Biztonságos távoli karbantartói hozzáférés
Rendbe tesszük a beszállítók és karbantartók távoli eléréseit: az egyedi VPN-ek és távelérési szoftverek helyére egyetlen, jóváhagyáshoz kötött és naplózott hozzáférési pont kerül.
Kiinduló helyzet és cél
Sok külön csatornából egy ellenőrzött bejárat
A géptelepítők és a berendezés-szállítók távoli csatornái a leggyakoribb behatolási utak az üzemi hálózatra. Jellemzően minden szállító a saját megoldásával csatlakozik.
A folyamat
A rendbetétel menete
Előbb kiderítjük, ki és hogyan jár be ma, utána építjük ki az új bejáratot, és beszállítónként vezetjük át rá a kapcsolatokat.
-
A meglévő kapcsolatok leltára
Összegyűjtjük, melyik beszállító milyen rendszerhez, milyen csatornán és milyen jogosultsággal fér hozzá. A kiinduló lista ritkán teljes, mert a beszerzés és az IT gyakran külön nyilvántartást vezet.
-
A központi hozzáférési pont
Kiépítjük a jóváhagyásos belépési pontot, az ügyfél környezetétől függően az ipari DMZ-ben. Ezen megy át minden külső fél, és a belépéshez kivétel nélkül MFA kell.
-
Beszállítói hozzáférések
Minden karbantartó személyre szóló, időkorlátos hozzáférést kap, és csak azt éri el, amin dolgoznia kell. A belépések naplózódnak. Amikor egy szállító már az új ponton dolgozik, a régi VPN-jét és távelérési szoftverét az ügyfél lezárhatja.
-
Átadás
Elkészítjük az átadási dokumentációt, és átadjuk a rendszert.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A meglévő távoli kapcsolatok leltára
- Központi, jóváhagyásos hozzáférési megoldás
- Személyre szóló, időkorlátos beszállítói hozzáférések és naplózás
- Átadási dokumentáció
Kapcsolódó szolgáltatások
Ami a külső hozzáférés mellé tartozik
Ezek a szolgáltatások előkészítik vagy kiegészítik a távoli hozzáférés rendezését.
OT-biztonsági felmérés
Kommunikációs térképet készít az OT-hálózatról, a nem dokumentált külső kapcsolatokkal együtt. Ha már megvan, a leltár erre épül.
OT hálózati szegmentáció
A lapos OT-hálózat zónákra bontása, hogy egy kompromittált eszközről ne lehessen az egész üzemre átterjedni. Ebben a szállítói csatorna is a DMZ-be fut.
Adathordozó-ellenőrző állomás
Az üzembe bevitt pendrive-ok, laptopok és fájlok ellenőrzése belépés előtt, arra az esetre, amikor a karbantartó személyesen érkezik.
Zéró bizalmi távoli elérés (ZTNA)
Az irodai oldalon a hagyományos VPN kiváltása alkalmazásszintű hozzáféréssel, a munkatársak távoli eléréséhez.
Belépési pont FortiGate-tel
A központi hozzáférési pont FortiGate tűzfalra is épülhet. A külső fél IPsec VPN-nel csatlakozik rá, a beszállítói forgalom pedig külön zónába kerül. A kapcsolatok naplói FortiAnalyzerbe gyűjthetők, ott egy helyen visszakereshetők.
Gyakori kérdések
Amit a távoli karbantartásról kérdeznek
Miért nem elég erre egy VPN vagy egy ZTNA-megoldás?
Ha a karbantartó VPN-t kap, rálát az üzemi hálózatra. A ZTNA-megoldások jelentős része webes protokollra optimalizált, a régi kliens-szerver alkalmazások támogatása egyenetlen. Ipari környezetben a szállítói hozzáféréshez más eszköz kell: ugródeszka-szerver, a kritikus rendszereknél munkamenet-rögzítéssel. Erről az OT távoli karbantartásáról szóló cikkünkben írtunk.
Miért érdemes a távoli hozzáféréssel kezdeni?
A gyakorlatban ez a legnagyobb konkrét kockázat, és egyben a leggyorsabban javítható terület. A legveszélyesebb kapcsolat gyakran egy kis integrátoré, aki évek óta VPN-nel jár be karbantartani egy berendezést.
Van ennek szabályozási háttere?
A NIS2 az érintett szervezetektől elvárja, hogy kezeljék a beszállítóikkal és szolgáltatóikkal fennálló kapcsolatokból eredő biztonsági kockázatokat. A felelősség akkor is a szervezeté, ha a szállító maga nem tartozik a hatálya alá. A szállítói távoli hozzáférések rendezése ennek a kockázatkezelésnek egy konkrét, technikai része.
Ki kezeli a rendszert az átadás után?
Az átadási dokumentáció alapján a saját csapat is kezelheti. Ha a hozzáférési pont karbantartását ránk bízná, azt egyedi megállapodás alapján, az ügyféllel egyeztetett keretek között vállaljuk.
