Egy üzemben szinte minden gépsorhoz tartozik egy beszállító, aki távolról is hozzá akar férni a berendezéséhez, hogy hibát keressen vagy programot frissítsen. Ez jogos igény. A szerviztechnikus kiszállása napokig tarthat, egy távoli beavatkozás sokszor órák alatt megoldja ugyanazt a hibát.
A gond ott kezdődik, hogy minden beszállító a saját megoldását hozza. Néhány év alatt az OT-környezetben annyi távoli kapcsolat gyűlik össze, ahány beszállító, és ezekről ritkán van bárkinek teljes listája.
Hogyan gyűlnek össze a távoli kapcsolatok
A legtöbb távoli hozzáférés az üzembe helyezéskor születik. A géptelepítő cég beállít egy kapcsolatot, hogy a garanciális időszakban támogatni tudja a berendezést, és ez a kapcsolat a garancia lejárta után is megmarad. A jellemző formák:
- saját VPN-kliens vagy VPN-eszköz, amely a beszállító hálózatából közvetlenül a berendezésig épít alagutat;
- távelérési szoftver a mérnöki munkaállomáson vagy a HMI-n, gyakran folyamatosan futó szolgáltatásként;
- mobilhálózati router a vezérlőszekrényben, amely a vállalati tűzfalat teljesen megkerüli;
- tűzfalszabály, amelyet egy régi projekthez nyitottak meg, és azóta senki nem zárt le.
Mindegyik a maga idejében érthető döntés volt. Együtt azonban azt jelentik, hogy a gyártóhálózatnak sok bejárata van, és ezek egy részéről az IT-nak nincs tudomása.
Miért kockázatos
Az irodai IT-rendszerben a távoli hozzáférés ma már többnyire központosított: egy VPN-átjáró, többfaktoros hitelesítés, felhasználónkénti fiók. A beszállítói OT-kapcsolatok jó része ezek közül egyiknek sem felel meg.
Láthatatlan belépési pontok
Amiről az üzem nem tud, azt felügyelni és lezárni sem tudja. A mobilhálózati router forgalma nem jelenik meg a tűzfal naplójában, egy elfelejtett távelérési szoftver sebezhetőségét pedig senki nem javítja, mert senki nem tartja nyilván.
Közös fiókok, régi jelszavak
A beszállító több technikusa gyakran ugyanazzal a felhasználóval lép be, és a jelszó évek óta nem változott. Néha a berendezés dokumentációjában szerepel, néha a szekrény ajtajára van ragasztva. Ha egy technikus elhagyja a beszállítót, a hozzáférése vele marad.
Folyamatosan nyitott kapcsolat
A csatorna akkor is él, amikor senki nem dolgozik rajta. A karbantartás az év kis részében zajlik, a kapcsolat viszont az év minden napján elérhető, és a támadó ezt a teljes időt kihasználhatja.
Túl széles elérés
Egy klasszikus VPN a teljes hálózatszegmenst megnyitja, holott a technikusnak egyetlen PLC-re vagy HMI-re van szüksége. Gyenge szegmentálás mellett ebből a pontból az üzem nagy része elérhető. A hálózatszintű és az alkalmazásszintű hozzáférés különbségéről a VPN és ZTNA összehasonlításában írtunk.
A beszállító hálózata is támadási felület
Ha a beszállítót feltörik, a támadó az ő csatornáján érkezik, olyan forrásból, amelyet az üzem megbízhatónak tekint. Ez az ellátási lánc elleni támadások jól ismert formája. A NIS2 irányelv a kockázatkezelési intézkedések között külön említi az ellátási lánc biztonságát, a beszállítói hozzáférés tehát szabályozási kérdés is.
Nem marad nyom
Ha incidens történik, nem lehet megállapítani, ki, mikor, melyik berendezésen mit változtatott. Ez a hétköznapi hibaelhárítást is megnehezíti: ha egy paraméter megváltozott, nem derül ki, ki és miért állította át.
Egy hozzáférési pont: hogyan néz ki
A cél egyetlen belépési pont, amelyen minden beszállítói kapcsolat áthalad, és amely az üzem szabályai szerint működik. Az IEC 62443 zóna- és csatorna-modelljében ez egy saját, szigorúan ellenőrzött csatorna az ipari DMZ-be, amely sehol nem vezet közvetlenül a vezérlőhálózatba. Egy jól működő megoldás a következő elvekre épül.
