Obrona w głąb to zasada, zgodnie z którą bezpieczeństwo powinno pochodzić z wielu niezależnych warstw, tak aby awaria dowolnego pojedynczego mechanizmu nie prowadziła do naruszenia. To stara idea, a w OT nie jest opcjonalna, ponieważ systemy w centrum często w ogóle nie potrafią się bronić.
Sterowniki pozbawione uwierzytelniania, urządzenia, których nie da się aktualizować, oraz protokoły bez szyfrowania przerzucają niemal cały ciężar bezpieczeństwa na otaczające je warstwy. Ten artykuł przygląda się temu, czym są te warstwy, jak się ze sobą łączą i gdzie wśród nich znajduje się ograniczanie osiągalności.
01Najważniejsze wnioski
- 01
Obrona w głąb układa niezależne mechanizmy warstwowo, tak aby żadna pojedyncza awaria nie prowadziła do naruszenia.
- 02
W OT jest niezbędna, ponieważ systemy rdzeniowe często nie są w stanie się chronić.
- 03
Warstwy obejmują bezpieczeństwo fizyczne, segmentację sieci, kontrolę dostępu, monitorowanie i odtwarzanie.
- 04
Transfer jednokierunkowy i odłączanie to potężne warstwy, ponieważ usuwają osiągalność, zamiast jej pilnować.
- 05
Skuteczna obrona w głąb oznacza warstwy, które rzeczywiście się wzajemnie wspierają, a nie wiele mechanizmów w tym samym punkcie.
02Co obrona w głąb oznacza w OT
Obrona w głąb zakłada, że każdy pojedynczy mechanizm może zawieść lub zostać obejściem, i układa wiele warstw tak, aby atakujący musiał pokonać kilka z nich, by odnieść sukces. Siła wynika z niezależności: każda warstwa powinna wychwytywać to, co pomijają pozostałe.
W OT to nie tyle dobra praktyka, ile konieczność. Wytyczne takie jak zalecane praktyki CISA oraz IEC 62443 są zbudowane wokół warstwowości właśnie dlatego, że punkty końcowe, sterowniki i urządzenia, często nie dają się zabezpieczyć bezpośrednio.
Gdy system w centrum nie potrafi się bronić, obroną są otaczające go warstwy.
03Dlaczego pojedyncze mechanizmy zawodzą
Poleganie na jednym mechanizmie jest kruche, ponieważ każdy mechanizm ma swoje tryby awarii. Reguła zapory sieciowej ulega degradacji, poświadczenie zostaje wykradzione, czujnik przeoczy zdarzenie, aktualizacja się opóźnia. Jeśli wszystko zależy od tego jednego mechanizmu, jego awaria oznacza włamanie.
Warstwowość zmienia rachunek. Aby dotrzeć do sterownika, atakujący musi przejść przez granicę sieci, przez segmentację, przez mechanizmy kontroli dostępu, uniknąć wykrycia i tak dalej. Każda niezależna warstwa, którą trzeba pokonać, obniża szansę skutecznego i niewykrytego ataku.
04Warstwy
- Fizyczna
- Kontrola nad tym, kto może fizycznie dotrzeć do urządzeń, portów i nośników, ponieważ dostęp fizyczny często omija każdy mechanizm sieciowy.
- Segmentacja sieci
- Podział środowiska na strefy z kontrolowanymi kanałami, aby incydent nie mógł rozprzestrzeniać się swobodnie.
- Kontrola dostępu
- Ograniczanie tego, kto i co może się łączyć, z silną tożsamością i zasadą najmniejszych uprawnień, również w odniesieniu do dostawców.
- Monitorowanie
- Wgląd w środowisko pozwalający wykrywać anomalie, najlepiej bez tworzenia nowych ścieżek przychodzących.
- Odtwarzanie
- Chronione, przetestowane kopie zapasowe i procedury odbudowy, aby móc przywrócić działanie, jeśli któraś warstwa zostanie naruszona.
05Gdzie znajdują się transfer jednokierunkowy i odłączanie
Większość mechanizmów w stosie obrony w głąb zarządza łącznością lub ją obserwuje. Transfer jednokierunkowy i czasowe odłączanie są inne i potężne, ponieważ usuwają łączność, eliminując całe kategorie ataków, zamiast ich wypatrywać.
