Projektowanie przemysłowej strefy DMZ: budowa strefy buforowej OT/IT na poziomie 3.5

01Najważniejsze wnioski

1. 01

   Przemysłowa strefa DMZ to sieć buforowa na poziomie 3.5 modelu Purdue, która pośredniczy w wymianie danych między IT a OT, tak aby żadna ze stron nie łączyła się bezpośrednio z drugą.

2. 02

   Podstawową zasadą projektową jest brak przelotu: sesja kończy się wewnątrz DMZ, a nowa, osobno autoryzowana sesja jest kontynuowana, dzięki czemu nie ma prostej ścieżki z poziomu 4 do poziomu 2.

3. 03

   Hostuj w DMZ właściwe usługi: mirror łatek i ochrony antywirusowej, replikę historiana, brokera zdalnego dostępu, przekaźnik transferu plików oraz replikowane usługi katalogowe lub czasu.

4. 04

   Zarówno przewody IEC 62443, jak i NIST SP 800-82 zakładają istnienie tego bufora; DMZ to miejsce, w którym wiele decyzji dotyczących stref i przewodów staje się konkretnymi regułami zapory i hostami.

5. 05

   W przypadku przepływów wyłącznie publikujących z OT, takich jak eksport z historiana czy logów, ścieżka jednokierunkowa ogranicza osiągalność przychodzącą, na którą DMZ z podwójną zaporą technicznie nadal pozwala.

02Czym jest przemysłowa strefa DMZ

Przemysłowa strefa DMZ, zapisywana czasem jako IDMZ lub OT DMZ, to dedykowany segment sieci oddzielający korporacyjną sieć IT od sieci technologii operacyjnej. W modelu referencyjnym Purdue znajduje się na poziomie 3.5, między poziomem 3 (operacje zakładowe, w tym historiany i systemy inżynierskie) a poziomami 4 i 5 (systemy biznesowe i korporacyjne). To jedyne miejsce, w którym IT i OT mogą wymieniać dane.

Cechą definiującą nie jest liczba zapór ani schemat VLAN. Jest nią zasada, że żadne urządzenie w OT nie komunikuje się bezpośrednio z urządzeniem w IT, i odwrotnie. Każdy przepływ przekraczający granicę najpierw trafia na host wewnątrz DMZ. Host ten ponownie inicjuje ruch. W efekcie powstają dwie krótkie, kontrolowane rozmowy zamiast jednej długiej, prowadzonej od końca do końca.

W skrócie: przemysłowa strefa DMZ to strefa buforowa, w której IT i OT spotykają się poprzez brokery i replikowane kopie, nigdy poprzez bezpośrednie połączenie między dwiema sieciami.

03Dlaczego strefa buforowa ma znaczenie

Sieci operacyjne budowano z myślą o niezawodności i długiej żywotności, a nie o przeciwnikach. Wiele z nich pracuje na starszych protokołach bez uwierzytelniania, korzysta z urządzeń, których nie da się aktualizować w normalnym cyklu, oraz ze sprzętu pozostającego w eksploatacji przez piętnaście lat lub dłużej. Najtańszym sposobem ich ochrony jest zadbanie o to, by ataki w ogóle do nich nie dotarły.

Rzeczywiste włamania to potwierdzają. MITRE ATT&CK for ICS kataloguje techniki takie jak wykorzystywanie usług zdalnych oraz ruch boczny przez inżynierskie stacje robocze i narzędzia zdalnego dostępu. Techniki te zależą od użytecznej ścieżki sieciowej od skompromitowanego przyczółka do systemu sterowania. Przemysłowa strefa DMZ istnieje po to, by tę ścieżkę przerwać. Jeśli maszyna korporacyjna zostanie skompromitowana, atakujący dociera do granicy DMZ i znajduje brokera, a nie zakład.

To także moment, w którym model staje się konkretny. Artykuły o modelu Purdue oraz o strefach i przewodach IEC 62443 wyjaśniają, dlaczego ta granica powinna istnieć. Ten artykuł opisuje, jak zbudować granicę tak, aby to wyjaśnienie przetrwało zetknięcie z rzeczywistym zestawem reguł zapory i rzeczywistym wnioskiem o zmianę.

