Segmentacja i mikrosegmentacja sieci OT: praktyczny przewodnik

01Najważniejsze wnioski

1. 01

   Segmentacja dzieli sieć OT na kontrolowane grupy, tak aby ruch między nimi był wymuszany przez punkt egzekwowania, który można inspekcjonować, rejestrować i blokować.

2. 02

   Mikrosegmentacja rozszerza kontrolę na ruch wschód-zachód między zasobami wewnątrz strefy, czyli dokładnie tam, gdzie po uzyskaniu początkowego przyczółka dochodzi do ruchu bocznego.

3. 03

   Sieć VLAN to element budulcowy segmentacji, a nie granica bezpieczeństwa sama w sobie; bez punktu egzekwowania polityki między sieciami VLAN separacja jest wyłącznie logiczna.

4. 04

   Deny-by-default to zasada działania, która czyni segmentację realną: zdefiniuj nieliczne przepływy potrzebne produkcji, zezwól na nie, a resztę zablokuj.

5. 05

   Dla granic służących wyłącznie do publikacji, takich jak eksport telemetrii lub kopii zapasowych, transmisja jednokierunkowa usuwa ścieżkę powrotną, którą polityka segmentacji może jedynie ograniczać.

02Co naprawdę oznacza segmentacja sieci OT

Segmentacja sieci OT to praktyka dzielenia sieci przemysłowej na oddzielne grupy i wymuszania, aby ruch między tymi grupami przechodził przez punkt kontroli. Tym punktem kontroli jest zwykle zapora sieciowa, przełącznik warstwy 3 z kontrolą dostępu lub brama. Sedno stanowi egzekwowanie: jeśli dwie grupy mogą się nawzajem osiągnąć wyłącznie przez urządzenie stosujące politykę, możesz decydować, co jest dozwolone, i udowodnić, co przekroczyło granicę.

Bez segmentacji sieć sterowania zachowuje się jak jedna wielka domena rozgłoszeniowa, w której każde urządzenie może rozmawiać z każdym innym. Jest to wygodne dla inżynierii i katastrofalne dla ograniczania zasięgu. Pojedyncza skompromitowana stacja robocza, podatny panel HMI albo robak skanujący otwarte porty może dosięgnąć całego środowiska, bo nic nie stoi między zasobami.

W skrócie: segmentacja dotyczy tego, gdzie ruch jest zmuszony się zatrzymać i zostać sprawdzony. Jeśli dwa systemy mogą się nawzajem osiągnąć bez przechodzenia przez punkt egzekwowania polityki, nie są od siebie odseparowane, niezależnie od tego, jak narysowano schemat sieci.

03Makrosegmentacja a mikrosegmentacja

Większość programów OT zaczyna się od makrosegmentacji: dużych stref, takich jak sieć korporacyjna, przemysłowa strefa DMZ, poziom nadzorczy i poziom sterowania. Te zgrubne granice naturalnie odwzorowują się na architektury referencyjne i są pierwszym elementem, którego szuka audytor. Są konieczne, ale pozostawiają wewnątrz każdej strefy duże płaskie przestrzenie.

Mikrosegmentacja kontroluje ruch wewnątrz tych stref. Ogranicza, które sterowniki PLC mogą rozmawiać z którymi panelami HMI, które inżynierskie stacje robocze mogą osiągnąć które sterowniki oraz które zasoby mogą używać których protokołów. To ruch, który porusza się wschód-zachód, równy z równym, i to na nim polegają atakujący po uzyskaniu początkowego przyczółka. Zgrubne strefy w niczym nie powstrzymują skompromitowanego panelu HMI przed osiągnięciem sterownika, który stoi obok niego w tej samej podsieci.

Makrosegmentacja

Separacja między dużymi strefami, takimi jak IT, przemysłowa strefa DMZ, systemy nadzorcze i systemy sterowania. Powstrzymuje przekraczanie granic w kierunku północ-południe między poziomami zaufania.

Mikrosegmentacja

Separacja między pojedynczymi zasobami lub małymi komórkami funkcjonalnymi wewnątrz strefy. Powstrzymuje ruch boczny wschód-zachód, który nigdy nie przekracza granicy strefy.

Ruch wschód-zachód

Komunikacja między równorzędnymi elementami na tym samym poziomie, taka jak HMI do PLC lub PLC do PLC, a nie w górę i w dół między poziomami zaufania.

