Purdue-modell zónák, biztonságos átjárók, IT/OT határvédelem, megszakítás nélkül.
A hálózati szeparáció során az OT-hálózatot kisebb, izolált zónákra osztjuk, melyek között csak előre meghatározott tűzfalszabályok szerint áramolhat az adat. Ez a megközelítés nem csak a támadások propagációját állítja meg, de javítja a forgalom monitorozását és a hálózat teljesítményét is.
Számos OT-hálózat ma is „air-gap” alapon épült, ahol a biztonságot az IT-világtól való elzártság adta. A digitalizáció és IT/OT konvergencia azonban megszüntette ezt a védelmet, így a régi rendszerek ma könnyű célpontot jelentenek a rosszindulatú szereplők számára.
Visszatartja a támadókat: Többlépcsős zónák megnehezítik a laterális mozgást egy esetleges betöréskor.
Least Privilege elv: Felhasználói és gépi hozzáféréseket csak a szükséges zónákra korlátozunk.
Károk csökkentése: Egy kompromittált zóna izolálható, így elkerülhető a teljes hálózat szintű fertőzés.
Adatvédelem: A kritikus adatok elkülönített zónába kerülnek, csökken az adatvesztés és ellopás esélye.
Teljesítményjavulás: A forgalom granuláris irányítása csökkenti a késleltetést és hálózati torlódást.
Műszaki és szervezeti határok kijelölése.
Szabványalapú, OT-specifikus értékelés.
Vezetői és műszaki dokumentáció.
Ez a szolgáltatás különösen értékes az alábbi szektorokban, a sajátos szabályozás, eszközpark és fenyegetési modellek miatt.
A szegmentálás az a beavatkozás, ami a legnagyobb kockázatcsökkenést hozza egy ipari hálózaton. Egyben a legkockázatosabb is, ha rosszul csinálják, ezért szakaszosan és mindig figyelő módban indulunk.
A szegmentáció alapja az eszközleltár és a tényleges forgalom ismerete. Aki leltár nélkül ír tűzfalszabályt, vaktában tilt, és az első üzemzavar után nem engedik többet a hálózat közelébe.
Az IEC 62443 logikája szerint zónákra bontjuk a hálózatot, és pontosan definiáljuk, milyen forgalom mehet át közöttük. A legfontosabb határvonal az ipari DMZ az IT és az OT között.
A szabályrendszer először csak naplóz, nem blokkol. Így kiderülnek a mátrixból hiányzó, ritka kommunikációk, éles hatás nélkül. Ez a szakasz jellemzően 2-4 hét.
Zónánként kapcsoljuk élesre, karbantartási ablakban, visszaállítási tervvel. A legkevésbé kritikus zónával kezdünk, és a tapasztalatot visszük tovább a következőre.
Nem kell mindent egyszerre. Ez a sorrend a kockázatcsökkenés szerint halad, és minden lépés önmagában is értéket ad.
| Lépés | Mit akadályoz meg | Tipikus ráfordítás |
|---|---|---|
| 1. IT/OT szétválasztás, ipari DMZ | Az irodai hálózatból induló támadás átterjedését | 4-8 hét |
| 2. Távoli hozzáférés csatornásítása | A szállítói VPN-eken keresztüli behatolást | 2-4 hét |
| 3. Cellák és sorok elkülönítése | Egy sor kompromittálódásának átterjedését | 6-12 hét |
| 4. Biztonsági rendszerek (SIS) izolálása | A folyamatbiztonság veszélyeztetését | 2-4 hét |
| 5. Mérnöki munkaállomások szegmentálása | A programletöltési jog visszaélésszerű használatát | 3-6 hét |
| 6. Mikroszegmentálás kritikus vezérlőkre | A célzott, eszközszintű támadást | folyamatos |
Ezért dolgozunk szakaszosan és először figyelő módban. A szabályrendszer 2-4 hétig csak naplóz, nem blokkol, így a mátrixból hiányzó ritka kommunikációk kiderülnek éles hatás nélkül. A kikényszerítés zónánként, karbantartási ablakban történik, minden lépéshez tartozik visszaállítási terv és egy előre egyeztetett döntési pont. A tényleges átállás jellemzően percek kérdése, a felkészülés viszont hetek.
Kevesebb, mint gondolná. A legnagyobb hozamot egyetlen jól elhelyezett eszköz adja az IT/OT határon, az ipari DMZ-vel. A cellaszintű elkülönítés sok esetben megoldható a meglévő menedzselhető kapcsolókkal (VLAN és ACL), külön hardver nélkül. Dedikált ipari tűzfal ott indokolt, ahol protokoll-szintű szűrés kell, például hogy egy szegmensből a PLC-k csak olvashatók legyenek.
A VLAN önmagában logikai elkülönítés, de nem kontrollálja a forgalmat: ha a rétegek között van útválasztás szűrés nélkül, a VLAN-ok szabadon elérik egymást. Valódi szegmentálásról akkor beszélünk, ha a zónahatáron van egy döntési pont (tűzfal vagy ACL), ami alapértelmezetten tilt, és csak a definiált forgalmat engedi át. A VLAN a szegmentálás előfeltétele, nem a megvalósítása.
Ez a gyakorlatban a legnagyobb konkrét kockázat, és egyben a leggyorsabban javítható. A tipikus állapot: minden géptelepítő a saját megoldásával csatlakozik, van, akinek állandó alagútja van. A cél egyetlen, kontrollált belépési pont: központi távoli hozzáférés, kötelező MFA, igény szerinti aktiválás időablakkal, munkamenet-rögzítés a kritikus rendszereknél, és legkisebb jogosultság. Ez néhány hét alatt megvalósítható.
A tervezéshez és a figyelő üzemhez nem. A kikényszerítés élesre kapcsolása jellemzően egy rövid karbantartási ablakot igényel zónánként, mert a tűzfalszabályok aktiválásakor a meglévő kapcsolatok megszakadhatnak. Az ipari DMZ kiépítése tervezhető úgy, hogy a köztes rendszerek párhuzamosan felállnak, és az átállás egyetlen konfigurációs lépés legyen.