04Architektura referencyjna: podwójne zapory i hosty-brokery

Powszechny projekt referencyjny wykorzystuje DMZ z podwójną zaporą: jedna zapora zwrócona jest ku IT, druga ku OT, a DMZ znajduje się między nimi. Dwie zapory od różnych producentów zmniejszają ryzyko, że pojedynczy błąd lub błędna konfiguracja otworzy obie granice naraz. Pojedyncza zapora z trzema lub więcej interfejsami to tańszy wariant, ale koncentruje całą granicę w jednym urządzeniu i jednym zestawie reguł.

Wewnątrz DMZ znajdują się hosty brokerów i replik. Broker kończy połączenie z jednej strony i inicjuje nowe z drugiej, stosując własne uwierzytelnianie i inspekcję. Replika przechowuje kopię danych, którą jedna strona odczytuje zamiast sięgać przez granicę. Żaden z tych wzorców nie pozwala, by pakiet z poziomu 4 trafił na urządzenie poziomu 2. Kardynalna zasada, powtarzana w wytycznych CISA i ISA, mówi, że żaden protokół nie przechodzi przez DMZ nietknięty.

Zapora od strony IT

Ogranicza, które korporacyjne hosty i usługi mogą docierać do brokerów i replik w DMZ, oraz blokuje wszystko inne przychodzące do DMZ.

Zapora od strony OT

Ogranicza, które hosty DMZ mogą docierać do których stref i usług OT, oraz odmawia każdego przepływu, który pozwoliłby ruchowi IT dotrzeć do OT bezpośrednio.

Host-broker

Kończy sesję i inicjuje ją ponownie, dzięki czemu ścieżka od końca do końca zostaje podzielona na dwa osobno autoryzowane odcinki.

Host-replika

Przechowuje kopię danych OT, takich jak zapisy historiana, którą IT odczytuje bez łączenia się ze strefą OT.

05Które usługi należą do DMZ

DMZ jest przydatna tylko wtedy, gdy hostuje usługi, które w przeciwnym razie kusiłyby do otwarcia bezpośredniej reguły IT-OT. Najpierw zidentyfikuj każdą potrzebę przekraczania granicy, a następnie umieść w strefie buforowej brokera lub replikę dla każdej z nich.

• Przygotowanie łatek i ochrony antywirusowej: wewnętrzny mirror pobierający aktualizacje z IT, z którego systemy OT następnie odczytują dane w DMZ, tak aby OT nigdy nie sięgało bezpośrednio do internetu ani do korporacyjnego serwera aktualizacji.
• Replika historiana: kopia danych historiana zakładowego umieszczona w DMZ na potrzeby raportowania i analityki, tak aby użytkownicy biznesowi odpytywali replikę, a nigdy podstawowy historian w OT.
• Broker zdalnego dostępu: utwardzony host pośredniczący (jump host) lub brama, w której sesje dostawców i inżynierów są kończone, uwierzytelniane i rejestrowane, zanim osobna sesja jest kontynuowana do OT.
• Przekaźnik transferu plików: serwer pośredniczący do przenoszenia plików inżynierskich, konfiguracji i raportów, zastępujący bezpośrednie udziały między dwiema sieciami.
• Replikowany katalog i czas: kontroler domeny tylko do odczytu oraz źródło NTP, tak aby uwierzytelnianie i zegary OT nie zależały od aktywnego łącza do domeny korporacyjnej.
• Reverse proxy lub przekaźnik webowy: dla każdego HMI lub pulpitu, który musi być podglądany z IT, prezentowanego przez proxy w DMZ, zamiast wystawiania hosta OT.

Utrzymuj DMZ na minimalnym poziomie. Każdy dodany host to kolejny zasób do łatania, monitorowania i utwardzania. Jeśli usługa nie musi łączyć IT i OT, nie należy do strefy buforowej.

06Praktyczne zasady projektowe budowy

Diagram architektury jest łatwy. Trudna jest dyscyplina. Te zasady sprawiają, że przemysłowa strefa DMZ nie osuwa się po cichu w płaski segment z zaporą z przodu.

