Zabezpieczanie przełączników SCADA: SSH, kontrola portów i wiązanie adresów MAC w sieciach OT (część 2)

Nowa warstwa ochrony wyłaniająca się wewnątrz sieci przełączników OT

Przemysłowe sieci sterowania nie są już odizolowanymi systemami. Działają teraz w zbieżnych środowiskach IT/OT, w których zdalny dostęp i rozproszone sterowanie są standardem. Konfiguracja przełączników stała się pierwszą linią obrony w architekturze cyberbezpieczeństwa SCADA.

Inżynierowie wzmacniają obecnie zabezpieczenia przełączników nie tylko pod kątem wydajności, lecz także zgodności z wymaganiami IEC 62443 dotyczącymi infrastruktury krytycznej.

Przemysłowa infrastruktura przełączników odgrywa obecnie bezpośrednią rolę w ochronie zasobów zakładu i ciągłości działania.

Techniczny przegląd praktyk wzmacniania zabezpieczeń przełączników

Zabezpieczanie zdalnego dostępu za pomocą SSH

SSH zastępuje starszy protokół Telnet w środowiskach OT, zapewniając szyfrowane sesje zarządzania. Ogranicza to ujawnianie poświadczeń i danych konfiguracyjnych w sieciach SCADA.

W nowoczesnych wdrożeniach inżynierowie wymuszają dostęp VTY wyłącznie przez SSH, aby zapobiegać korzystaniu z niezabezpieczonych ścieżek zdalnego logowania.

Zarządzanie oparte na SSH zapewnia kontrolowany zdalny dostęp do przełączników przemysłowych w strefach OT.

Usuwanie interfejsów internetowych z krytycznych przełączników

Wyłączenie zarządzania przez HTTP i HTTPS znacząco zmniejsza powierzchnię ataku. Wielu operatorów SCADA preferuje konfigurację opartą na CLI za pośrednictwem bezpiecznych sesji powłoki.

Takie podejście ogranicza przypadkowe błędne konfiguracje i wzmacnia dyscyplinę operacyjną w sieciach zakładowych.

Uwierzytelnianie na brzegu systemu sterowania

Uwierzytelnianie za pomocą lokalnej nazwy użytkownika zapewnia kontrolę dostępu nawet bez scentralizowanych usług tożsamości. Jest to niezbędne w podstacjach i zdalnych obiektach o ograniczonej łączności zewnętrznej.

Poświadczenia przechowywane lokalnie zapewniają ciągłość działania, gdy uwierzytelnianie zewnętrzne jest niedostępne.

Blokada portów i dyscyplina ruchu

Nieużywane porty przełączników należą do najczęstszych podatności w środowiskach OT. Administratorzy mogą teraz wyłączać nieużywane interfejsy, aby eliminować punkty nieautoryzowanego dostępu do urządzeń.

Ta metoda zapewnia zgodność fizyczną i logiczną między udokumentowanymi zasobami a aktywną topologią sieci.

Kontrola na poziomie portów gwarantuje, że w komunikacji przemysłowej uczestniczą wyłącznie zweryfikowane punkty końcowe.

Powiązywanie urządzeń za pomocą kontroli na poziomie adresów MAC

Powiązanie adresu MAC wzmacnia gwarancję bezpieczeństwa punktów końcowych, przypisując urządzenia fizyczne do określonych portów przełącznika. Każda niezgodność powoduje natychmiastowe zakończenie komunikacji.

Technika ta jest szeroko stosowana w środowiskach z dużą liczbą interfejsów HMI oraz w strefach SCADA o krytycznym znaczeniu dla bezpieczeństwa.

Powiązanie oparte na adresie MAC wymusza jednoznaczną tożsamość urządzenia na brzegu sieci.

Gdzie stosuje się te praktyki

Te metody wzmacniania zabezpieczeń przełączników są szeroko stosowane w podstacjach elektroenergetycznych, zakładach przetwórczych i liniach produkcji dyskretnej. Zapewniają one stabilną komunikację między sterownikami PLC, jednostkami RTU, interfejsami HMI a systemami nadrzędnymi.

Inżynierowie często łączą te techniki z bezpiecznym sprzętem infrastruktury, takim jak przemysłowe systemy zasilania i komunikacji sieciowej aby ustabilizować architekturę OT w warunkach ograniczeń związanych z cyberbezpieczeństwem.

Wnioski branżowe: sieci OT stają się systemami definiowanymi przez bezpieczeństwo

Bezpieczeństwo na poziomie przełączników jest obecnie podstawowym wymaganiem, a nie tylko dobrą praktyką. Normy takie jak IEC 62443 zmieniają sposób, w jaki inżynierowie projektują segmentację sieci i kontrolę dostępu.

Obserwujemy zmianę, w której konfiguracja sieci w równym stopniu co zapory sieciowe lub punkty końcowe definiuje poziom bezpieczeństwa. Podkreśla to rolę infrastruktury przełączającej w zapewnianiu integralności systemów SCADA.

Perspektywa inżynierska dotycząca kierunku rozwoju bezpieczeństwa OT

W dyskusjach o cyberbezpieczeństwie OT często nie docenia się wzmacniania zabezpieczeń przełączników. Mimo to stanowi ona najbardziej bezpośrednią warstwę egzekwowania zasad między urządzeniami fizycznymi a logiką sterowania.

Moim zdaniem organizacje, które ignorują dyscyplinę na poziomie przełączników, będą narażone na coraz większe ryzyko operacyjne w miarę przyspieszania konwergencji IT/OT. Ustrukturyzowana konfiguracja, a nie reaktywne poprawki bezpieczeństwa, będzie odtąd definiować odporne sieci przemysłowe.

*Daniel Mercer, analityk przemysłowy i reporter ds. systemów, 14 lat doświadczenia w projektach integracji Siemens, Rockwell Automation i Emerson DeltaV w wielkoskalowych środowiskach sterowania procesami*