Защита на SCADA комутатори: SSH, контрол на портовете и обвързване с MAC адреси в OT мрежи (част 2)

Нов слой на защита, който се появява в OT мрежите с комутатори

Индустриалните мрежи за управление вече не са изолирани системи. Те работят в конвергирани IT/OT среди, където отдалеченият достъп и разпределеното управление са стандарт. Конфигурацията на комутаторите се превърна в първа линия на защита в архитектурата на киберсигурността на SCADA.

Инженерите вече укрепват комутаторите не само заради производителността, но и за съответствие с изискванията на IEC 62443 в критичната инфраструктура.

Индустриалната комутационна инфраструктура вече играе пряка роля в защитата на активите на производствените предприятия и непрекъснатостта на работата.

Технически преглед на практиките за укрепване на комутаторите

Защита на отдалечения достъп чрез SSH

SSH заменя остарелия Telnet в OT средите, за да осигури криптирани сесии за управление. Това намалява излагането на идентификационни данни и конфигурационна информация в SCADA мрежите.

При съвременните внедрявания инженерите налагат достъп до VTY само чрез SSH, за да предотвратят несигурни пътища за отдалечено влизане.

Управлението чрез SSH осигурява контролиран отдалечен достъп до индустриалните комутатори в OT зоните.

Премахване на уеб интерфейсите от критичните комутатори

Деактивирането на HTTP и HTTPS управлението значително намалява повърхността за атаки. Много оператори на SCADA предпочитат конфигуриране чрез CLI посредством защитени shell сесии.

Този подход ограничава случайните неправилни конфигурации и укрепва оперативната дисциплина в заводските мрежи.

Удостоверяване в периферията на системата за управление

Удостоверяването с локално потребителско име гарантира контрол на достъпа дори без централизирани услуги за управление на идентичности. Това е от съществено значение за подстанции и отдалечени обекти с ограничена външна свързаност.

Локално съхраняваните идентификационни данни поддържат непрекъснатостта на работата, когато външното удостоверяване е недостъпно.

Блокиране на портове и дисциплина при трафика

Неизползваните портове на комутаторите са сред най-често срещаните уязвимости в OT средите. Администраторите вече деактивират неизползваните интерфейси, за да премахнат точките за неоторизиран достъп до устройства.

Този метод гарантира физическо-логическо съответствие между документираните активи и активната мрежова топология.

Контролът на ниво порт гарантира, че в индустриалната комуникация участват само валидирани крайни устройства.

Свързване на устройства чрез контрол на ниво MAC

Свързването на MAC адреси повишава сигурността на крайните устройства, като обвързва физическите устройства с конкретни портове на комутатора. Всяко несъответствие задейства незабавно прекратяване на комуникацията.

Тази техника се използва широко в среди с интензивно използване на HMI и в критични за безопасността SCADA зони.

Свързването въз основа на MAC адреси налага детерминирана идентичност на устройствата в края на мрежата.

Къде се прилагат тези практики

Тези методи за укрепване на сигурността на комутаторите са широко внедрени в електрически подстанции, технологични предприятия и производствени линии за дискретно производство. Те осигуряват стабилна комуникация между PLC, RTU, HMI и надзорни системи.

Инженерите често съчетават тези техники със защитен хардуер за инфраструктура, като индустриални системи за електрозахранване и комуникация за стабилизиране на OT архитектурата при ограничения, свързани с киберсигурността.

Индустриален поглед: OT мрежите се превръщат в системи, дефинирани от сигурността

Сигурността на ниво комутатори вече е основно изискване, а не просто добра практика. Стандарти като IEC 62443 променят начина, по който инженерите проектират мрежовата сегментация и контрола на достъпа.

Наблюдаваме промяна, при която мрежовата конфигурация определя нивото на сигурност в същата степен като защитните стени или крайните устройства. Това повишава ролята на комутационната инфраструктура за целостта на SCADA системите.

Инженерна перспектива за развитието на OT сигурността

Укрепването на сигурността на комутаторите често се подценява в дискусиите за киберсигурността на OT. И все пак тя представлява най-прекият слой за прилагане на политики между физическите устройства и логиката за управление.

Според мен организациите, които пренебрегват дисциплината на ниво комутатори, ще бъдат изправени пред нарастващ оперативен риск с ускоряването на конвергенцията между IT и OT. Структурираната конфигурация, а не реактивните корекции за сигурност, ще определя устойчивите индустриални мрежи занапред.

*Даниел Мърсър, индустриален анализатор и репортер, отразяващ системите, с 14 години опит в проекти за интеграция на Siemens, Rockwell Automation и Emerson DeltaV в мащабни среди за управление на процеси*