Monitorowanie sieci OT: detekcja pasywna bez zwiększania powierzchni ataku

01Najważniejsze wnioski

1. 01

   Monitorowanie sieci OT jest w większości pasywne: obserwuje kopię ruchu zamiast sondować działające systemy sterowania, ponieważ aktywne skanowanie może zakłócić działanie wrażliwych urządzeń.

2. 02

   Monitorowanie pasywne dostarcza inwentaryzację zasobów, tworzenie punktu odniesienia z uwzględnieniem protokołów oraz wykrywanie anomalii i zagrożeń ze źródła SPAN lub TAP, bez agentów na sterownikach PLC czy RTU.

3. 03

   Skuteczna detekcja w OT łączy behawioralne tworzenie punktu odniesienia z sygnaturami znanych zagrożeń oraz mapowaniem na techniki MITRE ATT&CK for ICS.

4. 04

   Standardy tego oczekują: zarówno NIST SP 800-82 Rev. 3, jak i ISA/IEC 62443 wymagają ciągłego monitorowania zaprojektowanego wokół bezpieczeństwa i dostępności OT.

5. 05

   Sam stos monitorujący stanowi powierzchnię ataku. Wysyłanie jego danych na zewnątrz za pomocą transferu jednokierunkowego utrzymuje SOC poinformowany, nie otwierając ścieżki przychodzącej do strefy OT.

02Czym jest monitorowanie sieci OT

Monitorowanie sieci OT to ciągła obserwacja ruchu, urządzeń i zachowań wewnątrz sieci technologii operacyjnej. Obejmuje systemy, które sterują procesami fizycznymi: sterowniki programowalne (PLC), zdalne jednostki terminalowe (RTU), interfejsy człowiek-maszyna (HMI), stacje inżynierskie, historiany oraz protokoły, które je łączą.

Cel jest trojaki: wiedzieć, co znajduje się w sieci, wiedzieć, jak zwykle się komunikuje, i wiedzieć, kiedy coś odbiega od normy. W IT jest to rutyna. W OT zasoby są często stare, nieudokumentowane, nietolerujące nieoczekiwanego ruchu i powiązane z bezpieczeństwem oraz dostępnością, więc metoda monitorowania ma takie samo znaczenie jak dane, które ona wytwarza.

Krótko mówiąc: monitorowanie sieci OT to widoczność i detekcja w środowisku przemysłowym realizowane bez pogarszania działania procesu, który obserwują.

03Dlaczego monitorowanie OT jest domyślnie pasywne

Narzędzia bezpieczeństwa IT często wykrywają zasoby, aktywnie je skanując: wysyłając sondy i odczytując odpowiedzi. W OT takie podejście niesie realne ryzyko. Wiele urządzeń sterujących ma niewielkie stosy sieciowe i ograniczoną rezerwę mocy obliczeniowej. Znane są przypadki, gdy agresywne skanowanie portów lub zniekształcona sonda powodowały awarię sterowników PLC, wyzwolenie funkcji bezpieczeństwa lub zakłócenia procesu.

Monitorowanie pasywne unika tego, nigdy nie inicjując ruchu w kierunku urządzeń sterujących. Odbiera lustrzaną kopię ruchu sieciowego i analizuje ją poza pasmem. Na przewód nie jest wstrzykiwane nic nowego, więc nie ma żadnej sondy, która mogłaby zdestabilizować wrażliwy punkt końcowy. NIST SP 800-82 Rev. 3 wyraźnie preferuje techniki pasywne w OT i traktuje aktywne skanowanie jako coś, co należy stosować ostrożnie, jeśli w ogóle, i najlepiej wyłącznie w oknach testowych lub konserwacyjnych.

Monitorowanie pasywne

Analizuje kopię istniejącego ruchu z portu TAP lub SPAN. Nie dodaje żadnych pakietów do sieci OT i nie może zakłócić pracy punktów końcowych.

Aktywne skanowanie

Wysyła zapytania do urządzeń w celu ich wykrycia i identyfikacji. Szybsze i bogatsze, ale może zakłócić działanie wrażliwych zasobów OT i zwykle jest ograniczone do kontrolowanych okien.

Selektywne odpytywanie

Wąska, uwzględniająca specyfikę producenta forma aktywnego zapytania, stosowana oszczędnie w celu wzbogacenia danych pasywnych, z zachowawczym doborem czasu i wyraźnym zatwierdzeniem zasobów.