Granica jednokierunkowa oznacza, że atakujący nie może przesłać przez nią niczego z powrotem, bez względu na to, co jeszcze zawiedzie. Segmentu odłączonego domyślnie nie da się w ogóle osiągnąć poza jego oknami czasowymi. Wzorzec kontrolowanej łączności AIRGAPNET dodaje warstwę tego rodzaju: sprzętowo wymuszone ograniczenie osiągalności, które utrzymuje się nawet wtedy, gdy otaczające je mechanizmy programowe zawodzą.
Te warstwy są cenne właśnie dlatego, że zawodzą w stanie zamkniętym. Tam, gdzie regułę zapory sieciowej można błędnie skonfigurować na otwartą, usunięta ścieżka pozostaje usunięta.
06Unikanie obrony wszerz
Częstym błędem jest mylenie wielu mechanizmów z obroną w głąb. Piętrzenie kilku narzędzi w tym samym punkcie, gdy wszystkie obserwują tę samą granicę w ten sam sposób, to szerokość, a nie głębokość. Jeśli dzielą tę samą słabość, zawodzą razem.
Prawdziwa głębokość wynika z warstw, które są niezależne i obejmują różne etapy ataku. Sprawdzian jest prosty: jeśli ta warstwa zawiedzie, czy inna rzeczywiście stanie między atakującym a celem? Głębokość czyni realną różnorodność typów mechanizmów, fizyczny, sieciowy, dostępu, monitorowania, odtwarzania.
07Refleksja na koniec
Obrona w głąb to uczciwa odpowiedź na trudną prawdę: w OT systemy, które najbardziej trzeba chronić, często najsłabiej potrafią chronić się same. Odpowiedzią nie jest jeden doskonały mechanizm, lecz zestaw niezależnych warstw, z których każda zakłada, że pozostałe mogą zawieść.
Buduj warstwy z rozmysłem, uczyń je niezależnymi i uwzględnij mechanizmy, które wprost usuwają osiągalność, a nie tylko jej pilnują. Kruchość rdzenia staje się zarządzalna, gdy otaczające go warstwy są silne, różnorodne i zaprojektowane tak, by zawodzić w stanie zamkniętym.
FAQNajczęściej zadawane pytania
Czym jest obrona w głąb w OT?
Obrona w głąb to zasada stosowania wielu niezależnych warstw bezpieczeństwa, tak aby awaria dowolnego pojedynczego mechanizmu nie prowadziła do naruszenia. W OT jest niezbędna, ponieważ rdzeniowe sterowniki i urządzenia często nie potrafią bronić się bezpośrednio.
Jakie są warstwy obrony w głąb dla OT?
Obejmują bezpieczeństwo fizyczne, segmentację sieci, kontrolę dostępu, monitorowanie i odtwarzanie. Każda warstwa powinna być niezależna i pokrywać inny etap ataku, aby pozostałe wychwytywały to, co którakolwiek z nich pominie.
Dlaczego pojedynczy mechanizm bezpieczeństwa nie wystarcza w OT?
Każdy mechanizm ma tryby awarii: reguły ulegają degradacji, poświadczenia są wykradane, wykrywanie pomija zdarzenia, aktualizacje się opóźniają. Jeśli wszystko zależy od jednego mechanizmu, jego awaria oznacza włamanie. Warstwowość zmusza atakującego do pokonania kilku niezależnych mechanizmów.
Gdzie w obronie w głąb mieszczą się transfer jednokierunkowy i odłączanie?
To potężne warstwy, ponieważ usuwają łączność, zamiast jej pilnować, eliminując całe kategorie ataków. Granica jednokierunkowa nie może przenosić ruchu z powrotem, a segmentu odłączonego domyślnie nie da się osiągnąć poza jego oknami czasowymi, więc zawodzą w stanie zamkniętym.
Jaka jest różnica między obroną w głąb a obroną wszerz?
Obrona wszerz piętrzy wiele mechanizmów w tym samym punkcie, obserwujących tę samą granicę w ten sam sposób, więc mogą zawieść razem. Obrona w głąb wykorzystuje niezależne warstwy pokrywające różne etapy ataku, więc jeśli jedna zawiedzie, inna wciąż stoi na drodze.
SRCŹródła referencyjne
Warstwy, które zawodzą w stanie zamkniętym
Dodaj warstwę, która usuwa osiągalność, zamiast jej pilnować.
Uzupełnij segmentację, kontrolę dostępu i monitorowanie o sprzętowo wymuszone granice jednokierunkowe lub odłączone domyślnie, które utrzymują się nawet wtedy, gdy mechanizmy programowe zawodzą.