Egy üzemben sok olyan eszköz működik, amelyet évekig nem frissítenek: vezérlők, operátori panelek, régi, már nem támogatott operációs rendszeren futó HMI-gépek. Van, amelyikhez a gyártó nem ad ki javítást, van, amelyiknél a javítást a gépsor szállítója még nem hagyta jóvá, és van, amelyiknél a telepítéshez leállás kellene, erre pedig csak a következő tervezett karbantartáskor lesz lehetőség. A rájuk vonatkozó sebezhetőségek listája közben tovább bővül.
Ilyenkor a védelmet az eszköz elé, a hálózatba kell tenni. A TXOne Networks két hálózati termékcsaládja, az EdgeIPS és az EdgeFire erre a feladatra készült.
Miért kell hálózati védelem a nem frissíthető eszközök elé
Egy IT-rendszerben a sebezhetőségre adott első válasz a javítás telepítése. Egy OT-környezetben ez több okból is csúszik:
- A vezérlő firmware-frissítését a gépsor gyártója vagy integrátora hagyja jóvá, és ez hónapokig tarthat.
- A frissítés után a folyamatot újra kell tesztelni, ami termeléskieséssel jár. Hogy mikor mi mehet élesbe, arról az OT-frissítésekről szóló cikk ír.
- Az eszköz támogatása megszűnt, javítás már nem is készül hozzá.
- A gyengeség a protokoll tervezéséből fakad. A Modbus vagy a régebbi S7comm hitelesítés nélkül fogad írási és vezérlési parancsot, ezen egy javítás nem változtat.
Ezekben az esetekben kompenzáló kontrollra van szükség: olyan intézkedésre, amely a kihasználást akadályozza meg, amíg maga a hiba megvan. Az IEC 62443-3-3 szabvány is számol ilyen kompenzáló ellenintézkedésekkel arra az esetre, ha egy rendszer egy biztonsági követelményt saját maga nem tud teljesíteni. A NIST SP 800-82 Rev. 3 (2023) OT-biztonsági útmutatója pedig a hálózati védelmet azok között az intézkedések között tárgyalja, amelyek a javítás helyett vagy annak elkészültéig védik az eszközt. A hálózati megoldás előnye, hogy a védett gépre semmit nem kell telepíteni, és egyetlen eszköz egy egész cellát lefedhet.
A határa is ugyanebből adódik: csak azt a forgalmat látja, amely rajta áthalad. Ha a fertőzött gép ugyanabban a szegmensben van, mint a vezérlő, vagy a kártevő pendrive-on érkezik, az eszköz elé tett szűrő nem segít. A hálózati és a végponti védelem ezért egymást egészíti ki. A végpontokra telepíthető OT-védelemről a végpontvédelemről szóló cikk szól, a régi operációs rendszerek kezeléséről pedig a nem támogatott rendszerekről szóló cikk.
Virtuális foltozás: védelem a sebezhetőség kihasználása ellen
A virtuális foltozás lényege, hogy egy hálózati eszköz felismeri és eldobja azt a forgalmat, amely egy ismert sebezhetőséget próbál kihasználni, még mielőtt az a sebezhető eszközhöz érne. A hiba a vezérlőben megmarad, de a kihasználásához szükséges csomag nem jut el hozzá.
A működés egy behatolásmegelőző rendszer (IPS) logikáját követi. A gyártó a termék által lefedett sebezhetőségekhez szabályt (aláírást) ad ki, amely a kihasználás jellegzetes mintáját írja le: túl hosszú érték egy protokollmezőben, hibás formátumú kérés, egy dokumentálatlan funkciókód használata. Az EdgeIPS és az EdgeFire ezeket a szabályokat az ipari protokollok mezőire is alkalmazza, így egy vezérlőt célzó, protokollszintű támadást is fel tudnak ismerni, nemcsak az operációs rendszereket érő, ismertebb mintákat.
Amire érdemes figyelni
- Lefedettség. A szabálykészlet nem tartalmaz minden CVE-re szabályt. Egy új sebezhetőségi figyelmeztetésnél meg kell nézni a gyártó szabálylistájában, van-e rá szabály, és melyik csomagtól kezdve.
- Frissesség. A szabálycsomagot rendszeresen frissíteni kell. Internetkapcsolat nélküli üzemi hálózatban ez offline csomaggal is megoldható, de a feladatnak legyen felelőse.
