Inwentaryzacja zasobów OT: nie ochronisz tego, czego nie widzisz

01Najważniejsze wnioski

1. 01

   Dokładna inwentaryzacja zasobów to fundament, od którego zależy każdy inny mechanizm bezpieczeństwa OT.

2. 02

   Inwentaryzacja OT jest trudna, ponieważ wrażliwe urządzenia mogą zostać zakłócone przez aktywne skanowanie, na którym opiera się IT.

3. 03

   Pasywne wykrywanie, czyli obserwowanie ruchu zamiast sondowania, to bezpieczniejszy sposób na znalezienie zasobów OT.

4. 04

   Użyteczna inwentaryzacja obejmuje coś więcej niż listę: funkcję, łączność, krytyczność i zależności.

5. 05

   Inwentaryzacja nie jest celem samym w sobie; jej wartość tkwi w napędzaniu segmentacji i redukcji ekspozycji.

02Dlaczego inwentaryzacja jest fundamentem

Nie ochronisz, nie posegmentujesz, nie zaktualizujesz ani nie zmonitorujesz czegoś, o czego istnieniu nie wiesz. Każda znacząca decyzja dotycząca bezpieczeństwa w OT zależy od znajomości zaangażowanych zasobów i właśnie dlatego ramy i standardy konsekwentnie umieszczają zarządzanie zasobami na samym początku procesu.

Niekompletna inwentaryzacja podważa wszystko, co jest na niej zbudowane. Nieznane zasoby są z definicji niesegmentowane, niemonitorowane i nieaktualizowane, a często to właśnie od nich zaczynają się incydenty. Inwentaryzacja to nie papierologia; to mapa, bez której reszta programu jest zgadywaniem.

Każdy inny mechanizm po cichu zakłada, że inwentaryzacja jest kompletna. Tam, gdzie nie jest, mechanizmy te mają martwe pola.

03Dlaczego inwentaryzacja zasobów OT jest trudna

W IT budowanie inwentaryzacji często oznacza aktywne skanowanie sieci. W OT takie podejście może być niebezpieczne. Wrażliwe urządzenia mogą źle zareagować na nieoczekiwane sondowanie, a znane są przypadki, gdy aktywne skanowanie zakłóciło lub unieruchomiło sprzęt przemysłowy.

• Starsze urządzenia mogą zostać zdestabilizowane przez skanowanie, do obsługi którego nigdy nie były zaprojektowane.
• Systemy czasu rzeczywistego nie tolerują zakłóceń, które może powodować aktywne sondowanie.
• Wiele urządzeń nie zgłasza się w sposób oczekiwany przez narzędzia IT.
• Środowiska są zróżnicowane, ze sprzętem od wielu dostawców i z różnych epok.
• Nieudokumentowane zmiany kumulują się przez lata, więc zapisy rozjeżdżają się z rzeczywistością.

04Pasywne wykrywanie

Bezpieczniejsze podejście do wykrywania zasobów OT jest pasywne: obserwuj ruch już płynący w sieci i wnioskuj, jakie urządzenia istnieją, na podstawie tego, co mówią, zamiast aktywnie je sondować.

Monitorowanie pasywne nasłuchuje komunikacji przemysłowej i buduje obraz zasobów, protokołów i połączeń, nie wstrzykując ruchu, który mógłby zakłócić działanie. Nie jest ono natychmiastowe ani doskonałe, ciche urządzenia ujawniają niewiele, ale jest to odpowiedni dla OT sposób uzyskania widoczności bez narażania procesu na ryzyko.

05Co należy zarejestrować

Użyteczna inwentaryzacja to coś więcej niż lista adresów. Aby napędzać decyzje dotyczące bezpieczeństwa, musi rejestrować, czym jest każdy zasób, co robi i jak wpisuje się w środowisko.

• Tożsamość i typ: czym jest urządzenie, jego dostawca i rola.
• Funkcja i krytyczność: co robi i jak bardzo liczyłoby się jego naruszenie.
• Łączność: z czym się komunikuje i za pomocą jakich protokołów.
• Ekspozycja: czy i w jaki sposób jest osiągalne z mniej zaufanych sieci.
• Zależności: co od niego zależy, aby zmiany nie zakłóciły działania.

06Wykorzystanie inwentaryzacji do napędzania redukcji ekspozycji

Inwentaryzacja przynosi wartość tylko wtedy, gdy prowadzi do działania. Jej najpotężniejszym zastosowaniem jest ujawnienie, gdzie ekspozycja jest zbędna: zasoby osiągalne, choć nie muszą być, połączenia istniejące z przyzwyczajenia oraz ścieżki, których nie powinno być.

Gdy inwentaryzacja pokaże, czego potrzebuje każdy zasób i w jaki sposób jest osiągalny, ekspozycję można redukować w sposób przemyślany. W przypadku zasobów, które nie potrzebują ciągłej łączności, wzorzec kontrolowanej łączności AIRGAPNET może utrzymywać je domyślnie odłączone i osiągalne tylko wtedy, gdy jest to wymagane, przekształcając widoczność zapewnianą przez inwentaryzację w konkretną redukcję powierzchni ataku.

07Utrzymywanie aktualności inwentaryzacji

Inwentaryzacja jest użyteczna tylko o tyle, o ile jest dokładna, a środowiska OT się zmieniają: urządzenia są dodawane, wymieniane i rekonfigurowane w toku długich cykli życia. Jednorazowa inwentaryzacja szybko degraduje się do mylącej migawki.

• Stosuj ciągłe monitorowanie pasywne, aby nowe i zmienione zasoby były zauważane.
• Zintegruj inwentaryzację z procesami zarządzania zmianą, aby dodania były rejestrowane.
• Regularnie przeglądaj i uzgadniaj inwentaryzację z rzeczywistością.
• Oznaczaj nieoczekiwane nowe zasoby jednocześnie jako aktualizację inwentaryzacji i możliwe zdarzenie bezpieczeństwa.

08Myśl na zakończenie

Inwentaryzacja zasobów to najmniej efektowna i najbardziej fundamentalna część bezpieczeństwa OT. Sama w sobie nie powstrzyma ataku, ale bez niej nic innego nie działa dobrze, ponieważ każdy inny mechanizm jest kształtowany przez to, co uważasz, że znajduje się w sieci.

Zbuduj inwentaryzację bezpiecznie za pomocą pasywnego wykrywania, zarejestruj wystarczająco dużo, by podejmować decyzje, utrzymuj ją aktualną, a przede wszystkim wykorzystuj ją do redukcji ekspozycji. Zobaczenie tego, co masz, to pierwszy krok; wartość bierze się z działania na podstawie tego, co widzisz.

FAQNajczęściej zadawane pytania

SRCŹródła referencyjne