Nowa warstwa ochrony wyłaniająca się wewnątrz sieci przełącznikowych OT

Przemysłowe sieci sterowania nie są już odizolowanymi systemami. Działają teraz w ramach zbieżnych środowisk IT/OT, w których zdalny dostęp i rozproszone sterowanie są standardem. Konfiguracja przełączników stała się pierwszą linią obrony w architekturze cyberbezpieczeństwa systemów SCADA.

Inżynierowie wzmacniają obecnie zabezpieczenia przełączników nie tylko z myślą o wydajności, lecz także w celu spełnienia oczekiwań normy IEC 62443 dotyczących infrastruktury krytycznej.

Przemysłowa infrastruktura przełącznikowa odgrywa obecnie bezpośrednią rolę w ochronie zasobów zakładu i ciągłości działania.

Techniczny przegląd praktyk wzmacniania zabezpieczeń przełączników

Zabezpieczanie zdalnego dostępu za pomocą SSH

SSH zastępuje starszy protokół Telnet w środowiskach OT, zapewniając szyfrowane sesje zarządzania. Ogranicza to ekspozycję danych uwierzytelniających i konfiguracyjnych w sieciach SCADA.

W nowoczesnych wdrożeniach inżynierowie wymuszają dostęp VTY wyłącznie przez SSH, aby zapobiec korzystaniu z niezabezpieczonych ścieżek zdalnego logowania.

Zarządzanie oparte na SSH zapewnia kontrolowany zdalny dostęp do przełączników przemysłowych w strefach OT.

Usuwanie interfejsów internetowych z przełączników krytycznych

Wyłączenie zarządzania przez HTTP i HTTPS znacznie zmniejsza powierzchnię ataku. Wielu operatorów systemów SCADA preferuje konfigurację opartą na CLI za pośrednictwem bezpiecznych sesji powłoki.

Takie podejście ogranicza przypadkowe błędne konfiguracje i wzmacnia dyscyplinę operacyjną w sieciach zakładowych.

Uwierzytelnianie na obrzeżu systemu sterowania

Uwierzytelnianie za pomocą lokalnej nazwy użytkownika zapewnia kontrolę dostępu nawet bez scentralizowanych usług tożsamości. Jest to niezbędne w przypadku podstacji i obiektów zdalnych o ograniczonej łączności zewnętrznej.

Lokalnie przechowywane dane uwierzytelniające zapewniają ciągłość działania, gdy uwierzytelnianie zewnętrzne jest niedostępne.

Blokada portów i dyscyplina ruchu

Nieużywane porty przełączników stanowią jedną z najczęstszych podatności w środowiskach OT. Administratorzy wyłączają teraz nieużywane interfejsy, aby wyeliminować punkty dostępu dla nieautoryzowanych urządzeń.

Ta metoda wymusza zgodność fizyczno-logiczną między udokumentowanymi zasobami a aktywną topologią sieci.

Kontrola na poziomie portów gwarantuje, że w komunikacji przemysłowej uczestniczą wyłącznie zweryfikowane punkty końcowe.

Powiązywanie urządzeń za pomocą kontroli na poziomie adresów MAC

Powiązanie adresów MAC wzmacnia zapewnienie bezpieczeństwa punktów końcowych, przypisując urządzenia fizyczne do określonych portów przełącznika. Każda niezgodność powoduje natychmiastowe przerwanie komunikacji.

Technika ta jest szeroko stosowana w środowiskach z dużą liczbą interfejsów HMI oraz w strefach SCADA o krytycznym znaczeniu dla bezpieczeństwa.

Powiązanie oparte na adresie MAC wymusza jednoznaczną tożsamość urządzenia na brzegu sieci.

Gdzie stosuje się te praktyki

Te metody wzmacniania zabezpieczeń przełączników są szeroko stosowane w podstacjach elektroenergetycznych, zakładach przetwórstwa i liniach produkcji dyskretnej. Zapewniają one stabilną komunikację między sterownikami PLC, jednostkami RTU, interfejsami HMI a systemami nadrzędnymi.

Inżynierowie często łączą te techniki z bezpiecznym sprzętem infrastrukturalnym, takim jak przemysłowe systemy zasilania i komunikacji sieciowej aby ustabilizować architekturę OT w warunkach ograniczeń związanych z cyberbezpieczeństwem.

Wnioski z branży: sieci OT stają się systemami definiowanymi przez bezpieczeństwo

Bezpieczeństwo na poziomie przełączników jest obecnie podstawowym wymaganiem, a nie tylko dobrą praktyką. Normy takie jak IEC 62443 zmieniają sposób, w jaki inżynierowie projektują segmentację sieci i kontrolę dostępu.

Obserwujemy zmianę, w której konfiguracja sieci w równym stopniu co zapory sieciowe czy punkty końcowe definiuje poziom bezpieczeństwa. Podkreśla to rolę infrastruktury przełączającej w zapewnianiu integralności systemów SCADA.

Perspektywa inżynierska na kierunek rozwoju bezpieczeństwa OT

W dyskusjach na temat cyberbezpieczeństwa OT często nie docenia się wzmacniania zabezpieczeń przełączników. Mimo to stanowi ona najbardziej bezpośrednią warstwę egzekwowania zasad między urządzeniami fizycznymi a logiką sterowania.

Moim zdaniem organizacje, które ignorują dyscyplinę na poziomie przełączników, będą narażone na coraz większe ryzyko operacyjne w miarę przyspieszania konwergencji IT/OT. Ustrukturyzowana konfiguracja, a nie reaktywne poprawki zabezpieczeń, będzie odtąd definiować odporne sieci przemysłowe.

*Daniel Mercer, analityk przemysłowy i reporter ds. systemów, 14 lat doświadczenia w projektach integracyjnych Siemens, Rockwell Automation i Emerson DeltaV w wielkoskalowych środowiskach sterowania procesami*