• Brak przelotu: nigdy nie zapisuj reguły, która pozwala podsieci IT dotrzeć do podsieci OT, nawet przez DMZ. Ruch musi kończyć się na hoście DMZ i być ponownie inicjowany.
• Brak hostów o podwójnym przyłączeniu (dual-homed): serwer DMZ nie może mieć jednego interfejsu w IT, a drugiego w OT. Pojedynczy interfejs sieciowy mostkujący obie granice niweczy cały projekt.
• Domyślna odmowa w obu kierunkach, przy czym każdy dozwolony przepływ jest udokumentowany aż do źródła, celu, portu i uzasadnienia biznesowego.
• Inicjuj na zewnątrz tam, gdzie to możliwe: preferuj przepływy inicjowane wychodząco przez OT lub DMZ, a nie sesje inicjowane przez IT przychodząco w stronę OT.
• Oddziel płaszczyznę zarządzania: administruj hostami DMZ i zaporami przez dedykowaną, odizolowaną ścieżkę, tak aby zarządzanie nigdy nie stało się ukrytym kanałem obejściowym przez granicę.
• Traktuj DMZ jako niezaufaną przez obie strony: OT nie ufa DMZ, a IT nie ufa DMZ, dzięki czemu skompromitowany broker nadal nie może swobodnie sięgnąć do OT.

Jeśli potrafisz narysować pojedynczą sesję TCP, która zaczyna się na hoście poziomu 4 i kończy na urządzeniu poziomu 2, DMZ zawiodła, niezależnie od tego, ile zawiera zapór.

07Jak DMZ mapuje się na standardy i zgodność

Przemysłowa strefa DMZ nie jest opcjonalnym udoskonaleniem; główne ramy bezpieczeństwa OT ją zakładają. NIST SP 800-82 Rev. 3 opisuje segmentację sieci oraz DMZ między sieciami korporacyjnymi a sterowania jako podstawowy element kontroli architektonicznej. ISA/IEC 62443 wyraża tę samą ideę jako strefy i przewody: DMZ to zbiór stref, a każdy dozwolony przepływ to zdefiniowany, monitorowany przewód.

Mapowanie jest przydatne, bo zamienia abstrakcyjne wymagania w konkretne artefakty. Wymaganie systemowe 62443-3-3 dotyczące ochrony granicy strefy staje się regułą zapory i hostem-brokerem. Ocena ryzyka przypisująca poziom bezpieczeństwa strefie OT staje się rygorem reguł przewodu na krawędzi DMZ. Audytorzy i regulatorzy, w tym stosujący unijną dyrektywę NIS2 i przepisy sektorowe, coraz częściej oczekują, że ta dokumentacja istnieje i odpowiada rzeczywistej konfiguracji.

NIST SP 800-82 Rev. 3

Zaleca DMZ między sieciami korporacyjnymi a sterowania oraz segmentację sieci w celu ograniczenia osiągalności OT.

Strefy i przewody ISA/IEC 62443

Modeluje DMZ jako strefy połączone zdefiniowanymi przewodami, z których każdy przenosi tylko przepływy dozwolone przez jego poziom ryzyka.

Wytyczne CISA dotyczące obrony w głąb

Traktuje DMZ jako jedną z wielu warstw, w połączeniu z monitorowaniem, utwardzaniem i dostępem o najmniejszych uprawnieniach.

08Częste pułapki, które wydrążają DMZ

Większość nieudanych przemysłowych stref DMZ została zbudowana poprawnie, a następnie uległa erozji. Architektura pozostaje na diagramie, podczas gdy zestaw reguł dryfuje. Oto wzorce, na które trzeba uważać i które warto audytować.

• Pełzanie reguł: seria tymczasowych reguł any-to-any lub szerokich wyjątków, które stopniowo zamieniają strefę buforową w ścieżkę tranzytową.
• Reguły przelotowe zamaskowane jako przepływy DMZ: reguła, która technicznie odwołuje się do podsieci DMZ, ale w rzeczywistości pozwala IT dotrzeć do adresów OT.
• Hosty o podwójnym przyłączeniu lub mostkujące dodane dla wygody, takie jak serwer kopii zapasowych czy laptop dostawcy z interfejsami w dwóch strefach.
• Narzędzie zarządzania lub monitorowania sięgające z IT prosto do OT, ponownie wprowadzając dokładnie tę ścieżkę, którą DMZ usunęła.
• Niezałatane, niemonitorowane hosty DMZ, które stają się poligonem atakującego, ponieważ strefę buforową potraktowano jako niskiego ryzyka.
• Zaufanie DMZ tak, jakby była OT, przez co pojedynczy skompromitowany broker daje szeroki dostęp w głąb.