- Sorrend. Ha egy sebezhetőség a CISA KEV katalógusában is szerepel, vagyis ismert, hogy aktívan kihasználják, a rá vonatkozó szabályt érdemes elsőként élesíteni.
- Időnyerés. A virtuális folt időt ad, a javítást nem váltja ki. Ha a gyártó kiadja a javítást, azt továbbra is be kell tervezni a következő karbantartási ablakba.
Ipari protokollok szűrése parancsszinten
A cím- és portalapú szabály azt dönti el, ki érheti el a vezérlőt, azt nem, hogy milyen paranccsal. Hogy ez a hitelesítés nélküli protokolloknál miért kevés, azt az ipari protokollok biztonságáról szóló cikk részletezi. Az EdgeIPS és az EdgeFire a protokoll tartalmát is értelmezi (mélyebb csomagvizsgálat, DPI), így a szabály a funkciókódra, a parancs típusára, egyes protokolloknál a címzett regiszterre vagy objektumra is vonatkozhat. Tipikus szabályok:
- A HMI olvashat a vezérlőből, írási parancsot pedig csak egy meghatározott címtartományra küldhet.
- Programletöltést, firmware-frissítést és a vezérlő leállítását csak a mérnöki munkaállomás kezdeményezhet, és csak a saját címéről.
- A szűrő eldobja a protokoll specifikációjának nem megfelelő, hibás formátumú csomagokat.
A szabálykészlet alapja egy engedélyezőlista: le kell írni, amire a folyamatnak szüksége van, minden más tiltott. Hogy mely ipari protokollok mely parancsaira lehet szabályt írni, az típusonként és szoftververziónként eltér, ezért beszerzés előtt az adatlapon ellenőrizni kell, hogy az üzemben használt összes protokoll szerepel-e rajta. A legelterjedtebb protokollokról a fogalomtárban is van rövid leírás.
EdgeIPS és EdgeFire: soros védelem és szegmentáció
A két termékcsalád hasonlóan szűr, a hálózatban viszont más a helyük.
EdgeIPS: soros védelem átlátszó módban
Az EdgeIPS a védett eszköz vagy eszközcsoport elé, egy meglévő kábelszakaszba illeszkedik. Átlátszó, második rétegbeli eszközként dolgozik, a forgalom útjában nincs saját IP-címe, ezért a vezérlők, a HMI-k és a kapcsolók címzésén semmit nem kell változtatni. Egy üzemben ez sokat számít, mert az IP-címek módosítása a vezérlőprogramok, a HMI-projektek és a SCADA-konfiguráció módosításával is járna. A DIN-sínre szerelhető, ipari kivitelű változat a vezérlőszekrénybe építhető, a több szegmenst egyszerre védő, rackbe szerelhető kivitel pedig a központi kapcsolók mellé.
Soros eszköznél felmerül a kérdés, hogy meghibásodáskor megszakad-e a forgalom. Erre a hardveres áthidalás (bypass) ad választ, amely áramkimaradás vagy hiba esetén átengedi a forgalmat. Hogy egy adott típus rendelkezik-e ilyen funkcióval, azt az adatlapon kell megnézni. Azt pedig a folyamat ismeretében kell eldönteni, hogy hiba esetén a szűretlen továbbengedés vagy a kapcsolat megszakadása a kisebb kockázat.
EdgeFire: ipari tűzfal a zónahatáron
Az EdgeFire ipari tűzfal a zónák és cellák határára, amely az IEC 62443 zóna- és csatornamodellje szerint választja szét a hálózatot. Útválasztó és átlátszó módban is telepíthető; hogy egy adott típus melyiket támogatja, azt az adatlapon kell ellenőrizni. A cellák egymással és a felügyeleti szinttel csak a rögzített kapcsolatokon kommunikálhatnak. A szabályokban a címek és portok mellett a parancsszintű protokollszűrés és a virtuális foltozás is megjelenhet, így a szegmenshatár egyben védelmi pont is. A zónák közötti szabályok megtervezéséről a forgalmi mátrixról szóló cikk ír.