04Dlaczego widoczność jest fundamentem obrony OT

Obrońcy nie mogą reagować na aktywność, której nigdy nie zaobserwują. Większość środowisk OT rozrastała się przez dziesięciolecia, a zasoby dodawali różni integratorzy, dostawcy i zmiany. W rezultacie powstają sieci, w których nikt nie dysponuje kompletną, aktualną inwentaryzacją. Monitorowanie jest sposobem, w jaki ta inwentaryzacja staje się rzeczywista i pozostaje aktualna.

Widoczność stanowi także podstawę detekcji. Incydenty takie jak ataki na ukraińską sieć energetyczną z lat 2015 i 2016 oraz atak TRITON/TRISIS z 2017 roku na system bezpieczeństwa oparty na oprzyrządowaniu (SIS) pokazały, że przeciwnicy działają wewnątrz sieci OT przez tygodnie, zanim przejdą do działania. Wykorzystują legalne protokoły inżynierskie i skradzione poświadczenia, więc wtapiają się w tło. Bez monitorowania na poziomie ruchu ta aktywność pozostaje niewidoczna, dopóki proces nie zostanie już dotknięty.

Monitorowanie pasywne jest również jednym z niewielu środków kontroli, który nie zależy od instalowania poprawek. Tam, gdzie zasobu nie da się załatać ani utwardzić, obserwowanie jego zachowania jest często najbardziej realistycznym dostępnym środkiem kompensującym.

05Jak działa pasywne monitorowanie OT

Monitorowanie pasywne zaczyna się na warstwie fizycznej. Sieciowy TAP lub port SPAN/mirror przełącznika wytwarza kopię ruchu przechodzącego przez dany segment. Ta kopia jest przekazywana do sensora, który przeprowadza głęboką inspekcję pakietów (DPI) protokołów przemysłowych, takich jak Modbus/TCP, EtherNet/IP, DNP3, PROFINET, OPC UA, IEC 60870-5-104 oraz S7comm.

Z tego ruchu sensor wyodrębnia zasoby, relacje komunikacyjne i zmienne procesowe. Uczy się punktu odniesienia normalnego zachowania: które urządzenia rozmawiają z którymi, za pomocą jakich protokołów, w jakiej kolejności i z jaką częstotliwością. Gdy punkt odniesienia zostanie ustalony, odchylenia stają się zdarzeniami, które mogą wywołać alarm. Analiza odbywa się poza ścieżką produkcyjną, więc sieć OT nigdy nie czeka na system monitorujący.

• Przechwytywanie: port TAP lub SPAN kopiuje ruch do sensora, nie dotykając punktów końcowych.
• Analiza składni: głęboka inspekcja pakietów dekoduje protokoły przemysłowe aż do kodów funkcji i wartości procesowych.
• Inwentaryzacja: zasoby, wersje firmware i konwersacje są wykrywane na podstawie obserwowanego ruchu.
• Punkt odniesienia: sensor modeluje normalne wzorce komunikacji w okresie uczenia.
• Detekcja: anomalie, sygnatury znanych zagrożeń i naruszenia polityki są oznaczane dla analityków.
• Przekazywanie: wzbogacone alerty i metadane są wysyłane do systemu SIEM, historiana lub SOC w celu korelacji.

06Co faktycznie wykrywa monitorowanie OT

Dobre monitorowanie OT łączy dwa style detekcji. Detekcja behawioralna oznacza odchylenia od wyuczonego punktu odniesienia: nowe urządzenie, nieoczekiwaną konwersację, polecenie inżynierskie z nietypowego hosta lub pobranie konfiguracji poza oknem konserwacyjnym. Detekcja sygnaturowa dopasowuje ruch do znanych wskaźników i wzorców nadużyć protokołów.

Najbardziej użyteczne platformy mapują wyniki na MITRE ATT&CK for ICS, dzięki czemu analitycy mogą rozumować w kategoriach zachowań przeciwnika zamiast surowych pakietów. Techniki warte obserwacji obejmują nieautoryzowane połączenia inżynierskie, pobieranie programów i modyfikację logiki sterowania, manipulację obrazem wejść/wyjść, odmowę usługi wymierzoną w sterowniki oraz utratę wglądu lub utratę kontroli, które często poprzedzają fizyczne skutki.

