SCADA-kapcsolók megerősítése: SSH, portvezérlés és MAC-címek hozzárendelése OT-hálózatokban (2. rész)

Az OT-switching-hálózatokban kialakuló új védelmi réteg

Az ipari vezérlőhálózatok már nem elszigetelt rendszerek. Ma már konvergált IT/OT-környezetekben működnek, ahol a távoli hozzáférés és az elosztott vezérlés szabványosnak számít. A switchkonfiguráció a SCADA kiberbiztonsági architektúrájának első védelmi vonalává vált.

A mérnökök ma már nemcsak a teljesítmény, hanem a kritikus infrastruktúrákban elvárt IEC 62443-megfelelés érdekében is megerősítik a switcheket.

Az ipari switching-infrastruktúra ma közvetlen szerepet játszik az üzemi eszközök és az üzemmenet folytonosságának védelmében.

A switchkeményítési gyakorlatok technikai áttekintése

Távoli hozzáférés biztosítása SSH-n keresztül

Az SSH felváltja a régi Telnetet az OT-környezetekben, és így titkosított kezelési munkameneteket biztosít. Ez csökkenti a hitelesítő adatok és a konfigurációs adatok kitettségét a SCADA-hálózatokban.

A modern telepítésekben a mérnökök csak SSH-alapú VTY-hozzáférést engedélyeznek, hogy megakadályozzák a nem biztonságos távoli bejelentkezési útvonalakat.

Az SSH-alapú kezelés szabályozott távoli hozzáférést biztosít az ipari switchekhez az OT-zónákon keresztül.

Webes felületek eltávolítása a kritikus switchekről

A HTTP- és HTTPS-alapú kezelés letiltása jelentősen csökkenti a támadási felületet. Számos SCADA-üzemeltető a biztonságos shell-munkameneteken keresztüli, CLI-alapú konfigurációt részesíti előnyben.

Ez a megközelítés korlátozza a véletlen hibás konfigurációkat, és erősíti az üzemeltetési fegyelmet az üzemi hálózatokban.

Hitelesítés a vezérlés peremén

A helyi felhasználónév-alapú hitelesítés központi identitásszolgáltatások nélkül is biztosítja a hozzáférés-vezérlést. Ez elengedhetetlen a korlátozott külső kapcsolattal rendelkező alállomások és távoli létesítmények esetében.

A helyben tárolt hitelesítő adatok biztosítják az üzemmenet folytonosságát, amikor a külső hitelesítés nem érhető el.

Portzárolás és forgalmi fegyelem

A nem használt switchportok jelentik az egyik leggyakoribb sérülékenységet az OT-környezetekben. A rendszergazdák most letiltják a nem használt interfészeket, hogy megszüntessék az illetéktelen eszközhozzáférési pontokat.

Ez a módszer kikényszeríti a dokumentált eszközök és az aktív hálózati topológia közötti fizikai–logikai összehangolást.

A portszintű vezérlés biztosítja, hogy csak hitelesített végpontok vegyenek részt az ipari kommunikációban.

Eszközök hozzárendelése MAC-szintű vezérléssel

A MAC-címek hozzárendelése megerősíti a végpontok megbízhatóságát azáltal, hogy a fizikai eszközöket meghatározott kapcsolóportokhoz köti. Bármilyen eltérés azonnal megszakítja a kommunikációt.

Ezt a technikát széles körben használják HMI-kben gazdag környezetekben és biztonságkritikus SCADA-zónákban.

A MAC-alapú hozzárendelés determinisztikus eszközazonosságot biztosít a hálózat peremén.

Hol alkalmazzák ezeket a gyakorlatokat?

Ezeket a kapcsolómegerősítési módszereket széles körben alkalmazzák villamos alállomásokon, folyamatüzemekben és diszkrét gyártósorokon. Ezek stabil kommunikációt biztosítanak a PLC-k, RTU-k, HMI-k és felügyeleti rendszerek között.

A mérnökök ezeket a technikákat gyakran olyan biztonságos infrastruktúra-hardverekkel kombinálják, mint a ipari hálózati energia- és kommunikációs rendszerek az OT-architektúra kiberbiztonsági korlátok közötti stabilizálására.

Ipari betekintés: az OT-hálózatok biztonság által meghatározott rendszerekké válnak

A kapcsolószintű biztonság immár alapvető követelmény, nem csupán bevált gyakorlat. Az olyan szabványok, mint az IEC 62443, átalakítják azt, ahogyan a mérnökök megtervezik a hálózati szegmentációt és a hozzáférés-vezérlést.

Olyan változást látunk, amelyben a hálózati konfiguráció ugyanannyira meghatározza a biztonsági helyzetet, mint a tűzfalak vagy a végpontok. Ez felértékeli a kapcsolási infrastruktúra szerepét az SCADA-rendszerek integritásának megőrzésében.

Mérnöki perspektíva az OT-biztonság irányáról

A kapcsolók megerősített védelmét gyakran alábecsülik az OT-kiberbiztonsági megbeszélésekben. Mégis ez képezi a fizikai eszközök és a vezérlési logika közötti legközvetlenebb érvényesítési réteget.

Véleményem szerint azok a szervezetek, amelyek figyelmen kívül hagyják a kapcsolószintű fegyelmet, egyre nagyobb üzemeltetési kockázattal szembesülnek, ahogy felgyorsul az IT/OT-konvergencia. A reaktív biztonsági javítások helyett a strukturált konfiguráció fogja meghatározni a jövő ellenállóképes ipari hálózatait.

*Daniel Mercer, ipari elemző és rendszerújságíró, 14 év tapasztalattal a Siemens, a Rockwell Automation és az Emerson DeltaV integrációs projektjeiben, nagyszabású folyamatirányítási környezetekben*