Személyre szóló hozzáférés
Minden technikus saját fiókot kap, többfaktoros hitelesítéssel. Közös fiók nincs, így minden belépés egy személyhez köthető, és egy kilépő munkatárs hozzáférése egy lépésben megszüntethető.
Jóváhagyás
A beszállító kérelmezi a hozzáférést, az üzem felelőse pedig jóváhagyja: melyik berendezésre, milyen munkához, mikorra. Jóváhagyás nélkül a kapcsolat létre sem jön.
Időkorlát
A hozzáférés egy időablakra szól. Amikor lejár, a kapcsolat bontódik, és a következő munkához új jóváhagyás kell. A csatorna így az idő nagy részében zárva van.
Legkisebb jogosultság
A technikus csak azt az eszközt és azt a protokollt éri el, amelyre a munkához szüksége van. A hálózat többi része számára nem látható.
Naplózás
Minden kérés, jóváhagyás, belépés és kilépés naplóba kerül. Sok megoldás a munkamenetet is képes rögzíteni, így utólag visszanézhető, mi történt a képernyőn. A naplót érdemes a központi naplógyűjtésbe is továbbítani, erről a naplózásról szóló cikkünkben írtunk részletesen.
Megszakíthatóság
Az üzem oldali felelős látja az aktív munkameneteket, és bármelyiket azonnal bonthatja, ha a berendezésen váratlan dolog történik.
Egy karbantartás menete a gyakorlatban
Leáll egy gépsor, és a beszállító technikusa távolról nézné meg a vezérlést. A hozzáférési ponton kérelmet ad be az adott PLC-re és a mérnöki szoftverhez szükséges kapcsolatra, két órára. A műszakvezető jóváhagyja. A technikus a saját fiókjával és második faktorral belép, és kizárólag a megadott eszközt látja.
A munka végén kilép, vagy a két óra leteltével a rendszer bontja a kapcsolatot. A naplóból kiderül, ki dolgozott, mettől meddig, melyik eszközön, és ha van munkamenet-rögzítés, az is, mit csinált.
A technikusnak ez alig jelent többletmunkát a megszokotthoz képest. Az üzem viszont minden külső beavatkozásról tud, és mindegyiket ellenőrizni tudja.
Hol kezdje
Az átállás a leltárral kezdődik. Amíg nem ismert minden meglévő kapcsolat, az új hozzáférési pont csak egy újabb bejárat a régiek mellett.
- Gyűjtse össze a meglévő távoli kapcsolatokat: VPN-eket, telepített távelérési szoftvereket, mobilhálózati routereket, a tűzfalon nyitva hagyott szabályokat. A hálózati forgalom figyelése azokat is megmutatja, amelyekről nincs dokumentáció.
- Rendelje minden kapcsolathoz a beszállítót és a belső felelőst, és döntse el, melyikre van még szükség.
- Egyeztessen a beszállítókkal. A szerződések gyakran rögzítik a távoli támogatás módját, ezt az új rendhez kell igazítani.
- Határozza meg a jóváhagyás rendjét a műszakon kívüli hibákra is: ki hagyhat jóvá éjjel vagy hétvégén.
- Vezesse át a beszállítókat egyenként az új pontra, és minden átállás után zárja le a régi csatornát.
Az utolsó lépés dönti el az eredményt. Ha a régi kapcsolatok megmaradnak, az új pont mellett a kockázat nem csökken.
A biztonságos távoli karbantartói hozzáférés szolgáltatásunkban elkészítjük a meglévő távoli kapcsolatok leltárát, kialakítjuk a központi, jóváhagyásos hozzáférési megoldást a személyre szóló, időkorlátos beszállítói hozzáférésekkel és a naplózással, a munkát pedig átadási dokumentációval zárjuk. Ha előbb azt szeretné látni, milyen nem dokumentált külső kapcsolatok vannak az OT-hálózaton, az OT-biztonsági felmérés kommunikációs térképe ezeket is megmutatja.
