Adathordozó-ellenőrző állomás
Az üzembe bevitt pendrive-okat, laptopokat és fájlokat belépés előtt ellenőrizni kell. Erre telepítünk ellenőrző állomást, a cserélhető adathordozón érkező fertőzések ellen.
Mikor van rá szükség
Ahol pendrive-on és laptopon jutnak be a fájlok
Az OT-hálózatot sokszor elzárják az internettől. A fájloknak viszont ilyenkor is be kell jutniuk.
Az elszigetelt hálózat is nyitott
A fizikailag elzárt hálózat a gyakorlatban ritkán teljes: az USB-adathordozó és a karbantartói laptop rendszeresen áthidalja. Az USB-adathordozó ma is az egyik leggyakoribb fertőzési út az elszigetelt hálózatokon, a Stuxnet óta ez nem változott.
Karbantartó érkezik
A beszállító technikusa a saját laptopjával és USB-kulcsával dolgozik a berendezésen. Ezek az eszközök az üzem előtt más ügyfeleknél és más hálózatokban is jártak.
A célgép nem tudja megvédeni magát
Sok HMI és mérnöki állomás régi operációs rendszeren fut, amin a modern végpontvédelem nem működik. Internet híján a napi szignatúra-frissítés sem érkezik meg, és a berendezés szállítója gyakran meg is tiltja idegen szoftver telepítését.
A beviteli pont
Mi megy át az ellenőrzésen
Az állomás jellemzően a belépési pontra kerül. Ami az üzembe tart, ott esik át a vizsgálaton, mielőtt bármelyik OT-géphez csatlakozna.
Pendrive és más cserélhető adathordozó
A munkatárs vagy a beszállító belépéskor az állomáshoz csatlakoztatja az adathordozót, és csak a vizsgálat után viszi tovább.
Laptop
A karbantartásra hozott laptopot a belépés előtt átvizsgálják, mert a gép az OT-hálózatra vagy közvetlenül a berendezésre csatlakozik majd.
Fájlok
Egy vezérlőprogram új verziója vagy egy beszállítói dokumentáció is fertőzött lehet, ezért a fájlok is átesnek a vizsgálaton.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Ellenőrző állomás telepítése
- Beviteli eljárásrend a munkatársaknak és a beszállítóknak
- Rövid képzés a használathoz
Kapcsolódó szolgáltatások
Ami az állomás mellé tartozik
Az állomás a kézzel bevitt adatot ellenőrzi. A távoli elérést és a célgépek saját védelmét más szolgáltatás rendezi. Hogy hol vannak még nem dokumentált bejutási utak, azt a felmérés mutatja meg.
Biztonságos távoli karbantartói hozzáférés
Ha a szállító saját VPN-en vagy távelérési szoftverrel csatlakozik, ezeket egy jóváhagyáshoz kötött és naplózott hozzáférési pont váltja ki.
OT végpontvédelem
Védelem a régi, nem frissíthető vagy internettől elzárt HMI-kre, mérnöki állomásokra és ipari számítógépekre, a működés lassítása nélkül.
OT-biztonsági felmérés
Eszközleltár és kommunikációs térkép az OT-hálózatról, a nem dokumentált külső kapcsolatokkal együtt.
Gyakori kérdések
Amit a legtöbben kérdeznek
Ha az OT-gépeken van végpontvédelem, kell még ellenőrző állomás?
A kettő kiegészíti egymást. Az engedélyezési listás végpontvédelem azt akadályozza meg, hogy a gépen a listán kívüli program fusson. Sok üzemi gépre viszont semmit nem lehet telepíteni, ezeknél a hordozható vizsgálat marad. Az ellenőrző állomás a célgép védelmétől függetlenül szűr. Az OT-végpontok védelméről ebben a cikkünkben írtunk részletesen.
Elszigetelt a hálózatunk. Akkor is szükség van rá?
Éppen ott. Az elzárás a hálózaton érkező támadásokat tartja távol, a kézzel bevitt adathordozót pedig az állomás ellenőrzi.
A beszállítókra is vonatkozik az eljárásrend?
Igen. A beviteli eljárásrendet a munkatársaknak és a beszállítóknak is elkészítjük, mert a karbantartásra érkező technikus eszközei ugyanúgy az üzembe kerülnek. Ha a beszállító távolról csatlakozik, arra a biztonságos távoli karbantartói hozzáférés vonatkozik.
Ki tartja naprakészen az állomást az átadás után?
Az állomás frissítése üzemeltetési feladat. A bevezetés utáni üzemeltetés egyedi megállapodás alapján kérhető.
