OT védelmi projekt
A felmérésben azonosított kockázatokat kezeljük: hálózati és végponti OT védelmi eszközöket telepítünk a kritikus pontokon, ütemezve, a termelést nem zavaró módon.
Hálózat és végpont
Mit építünk ki a kritikus pontokon
Gyártófüggetlenül tervezünk, a meglévő eszközparkhoz igazodva. OT-specifikus területen TXOne eszközökkel dolgozunk, hálózati oldalon Fortinet megoldásokkal.
Virtuális patch a nem frissíthető eszközök elé
A hálózatba sorosan beépített ipari IPS felismeri és blokkolja a sebezhetőséget célzó forgalmat, maga az eszköz érintetlen marad. Így a kihasználás akkor is megakadályozható, ha a hibához évekig nem lesz gyártói javítás.
Ipari protokollszintű szabályok
Egy általános tűzfal a Modbus-forgalmat egyetlen portként látja. Az OT-tudatos eszköz a függvénykódot is, így előírható, hogy egy szegmens PLC-it csak olvasni lehessen, írni csak a mérnöki munkaállomásról.
Engedélyezőlista a végpontokon
A HMI-ken és mérnöki állomásokon csak a rögzített listán szereplő alkalmazás futhat, minden más alapból tiltott. Napi frissítés nem kell hozzá, és az ismeretlen kártevő ellen is véd.
Hordozható vizsgálat (TXOne Portable Inspector)
Van olyan gép, amelyre semmit nem lehet telepíteni. Ilyenkor a mérnök egy USB-eszközt csatlakoztat, lefuttatja az ellenőrzést, majd viszi a következő géphez. A gépre semmi nem kerül fel, és nem marad rajta futó folyamat.
Üzemi hálózat Fortinet eszközökkel
A gyártócsarnokba a FortiGate és a FortiSwitch ipari, Rugged kivitele kerülhet: ventilátor nélküli, DIN-sínre szerelhető eszközök, amelyek az irodaiaknál szélesebb hőmérséklet-tartományban működnek. A FortiSwitch kapcsolók és a FortiAP hozzáférési pontok a FortiGate-ről kezelhetők, így a hálózati szabályok egy helyen állnak.
A folyamat
A tervtől az átadásig
Az üzemben a hibázás ára sokkal nagyobb, mint az irodában, ezért a védelem lépésenként, ellenőrzötten kapcsol éles üzembe.
-
Megvalósítási terv
A felmérés eredményéből kijelöljük a kritikus pontokat, és a telepítést a termelési rendhez igazítva ütemezzük.
-
Telepítés figyelő módban
Az eszközök először csak figyelnek és tanulnak: rögzítik, mi fut ténylegesen a gépeken és mi halad át a hálózaton. Ha van azonos konfigurációjú tartalék eszköz, a telepítést előbb azon validáljuk.
-
Élesítés
A tanult állapot ellenőrzése után kapcsolunk tiltó módra. Minden aktív lépés előtt egyeztetünk, visszaállítási tervvel.
-
Közös képzés
Az üzemeltetési és az IT csapat együtt tanulja meg a védelem kezelését. A képzés közös nyelvet ad a két csapatnak, ebben segít az IEC 62443, amelyet az üzemmérnök és az informatikus is ért.
-
Elfogadás és átadás
Záró teszttel ellenőrizzük, hogy a védelem a terv szerint működik, és a termelés zavartalanul fut, majd átadjuk a dokumentációt.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Részletes megvalósítási terv és ütemezés
- Telepített és konfigurált OT védelmi eszközök
- Közös képzés az üzemeltetési és az IT csapatnak
- Záró elfogadási teszt és dokumentáció
Kapcsolódó szolgáltatások
Előtte, mellette, utána
A védelmi projekt egy nagyobb OT-biztonsági munka egyik lépése. Ezek a szolgáltatások épülnek rá vagy egészítik ki.
OT-biztonsági felmérés
Megmutatja, mi van az OT-hálózaton és mi mivel kommunikál. A védelmi projekt ennek a kockázataiból és prioritási sorrendjéből indul.
OT hálózati szegmentáció
A lapos hálózat zónákra bontása. A zónahatárok adják azokat a pontokat, ahová a hálózati védelem kerül.
OT végpontvédelem
Védelem a régi, nem frissíthető vagy internettől elzárt HMI-kre, mérnöki állomásokra és ipari számítógépekre, a működés lassítása nélkül.
OT védelmi platform gondozása
A telepített védelmi eszközök naprakészen tartása az átadás után.
Gyakori kérdések
Amit a legtöbben kérdeznek
Kell felmérés a védelmi projekt előtt?
Igen, mert eszközleltár nélkül nem tudható, hová mit kell telepíteni. Ha csak a régi végpontok védelme a cél, az önálló OT végpontvédelem felmérés nélkül is indítható. Hogy miért a leltárral kezdődik minden, azt az ICS/SCADA-rendszerek védelméről szóló cikkünkben írtuk le.
Le kell állítani hozzá a termelést?
A munka túlnyomó része nem igényel leállást. Ahol egy eszköz beépítéséhez mégis kell, rövid karbantartási ablakot egyeztetünk a meglévő karbantartási rendhez.
Mit szól ehhez a berendezés gyártója?
Ezt minden berendezésnél előre tisztázni kell. Sok szállító megtiltja idegen szoftver telepítését, különben megszűnik a garancia vagy a minősítés. Sok gyártó viszont ma már támogatja, sőt ajánlja az OT-specifikus védelmi eszközöket. Az OT végpontvédelem és az IT-s eszközök közti különbségről az OT végpontvédelemről szóló cikkünk szól.
Ki tartja karban a védelmet az átadás után?
A védelem karbantartást igényel: amikor a berendezés szállítója frissíti a vezérlőszoftvert, az engedélyezőlistát is frissíteni kell. Ezt vállalhatjuk az OT védelmi platform gondozása keretében, egyedi megállapodás alapján, az ügyféllel egyeztetett keretek között. A gondozás riasztásfigyelést nem tartalmaz.