04Dlaczego segmentacja ma znaczenie: ruch boczny i zasięg rażenia

Większość najbardziej szkodliwych incydentów OT wiąże się z przemieszczaniem się po pierwszej kompromitacji. Atakujący rzadko ląduje bezpośrednio na sterowniku bezpieczeństwa. Ląduje na wystawionym hoście pośredniczącym, na wyłudzonym laptopie inżynierskim lub na usłudze dostępnej z internetu, a następnie przemieszcza się w bok w kierunku systemów, które mają znaczenie. Segmentacja to mechanizm, który decyduje, jak daleko może zajść to przemieszczenie.

MITRE ATT&CK for ICS wprost kataloguje takie zachowanie. Techniki takie jak Lateral Tool Transfer, wykorzystanie usług zdalnych oraz użycie ważnych kont zależą od osiągalnych ścieżek między zasobami. Jeśli skompromitowany panel HMI nie może otworzyć sesji do sterownika, bo punkt egzekwowania polityki mu tego odmawia, kilka z tych technik po prostu zawodzi na warstwie sieciowej.

Drugim powodem jest zasięg rażenia. Ransomware, które uderzało w sieci IT, wielokrotnie przelewało się do OT, ponieważ obie sieci były wobec siebie płaskie. Wstrzymanie działania Colonial Pipeline w 2021 roku było decyzją po stronie biznesowej o zatrzymaniu operacji, częściowo dlatego, że operatorzy nie mogli mieć pewności, iż złośliwe oprogramowanie nie przekroczyło granicy. Silna segmentacja zamienia zdarzenie obejmujące cały zakład w zdarzenie ograniczone i sprawia, że taka pewność daje się obronić.

05Jak egzekwuje się segmentację: sieci VLAN, zapory sieciowe i bramy

Segmentacja jest egzekwowana przez zestaw mechanizmów, a ich mylenie to częsty błąd. Sieć VLAN rozdziela domeny rozgłoszeniowe w warstwie 2. To użyteczny element budulcowy, ale dwie sieci VLAN na tym samym przełączniku nie stanowią żadnej granicy bezpieczeństwa, dopóki ruch między nimi nie zostanie przekierowany przez urządzenie stosujące politykę. Sieci VLAN organizują sieć; same z siebie nie egzekwują tego, kto z kim może rozmawiać.

Egzekwowanie odbywa się w warstwie 3 i wyższych. Świadoma specyfiki OT zapora sieciowa między strefami może zezwalać na konkretne pary źródło-cel, inspekcjonować protokoły przemysłowe takie jak Modbus/TCP, EtherNet/IP, OPC UA i DNP3 oraz rejestrować każdą sesję. Wewnątrz strefy mikrosegmentacja może być egzekwowana przez polityki na poziomie hostów, listy kontroli dostępu na przełącznikach, prywatne sieci VLAN lub bramy świadome tożsamości, które regulują ruch dla poszczególnych zasobów, a nie dla całych podsieci.

• Warstwa 2 (sieci VLAN, prywatne sieci VLAN): rozdzielają domeny rozgłoszeniowe i izolują porty, ale aby miały znaczenie, wymagają między sobą punktu egzekwowania polityki.
• Warstwa 3 (routowane listy ACL, zapory OT): zezwalają lub blokują według adresu, portu i kierunku między strefami i kanałami.
• Warstwa aplikacji (zapory świadome protokołów, głęboka inspekcja pakietów): przepuszczają tylko prawidłowe funkcje protokołów przemysłowych, takie jak Modbus tylko do odczytu tam, gdzie zapisy nie są potrzebne.
• Warstwa hosta i tożsamości (agenci mikrosegmentacji, NAC): regulują ruch wschód-zachód dla poszczególnych zasobów lub obciążeń, niezależnie od topologii fizycznej.

06Deny-by-default: zasada, która czyni to realnym

Segmentacja przynosi wartość tylko wtedy, gdy domyślną odpowiedzią jest „nie”. Postawa deny-by-default oznacza, że zapora sieciowa lub brama blokuje wszystko, co nie zostało jawnie dozwolone. Następnie wyliczasz niewielki zestaw przepływów, których produkcja rzeczywiście potrzebuje, piszesz reguły dokładnie dla nich, a resztę pozostawiasz zablokowaną. To przeciwieństwo permisywnej wartości domyślnej, w której wyrastały płaskie sieci OT.