Obroną jest okresowa weryfikacja, a nie jednorazowy przegląd projektu. Ponownie wyprowadź dozwolone przepływy z konfiguracji zapory i potwierdź, że żaden z nich nie opisuje bezpośredniej rozmowy IT-OT.

09Gdzie transfer jednokierunkowy pasuje w strefie buforowej

DMZ z podwójną zaporą ogranicza osiągalność, ale jej nie eliminuje. Każdy dozwolony przepływ nadal jest ścieżką, którą polityka, poświadczenie lub kompromitacja mogą uczynić dwukierunkową. W przypadku przepływów, które zawsze muszą iść tylko w jedną stronę, strefę buforową można wzmocnić, całkowicie usuwając ścieżkę powrotną, zamiast ją filtrować.

Przewody wyłącznie publikujące są naturalnymi kandydatami. Eksport z historiana do repliki w DMZ, przekazywanie logów i zdarzeń do SOC oraz replikacja kopii zapasowych na zewnątrz mają jedną wspólną cechę: OT publikuje, IT konsumuje, a OT nigdy nie powinno otrzymać sesji zwrotnej. Umieszczenie ścieżki transferu jednokierunkowego na tych przewodach oznacza, że trasa przychodząca nie istnieje i nie da się jej nadużyć, co jest silniejszą gwarancją niż reguła zapory, która jedynie obiecuje jej nie zezwalać.

Używaj brokerów dla przewodów, które wymagają rozmowy, i transferu jednokierunkowego dla przewodów, które wymagają jedynie publikacji. DMZ to miejsce, w którym decydujesz przepływ po przepływie, który jest który.

10Walidacja i plan budowy

Buduj DMZ jako sekwencję, a nie jako pojedyncze przełączenie. Zacznij od inwentaryzacji każdego istniejącego przepływu IT-OT, ponieważ nie da się zastąpić ścieżek, których nie znaleziono. Następnie umieść brokery i repliki dla każdej uzasadnionej potrzeby, przenieś na nie przepływy i dopiero wtedy usuń stare bezpośrednie reguły.

• Zinwentaryzuj i udokumentuj każdy obecny przepływ przekraczający granicę, w tym te nieudokumentowane, znalezione poprzez inspekcję ruchu.
• Postaw segment DMZ, obie zapory oraz linię bazową z domyślną odmową, zanim dodasz jakikolwiek host.
• Wdrażaj brokery i repliki po jednej usłudze naraz, walidując każdą w oknie serwisowym.
• Przenieś każdy przepływ do jego brokera lub repliki, a następnie usuń odpowiadającą mu bezpośrednią regułę.
• Zweryfikuj, że nie pozostała żadna bezpośrednia ścieżka, śledząc przepływy z konfiguracji zapory, a nie z diagramu.
• Dodaj ciągłe monitorowanie hostów DMZ i ruchu na granicy oraz zaplanuj cykliczne przeglądy zestawu reguł.

Planuj też długoterminowo. Wraz ze wzrostem zapotrzebowania na dane OT opieraj się pokusie dodawania bezpośrednich reguł pod presją terminu. Zamiast tego dodaj brokera lub replikę. Dyscyplina kierowania każdego nowego wymagania przez strefę buforową jest tym, co sprawia, że DMZ pozostaje sensowna pięć lat po jej zbudowaniu.

11Myśl na koniec

Przemysłowa strefa DMZ działa, ponieważ zmienia pytanie z „jaki ruch dopuszczamy między IT a OT?” na „jak IT uzyskuje potrzebne dane, nigdy nie dotykając OT?”. Pierwsze pytanie zaprasza wyjątki. Drugie wymusza brokery, repliki i ścieżki jednokierunkowe, z których żadne nie pozostawia prostej linii do zakładu.

Buduj ją przepływ po przepływie, host po hoście, i weryfikuj z konfiguracji, a nie z diagramu. Nagroda jest konkretna: gdy maszyna korporacyjna zostaje skompromitowana, atakujący dociera do strefy buforowej i zatrzymuje się, ponieważ ścieżki, na którą liczył, nigdy tam nie było.

FAQNajczęściej zadawane pytania

SRCŹródła referencyjne