• Nowe lub nieautoryzowane zasoby pojawiające się w segmencie, który powinien być statyczny.
• Polecenia protokołów inżynierskich (przesyłanie/pobieranie programu, stop/start) z nieoczekiwanych źródeł.
• Zmiany logiki PLC, wartości zadanych lub konfiguracji wejść/wyjść.
• Poświadczenia w postaci jawnej, protokoły bez szyfrowania i słabe uwierzytelnianie na kanałach komunikacyjnych.
• Skanowanie, ataki siłowe lub fuzzing protokołów pochodzące z wnętrza strefy OT.
• Komunikacja przekraczająca granice stref, której polityka segmentacji powinna zabraniać.

07Projektowanie architektury monitorowania według stref

Rozmieszczenie sensorów wynika z architektury sieci, a nie odwrotnie. ISA/IEC 62443 organizuje OT w strefy i kanały komunikacyjne, a model Purdue układa zakład warstwowo od urządzeń polowych aż po systemy korporacyjne. Skuteczne monitorowanie umieszcza sensory tam, gdzie przechodzi najbardziej istotny z punktu widzenia bezpieczeństwa ruch: na kanałach między strefami, na granicy między siecią sterowania a strefą DMZ oraz wewnątrz krytycznych komórek.

Sprzętowe podsłuchy TAP są korzystniejsze od portów SPAN w przypadku łączy o dużym znaczeniu, ponieważ są odporne na awarie, nie gubią ramek pod obciążeniem i nie mogą zostać przekonfigurowane przez skompromitowany przełącznik. Porty SPAN są wygodne i akceptowalne dla segmentów o niższej krytyczności, w których okazjonalna utrata ramek jest tolerowana. Tam, gdzie to możliwe, interfejs przechwytujący sensora powinien być na warstwie fizycznej wyłącznie odbiorczy, tak aby sam sensor nie mógł nadawać do monitorowanej sieci.

Sensor monitorujący z interfejsem zarządzania zdolnym do nadawania po stronie OT stanowi nowy punkt przerzutowy. Traktuj sensor jako zasób, który należy chronić, a nie tylko jako narzędzie chroniące inne.

08Jak odnosi się to do standardów i zgodności

Ciągłe monitorowanie nie jest opcjonalne w świetle obecnych ram regulacyjnych. NIST SP 800-82 Rev. 3 bazuje na rodzinach kontroli SP 800-53, w tym na rodzinach audytu i rozliczalności (AU) oraz integralności systemu i informacji (SI), i dostosowuje je do ograniczeń OT. ISA/IEC 62443-3-3 definiuje wymagania systemowe, które obejmują wykrywanie zdarzeń bezpieczeństwa oraz ciągłe monitorowanie kanałów komunikacyjnych.

Regulacje sektorowe wzmacniają to podejście. W północnoamerykańskich systemach elektroenergetycznych dużej mocy standardy NERC CIP, takie jak CIP-007, wymagają monitorowania zdarzeń bezpieczeństwa w objętych nimi systemach cybernetycznych. W UE dyrektywa NIS2 zobowiązuje operatorów usług kluczowych do wykrywania i zgłaszania istotnych incydentów, co jest trudne bez monitorowania uwzględniającego specyfikę OT. Cele wydajnościowe CISA obejmujące różne sektory również wymagają widoczności sieci i detekcji w infrastrukturze krytycznej.

NIST SP 800-82 Rev. 3

Przewodnik po bezpieczeństwie OT; zaleca monitorowanie pasywne i dostosowuje kontrole AU oraz SI z SP 800-53 do ograniczeń przemysłowych.

ISA/IEC 62443-3-3

Wymagania bezpieczeństwa systemu, w tym wykrywanie zdarzeń bezpieczeństwa i monitorowanie w strefach i kanałach komunikacyjnych.

NERC CIP-007

Wymaga monitorowania i rejestrowania zdarzeń bezpieczeństwa dla objętych nim zasobów cybernetycznych systemu elektroenergetycznego dużej mocy.

09Częste pułapki, które psują monitorowanie OT

Projekty monitorowania zawodzą rzadziej z powodu złych sensorów niż z powodu złego projektu i eksploatacji. Najczęstszym błędem jest wdrożenie detekcji bez nikogo, kto miałby na nią reagować. Alerty, których nikt nie segreguje, tworzą szum, a szum uczy operatorów ignorować konsolę.