Praktyczna przewaga deny-by-default w OT polega na tym, że prawidłowych przepływów jest zaskakująco mało i są one stabilne. Sterownik rozmawia ze znanym panelem HMI za pomocą znanego protokołu; historian odpytuje znane źródła; stacja inżynierska osiąga przypisane jej sterowniki PLC podczas konserwacji. Gdy zostaną one ujęte w linii bazowej, wszystko inne, jak nagle skanująca podsieć sterowania stacja robocza, jest zarówno blokowane, jak i widoczne jako anomalia.

Przydatny test każdego projektu segmentacji: jeśli nie potrafisz wymienić dokładnych przepływów, które strefa może wysyłać i odbierać, strefa nie jest segmentowana, jest jedynie opisana etykietą. Egzekwowanie to lista dozwoleń, którą potrafisz przedstawić na żądanie, a nie schemat na ścianie.

07Odwzorowanie na strefy, kanały i standardy

Segmentacja to praktyka inżynierska; standardy nadają jej strukturę i język. ISA/IEC 62443 ujmuje sieć przemysłową jako strefy (grupy zasobów o wspólnych wymaganiach bezpieczeństwa) połączone kanałami (kontrolowanymi ścieżkami komunikacji między nimi). Mikrosegmentacja jest w istocie definiowaniem mniejszych stref i węższych kanałów. Standard oczekuje, że każdy kanał ma zdefiniowany cel i docelowy poziom bezpieczeństwa.

NIST SP 800-82 Rev. 3 zaleca segmentację i izolację sieci jako podstawowy mechanizm kontroli OT i wskazuje na obronę w głąb zamiast na pojedynczy perymetr. Wskazówki międzysektorowe CISA oraz materiały o obronie w głąb dla ICS argumentują tak samo: segmentuj według funkcji i konsekwencji, a następnie kontroluj kanały. Żaden z tych dokumentów nie traktuje znacznika VLAN jako granicy; traktuje jako granicę egzekwowany kanał.

Strefa

Zgrupowanie zasobów, które dzielą wymagania bezpieczeństwa i poziom zaufania. Segmentacja tworzy strefy; mikrosegmentacja tworzy mniejsze.

Kanał

Kontrolowana ścieżka między strefami. Każdy dozwolony przepływ porusza się kanałem o zdefiniowanym celu, kierunku i poziomie ochrony.

Poziom bezpieczeństwa

Docelowa zdolność wg 62443 dla strefy lub kanału, używana do decydowania, jak silny musi być egzekwujący mechanizm kontroli.

08Praktyczna sekwencja segmentowania sieci OT

Projekty segmentacji zawodzą, gdy zaczynają się od zakupów sprzętu zamiast od wiedzy. Nie da się napisać reguł deny-by-default dla ruchu, którego się nie zaobserwowało. Niezawodna sekwencja to najpierw poznać sieć, a następnie egzekwować etapami, weryfikując zachowanie produkcji na każdym kroku, zanim zacieśni się kontrolę dalej.

• Zbuduj inwentaryzację zasobów i pasywnie zmapuj rzeczywistą komunikację, tak abyś wiedział, co z czym rozmawia, zanim cokolwiek zmienisz.
• Pogrupuj zasoby w strefy według funkcji i konsekwencji, a nie według lokalizacji fizycznej czy tego, co akurat dzisiaj współdzieli przełącznik.
• Zdefiniuj kanały: dla każdej pary stref, które muszą się komunikować, wypisz dokładne protokoły, porty i wymagany kierunek.
• Najpierw wyegzekwuj makrosegmentację za pomocą świadomych OT zapór sieciowych między strefami, w trybie monitorowania przed trybem blokowania.
• Wprowadź mikrosegmentację wewnątrz stref o najwyższych konsekwencjach, ograniczając ruch wschód-zachód między komórkami i pojedynczymi zasobami.
• Przejdź na deny-by-default, gdy przepływy zostaną ujęte w linii bazowej, i utrzymuj proces wyjątków z datami wygaśnięcia, aby reguły tymczasowe nie stawały się trwałe.

Przez cały czas traktuj tryb monitorowania jako dar, a nie opóźnienie. Uruchamianie nowych reguł w trybie samych alertów ujawnia nieudokumentowane przepływy, jakie ma każdy zakład typu brownfield, i pozwala je naprawić, zanim spowodują przestój. Przejście od razu do egzekwowania to najszybszy sposób na utratę zaufania działu produkcji do całego programu.

09Częste pułapki i jak segmentacja po cichu ulega erozji

Większość segmentacji nie zawodzi na etapie projektowania. Ulega erozji przez lata presji operacyjnej, gdzie każdy pojedynczy wyjątek wydaje się rozsądny, a efekt kumulacyjny to płaska sieć przebrana w segmentowany schemat. Znajomość wzorców awarii pomaga projektować z myślą o obronie przed nimi.

