Nem-intruzív szkennerek és controlled exploit, elsődleges fókusz az üzemeltetés folytonosságán.
Szolgáltatásunk keretében teljeskörűen feltérképezzük az Ön OT környezetének jelenlegi („as-is”) biztonsági kontrolljait, majd azonosítjuk a hiányzó vagy nem hatékony védelmi rétegeket. A folyamat végén prioritizált kockázatcsökkentési javaslatokat és „to-be” állapotot bemutató tervdokumentumot adunk át.
Az értékelés során automatizált és manuális eszközökkel vizsgáljuk a konfigurációkat, firmware-verziókat és folyamatokat, hogy minden potenciális rést azonosítsunk és megfelelően rangsoroljunk.
Átfogó rálátás az OT-biztonsági kontrollokra és gyenge pontokra
Kockázatalapú prioritások – rövid, közép és hosszú távra
People, Process, Technology hiányosságok feltárása és rangsorolása
Támogatás döntéshozatalhoz – beruházás és ütemezés
Nem-intruzív módszerek, minimális hatás az éles üzemre
Gyors kivitelezés – teljes audit akár 1–2 hét alatt
Műszaki és szervezeti határok kijelölése.
Szabványalapú, OT-specifikus értékelés.
Vezetői és műszaki dokumentáció.
Ez a szolgáltatás különösen értékes az alábbi szektorokban, a sajátos szabályozás, eszközpark és fenyegetési modellek miatt.
Ipari környezetben a sérülékenységvizsgálat nem szkennelést jelent. Az aktív szkenner megbéníthat egy vezérlőt, ezért az azonosítás passzív úton történik, a priorizálás pedig elérhetőség és üzleti hatás szerint.
Passzív felderítéssel rögzítjük a gyártót, típust és a pontos firmware-verziót. A sérülékenység-illesztés ezen múlik: verzió nélkül nincs értékelhető találat.
A verziókat több forrásból illesztjük: gyártói bulletinek, ICS-CERT tanácsadók, NVD és a CISA KEV katalógus. Az utóbbi mutatja meg, mit használnak ténylegesen ki.
A CVSS-pontszám önmagában félrevezető. Azt nézzük, elérhető-e az eszköz a támadó számára, milyen folyamathoz tartozik, és van-e körülötte kompenzáló kontroll.
Ami patchelhető, arra ütemterv a leállási ablakhoz. Ami nem, arra kompenzáló kontroll: szegmentálás, virtuális patch, hozzáférés-korlátozás. Ami egyik sem, arra dokumentált kockázatelfogadás.
Egy ipari környezetben több száz találat jöhet ki. A kezelhető lista úgy áll elő, hogy a pontszám mellé a kontextust is beszámítjuk.
| Szempont | Mit vizsgálunk | Hatás a prioritásra |
|---|---|---|
| Aktív kihasználás | Szerepel-e a CISA KEV listáján | Azonnali prioritás, CVSS-től függetlenül |
| Elérhetőség | Melyik zónából érhető el az eszköz | Izolált zóna: több nagyságrenddel alacsonyabb |
| Kihasználás valószínűsége | EPSS pontszám | 0,01 alatt gyakorlatilag elhanyagolható |
| Folyamat-kritikusság | Mi történik, ha ez az eszköz leáll | SIS és kulcsvezérlő: felfelé sorolva |
| Kompenzáló kontroll | Van-e előtte IPS, szegmentálás | Virtuális patch: prioritás csökkenthető |
| Javíthatóság | Van-e gyártói patch, mikor a leállás | Nem javítható: kontroll-alapú kezelés |
Nem, legalábbis nem a szokásos értelemben. Egy általános hálózati sérülékenység-szkenner képes megbénítani egy régebbi PLC-t azzal, hogy váratlan csomagokat küld neki, ezért ipari környezetben ezt nem alkalmazzuk. A verzióazonosítás passzívan, forgalomelemzésből történik. Ha valahol elkerülhetetlen az aktív ellenőrzés, azt kizárólag laborban vagy tervezett leállás alatt, azonos típusú tartalék eszközön végezzük, előzetes egyeztetéssel.
Ez az ipari környezetek alaphelyzete, nem kivétel. Három válasz létezik. Elsőként a hálózati szintű virtuális patch: az ipari IPS felismeri és blokkolja az adott sérülékenységet célzó forgalmat, miközben az eszköz érintetlen marad. Másodszor a szigorúbb szegmentálás, hogy a sérülékeny eszköz csak a feltétlenül szükséges helyről legyen elérhető. Harmadszor a dokumentált kockázatelfogadás, ami legitim válasz, ha valaki meghozza és aláírja a döntést.
Évente egyszer teljes körűen, illetve minden jelentős változás után: új berendezés telepítése, hálózati átalakítás, gyártói firmware-frissítés. Emellett érdemes negyedévente átnézni, hogy a meglévő eszközökhöz jelent-e meg új sérülékenység, mert az eszközpark ugyan nem változik, a fenyegetési kép igen. Ez utóbbi már nem terepmunka, hanem a leltár és az adatbázisok összevetése.
A sebezhetőség-értékelés azt mutatja meg, milyen ismert hibák vannak a rendszerben, és melyik mennyire sürgős. A penetrációs teszt azt, hogy egy támadó ténylegesen mit ér el velük. OT-környezetben a kettő között nagy a különbség, mert a szegmentálás sok elméletileg súlyos sérülékenységet gyakorlatilag elérhetetlenné tesz. A javasolt sorrend: előbb értékelés, majd a szegmentálás után teszt, ami igazolja, hogy a zónahatárok tényleg tartanak.
Igen. A NIS2 ötödik intézkedési területe (beszerzés, fejlesztés, karbantartás biztonsága) és az IEC 62443-2-3 patch-menedzsment követelménye is a folyamatot kéri számon, nem a nulla sérülékenységet. Egy dokumentált értékelés, priorizálás és kockázatelfogadási döntés megfelelő válasz. A jelentéshez igény szerint megfelelőségi kivonatot is adunk.