor ér valamit, ha az összes forgalom rajta megy át. A határt úgy is ki lehet játszani, hogy a tűzfal szabályaihoz senki nem nyúl. Az alábbi kerülőutak a tűzfal mellett vezetnek át.
Két hálózati kártya
Egy historian-szerver vagy egy mérnöki munkaállomás, amelynek egyik hálózati kártyája az irodai, a másik az üzemi hálózatra csatlakozik, élő híd a két oldal között. Akkor is, ha az útválasztás ki van rajta kapcsolva: a gépre irodai oldalról bejutó kártevő vagy támadó a második kártyán át közvetlenül eléri a vezérlőket. Ezek a gépek általában kényelmi okból jönnek létre, mert valakinek egy helyről kellett elérnie mindkét oldalt. A megoldás ilyenkor a DMZ-be áthelyezett szolgáltatás vagy az ugródeszka-szerver.
Ideiglenes kábel és kapcsolóport
Egy üzembe helyezésnél, egy hibakeresésnél valaki összeköt egy irodai és egy üzemi portot, vagy egy kapcsolóporton átállítja a VLAN-t, hogy gyorsan hozzáférjen valamihez. A munka végén a kábel ott marad. A nem használt portok letiltása és a kapcsolók port-szintű védelmi funkciói megnehezítik az ilyen bekötést, a dokumentált változáskezelésből pedig visszakereshető, ki mit kötött át és mikor.
Mobilhálózati router és távelérési szoftver
A vezérlőszekrénybe szerelt mobilhálózati router vagy egy beszállító által telepített távelérési program az internet felől nyit utat az üzembe, a DMZ-t és az irodai hálózatot is megkerülve. Ha a telepítést nem dokumentálták, az eszközleltárban sem szerepelnek.
További rések
- A saját azonosításnál leírt szétválasztás hiánya a DMZ-ben vagy az OT-oldalon.
- A DMZ-n átívelő, „átmenetileg” felvett tűzfalszabály, amely közvetlenül összeköt egy irodai és egy üzemi gépet.
- Vezeték nélküli hozzáférési pont, amely az üzemi hálózatra csatlakozik, és az irodából is látható.
- Ellenőrzés nélkül használt pendrive, amely egy fertőzött irodai gépről kerül a mérnöki állomásba.
A kerülőutak felderítéséhez a dokumentáció kevés. A passzív forgalomfigyelés megmutatja, mely üzemi eszközök beszélgetnek váratlan címekkel. A két hálózati kártyás gépeket a gépeken futtatott interfészleltár, illetve a két oldal címlistáinak gépnév szerinti összevetése szűri ki, az ismeretlen eszközöket pedig a kapcsolók portlistája.
A határ rendszeres ellenőrzése
Egy jól megtervezett határ is romlik, ha senki nem nézi. Minden projekt hoz egy-két új szabályt, minden hibaelhárítás egy ideiglenes kivételt, és ezek közül sok a szükség megszűnése után is megmarad.
- A tűzfalszabályok átnézése a dokumentált adatfolyamok alapján, rendszeres időközönként és minden nagyobb változtatás után. Ami nem tartozik dokumentált adatfolyamhoz, azt törölni kell, az ideiglenes szabályok pedig lejárati dátummal készüljenek.
- A tiltott forgalom naplójának figyelése mindkét tűzfalon. A DMZ-ből vagy az irodából az üzem felé tartó elutasított kapcsolat gyakran egy rosszul beállított rendszert, néha egy fertőzött gépet jelez.
- Annak ellenőrzése egy irodai gépről, hogy az üzemi címtartomány valóban nem érhető el. A próbát az üzemeltetéssel egyeztetve, a termelést nem zavaró módon kell végezni.
- A DMZ-szerverek karbantartása: frissítések, felesleges szolgáltatások leállítása, a fiókok és jelszavak felülvizsgálata. Egy feltört DMZ-szerverről a támadó mindkét oldal felé eléri a megnyitott kapcsolatokat.
- Az eszközleltár összevetése a hálózaton ténylegesen látható eszközökkel, különös figyelemmel a két hálózati kártyás gépekre, a mobilhálózati routerekre és a vezeték nélküli eszközökre.
Az eredményt érdemes leírni: melyik szabályt ki hagyta jóvá, melyiket mikor törölték, és milyen eltérés derült ki. A következő ellenőrzés ebből indul, és egy incidens vizsgálatánál is ez mutatja meg, milyen állapotban volt a határ.
Kapcsolódó szolgáltatás: OT hálózati szegmentáció →