| Szempont | EdgeIPS | EdgeFire |
|---|---|---|
| Hálózati szerep | Átlátszó, soros szűrő egy meglévő szegmensen belül | Tűzfal zónák és cellák határán, útválasztó vagy átlátszó módban |
| Címzés módosítása | Nem szükséges | Útválasztó módban új alhálózatok kellenek; átlátszó módban nem |
| Jellemző hely | Egy kritikus vezérlő vagy cella előtt, a vezérlőszekrényben | Cellák között, illetve a cellák és a felügyeleti szint között |
| Mikor jó kiindulás | Lapos hálózatban, ahol az átszámozás most nem reális | Szegmentálásnál, új zónahatár kialakításakor |
A két eszköz együtt is használható: az EdgeFire a zónák határán, az EdgeIPS a zónán belül a legkritikusabb eszközök előtt. Egy lapos, egyetlen alhálózatból álló üzemi hálózatban gyakran az EdgeIPS az első lépés, a szegmentálás pedig egy későbbi, tervezett leállásra ütemezhető.
Bevezetés figyelő üzemmódban
Egy soros szűrő a legrosszabb esetben egy szabályos parancsot is eldobhat, ami a gépsoron leállást okoz. Ezért a bevezetés lépésenként halad:
- Telepítés figyelő üzemmódban. A beépített eszköz a forgalmat átengedi, a szabálysértéseket pedig naplózza. A beépítéshez a kábelszakaszt rövid időre meg kell bontani, ezt egy előre egyeztetett ablakban lehet megtenni.
- Megfigyelés. A forgalomból kirajzolódik, ki kivel, milyen protokollon és milyen parancsokkal kommunikál. A naplóban megjelenő eseményeket egyenként át kell nézni: ha szabályos kommunikációról van szó, a szabályt kell bővíteni, ha nem, az kivizsgálást érdemel.
- Fokozatos élesítés. A szabályok cellánként, az üzemeltetéssel egyeztetett időpontban kapcsolnak blokkoló üzemmódba. Elsőként a virtuális foltok és az egyértelmű tiltások jönnek, például az irodai hálózatból érkező ipari forgalomé, a finomabb parancsszintű szabályok utánuk.
A megfigyelés hossza a folyamaton múlik. Fedjen le legalább egy teljes termelési ciklust a ritkábban futó műveletekkel együtt: heti mentés, receptváltás, havi karbantartás. Ami ebből kimarad, az élesítés után blokkolt forgalomként jelentkezik, jellemzően éppen egy ritka, de fontos műveletnél.
Az élesítés után is kell visszaút. Ha egy szabály gondot okoz, az adott szabályt vagy az egész eszközt gyorsan vissza lehessen állítani figyelő üzemmódba. Ennek lépéseit és felelősét még az élesítés előtt le kell írni, hogy egy éjszakai műszak is végre tudja hajtani.
Központi felügyelet és szabálykarbantartás
Néhány eszközt még lehet egyenként kezelni, egy üzemben szétszórt tucatnyit már nem. Az Edge-eszközök a gyártó központi felügyeleti szoftveréből is kezelhetők: innen osztható ki a szabálykészlet és a szabálycsomag eszközökre vagy csoportokra, innen frissíthető a firmware, és itt látszanak egy helyen az események.
A rendszeres teendők:
- A virtuális foltozás szabálycsomagjának frissítése, és annak ellenőrzése, hogy a frissítés minden eszközre eljutott.
- A szabályok összehangolása a változáskezeléssel. Egy új gépsor, egy vezérlőcsere vagy egy új HMI-funkció új forgalmat hoz, ezért a szabálymódosításnak ugyanazon a munkalapon kell szerepelnie, mint a műszaki változtatásnak. Ha kimarad, az első próbaindításkor a szűrő blokkol.
- Az események továbbítása a központi naplógyűjtőbe vagy a SIEM-be, hogy egy blokkolt programletöltési kísérlet ne csak az eszköz helyi naplójában maradjon.
- Időszakos szabályfelülvizsgálat: a már nem használt kivételek és az ideiglenes engedélyek törlése.
A naplók biztonsági szempontból is értékesek. Egy nem várt címről érkező, blokkolt írási parancs, vagy egy gép, amely korábban soha nem töltött le programot, és most megpróbálja, egy behatolás korai jele lehet. Ehhez kell valaki, aki az eseményeket figyeli, és tudja, kit kell értesíteni az üzemben, ha ilyen jelzés érkezik.
Kapcsolódó szolgáltatás: OT védelmi projekt →