• Poleganie na portach SPAN, które po cichu gubią ramki pod obciążeniem, pozostawiając martwe pola w najbardziej ruchliwych momentach.
• Traktowanie aktywnego skanowania jako bezpiecznego i sondowanie sterowników, które tego nie tolerują.
• Strojenie punktu odniesienia w okresie nienormalnym, przez co wyuczona „norma” jest błędna.
• Generowanie alertów bez procesu segregacji, procedury reagowania czy osoby odpowiedzialnej.
• Zapominanie, że serwer monitorujący, jego sieć zarządzania i jego strumień danych same stanowią powierzchnię ataku.
• Wysyłanie telemetrii OT do SOC przez łącze dwukierunkowe, które staje się ścieżką przychodzącą do zakładu.

Ten ostatni punkt jest najczęściej pomijany. Dodawanie widoczności nie powinno dodawać osiągalności. Wdrożenie monitorowania, które otwiera routowalne, dwukierunkowe połączenie z korporacyjnego SOC do strefy OT, może po cichu stać się najniebezpieczniejszą ścieżką w całej sieci.

10Gdzie znajduje zastosowanie transfer jednokierunkowy

Dane monitorowania muszą opuścić strefę OT, aby były użyteczne: zasilają SIEM, SOC oraz długoterminową analitykę. Pytanie brzmi, jak je eksportować bez tworzenia ścieżki powrotnej. To właśnie tutaj transfer jednokierunkowy jest naturalnym rozwiązaniem. Strumień monitorowania jest z definicji przeznaczony wyłącznie do publikacji: dane wypływają na zewnątrz i nic nie musi wracać do środka.

Dioda danych lub brama jednokierunkowa umożliwia przejście logów, alertów i metadanych pakietów ze strony OT na stronę korporacyjną, jednocześnie fizycznie uniemożliwiając powrót ruchu przez tę granicę. SOC uzyskuje pełną widoczność; strefa OT nie zyskuje żadnej nowej trasy przychodzącej. W połączeniu z sensorami pasywnymi, które nigdy nie nadają do sieci sterowania, cały łańcuch monitorowania można zaprojektować tak, aby dodawał obserwację bez dodawania ekspozycji.

To jeden środek kontroli spośród kilku. Dioda nie segreguje alertów, nie stroi punktów odniesienia ani nie zastępuje segmentacji. Dla zespołów rozważających możliwości wzorzec kontrolowanej łączności AIRGAPNET może funkcjonować obok sensorów pasywnych, podsłuchów TAP i integracji z SOC w ramach tego samego projektu monitorowania, tak aby decyzja dotyczyła tego, które granice muszą być online, jednokierunkowe lub domyślnie odłączone.

11Praktyczna sekwencja startowa

Zacznij tam, gdzie koncentruje się ryzyko i ruch, a następnie rozszerzaj zasięg. Widoczność szybko dostarcza wartości, ponieważ większość środowisk nigdy nie widziała własnej listy zasobów ani mapy komunikacji.

• Zmapuj sieć i zidentyfikuj strefy, kanały komunikacyjne oraz segmenty o najwyższych konsekwencjach.
• Umieść źródło TAP lub SPAN najpierw na granicy OT-DMZ oraz w najbardziej krytycznej komórce.
• Uruchom sensor pasywny w trybie uczenia i zbuduj inwentaryzację zasobów oraz punkt odniesienia.
• Dostrój detekcje do procesu, zmapuj wyniki na MITRE ATT&CK for ICS i przypisz odpowiedzialność za alerty.
• Eksportuj alerty i metadane do SOC ścieżką jednokierunkową, aby widoczność nigdy nie stała się trasą przychodzącą.
• Rozszerzaj zasięg sensorów strefa po strefie, sprawdzając, czy żaden komponent monitorowania nie może nadawać do sieci sterowania.

Celem nie jest doskonały zasięg pierwszego dnia. Chodzi o przekształcenie nieprzejrzystej sieci OT w taką, którą można zobaczyć, dla której można ustalić punkt odniesienia i którą można bronić, jednocześnie nie dopuszczając, by samo monitorowanie stało się kolejną drogą do środka.

FAQNajczęściej zadawane pytania

SRCŹródła referencyjne