• Traktowanie sieci VLAN jako granicy, bez urządzenia egzekwującego politykę, które faktycznie routuje i filtruje ruch między nimi.
• Reguły typu any-any lub nadmiernie szerokie, dodane podczas uruchamiania, które nigdy nie zostają zacieśnione po ustabilizowaniu się produkcji.
• Trwałe wyjątki dla dostawców lub dostępu zdalnego, otwarte na jedno okno konserwacyjne i nigdy niezamknięte.
• Inżynierskie stacje robocze lub hosty pośredniczące z dwoma interfejsami, które mostkują dwie strefy i po cichu pokonują granicę.
• Zapomniane połączenia zarządzające, syslog lub kopii zapasowych, które ponownie wprowadzają osiągalność, jaką segmentacja miała usunąć.
• Reguły mikrosegmentacji, które nigdy nie są przeglądane, przez co uprawnienia wycofanego z eksploatacji zasobu żyją dalej jako ścieżka ataku.

Obroną jest zarządzanie, a nie sama technologia: każda reguła ma właściciela i cel, wyjątki noszą daty wygaśnięcia, a baza reguł jest regularnie przeglądana względem inwentaryzacji zasobów. Projekt segmentacji bez dyscypliny utrzymaniowej w ciągu kilku lat wraca do stanu płaskiego.

10Gdzie mieści się transmisja jednokierunkowa i redukcja ekspozycji

Zapory sieciowe i mikrosegmentacja ograniczają osiągalność za pomocą polityki i jest to właściwe narzędzie dla granic, które wymagają kontrolowanej wymiany dwukierunkowej. Ale niektóre kanały zawsze muszą przenosić dane wyłącznie na zewnątrz: telemetrię do repliki historiana, logi do SOC, kopie zapasowe do ośrodka odtwarzania, dane produkcyjne do raportowania korporacyjnego. Dla nich polityka może ograniczać ścieżkę powrotną, ale ścieżka nadal fizycznie istnieje i zależy od tego, czy konfiguracja pozostaje poprawna.

Dioda danych to zmienia. Wymusza jednokierunkowy przepływ danych sprzętowo, tak że cel nie ma przez ten kanał żadnej drogi powrotnej do strefy chronionej. W kategoriach segmentacji jest to najsilniejszy możliwy kanał dla przepływu służącego wyłącznie publikacji: nie ma czego błędnie skonfigurować w dwukierunkowość, a rozrost reguł nie może ponownie otworzyć ścieżki powrotnej. To jeden z wielu mechanizmów kontroli, a nie zastępstwo dla segmentacji, ale usuwa klasę ryzyka, którym zapory mogą jedynie zarządzać. Zespoły porównujące opcje często oceniają kontrolowany wzorzec łączności jednokierunkowej obok kanałów opartych na zaporach sieciowych i mikrosegmentacji.

Reguła decyzyjna dla kanału: jeśli przepływ wymaga rozmowy, użyj kanału opartego na zaporze sieciowej i otocz go mikrosegmentacją. Jeśli przepływ musi jedynie publikować, rozważ transmisję jednokierunkową, aby ścieżka powrotna nie istniała i nie dała się wykorzystać.

11Mapa drogowa, a nie projekt

Segmentacja rzadko bywa ukończona. Baza zasobów się zmienia, żąda się nowych kanałów, a zeszłoroczna baza reguł deny-by-default dryfuje pod presją operacyjną. Organizacje, które utrzymują swoje sieci segmentowane, traktują to jako ciągłą zdolność z właścicielami, przeglądami i miernikami, a nie jednorazową instalację, którą się odbiera i o niej zapomina.

Zacznij tam, gdzie konsekwencje są najwyższe, a osiągalność najszersza, zwykle na granicy między IT i OT oraz w najbardziej krytycznych komórkach sterowania. Najpierw wyegzekwuj tam makrosegmentację i uruchom deny-by-default, a następnie wpychaj mikrosegmentację do środka, a transmisję jednokierunkową na kanały służące wyłącznie publikacji. Mierz postęp tym, jak krótkie i wytłumaczalne są twoje listy dozwoleń oraz jak szybko potrafisz odpowiedzieć na pytanie, które ostatecznie zadaje każdy regulator i osoba reagująca na incydent: co dokładnie może rozmawiać z tym zasobem?

FAQNajczęściej zadawane pytania

SRCŹródła referencyjne