Produkcja jest siłą napędową każdego dyskretnego zakładu produkcyjnego, a profesjonaliści pracują, aby szybko uzyskać wysokiej jakości produkt w ograniczonym budżecie. Postępy w technologiach operacyjnych i networking na poziomie hali produkcyjnej dają profesjonalistom OT potężne narzędzia w celu zwiększenia wydajności i zmniejszenia ilości odpadów, ale takie narzędzia nie mogą być wykorzystywane bez zrozumienia ryzyka wynikającego z ich użycia.

Oto przegląd słabych punktów często wykrywanych w środowisku OT i środków zapobiegawczych, jakie można podjąć.

1. Zagrożenia od wewnątrz

Zbyt często działania w zakresie bezpieczeństwa cybernetycznego koncentrują się na zagrożeniach zewnętrznych. Możliwość złośliwych działań ze strony pracownika - często znacznie łatwiejsze do wdrożenia i bardziej prawdopodobne - może zostać całkowicie przeoczona. Budowanie solidnych murów niewiele da, jeśli przeciwnik jest już w środku.

Przyczyny cyberataków wywołanych przez pracowników obejmują niezadowolenie i chęć zemsty z powodu rzeczywistych lub wymyślonych drobiazgów; zdrada spowodowana przekupstwem lub zyskami pieniężnymi; działanie spowodowane groźbami lub szantażem; chęć poczucia „dreszczyku emocji” lub po prostu nuda.

Innym rodzajem zagrożenia wewnętrznego jest działanie sprawcy, który podaje się za zaufanego pracownika przy użyciu skradzionych danych uwierzytelniających. Na przykład, nawet jeśli sprawdzają dzienniki, operatorzy mogą przymknąć oko i nie podejrzewać zmian w specyfikacjach produkcji zainicjowanych przez szefa lub kolegę, nie zdając sobie sprawy, że zmiany zostały wprowadzone przez kogoś, kto maskował swoją tożsamość, wykorzystując ich dane uwierzytelniające.

Bez względu na źródło, ochrona przed atakami cybernetycznymi zaczyna się od widoczności. Jeśli za każdym razem, gdy dokonywana jest zmiana, do operatora wysyłane jest ostrzeżenie, każdą zmianę można zweryfikować w autoryzowanych zleceniach pracy. Nieoczekiwane, nieautoryzowane zmiany, czy to ze złośliwym zamiarem, czy nie, można natychmiast przywrócić do oczekiwanej konfiguracji operacyjnej.

2. Złośliwe oprogramowanie - oprogramowanie ransomware, wirusy, trojany, robaki i inne

Złośliwe oprogramowanie opisuje wiele zjawisk opartych na kodzie, które mogą zainfekować sieć OT i wpłynąć na produkcję na wiele sposobów. Może się to wahać od działań głupich i irytujących do całkowitego zamknięcia produkcji na czas nieokreślony.

Złośliwe oprogramowanie można wprowadzić do sieci OT na wiele różnych sposobów. Infekcja podręczników użytkownika i schematów w formacie PDF jest powszechnym kanałem. Gdy kontrahent otworzy taki plik na hali produkcyjnej w celu obsługi urządzenia, złośliwe oprogramowanie jest uruchamiane i rozprzestrzenia się w całej sieci OT. Złośliwe oprogramowanie może przedostać się przez załącznik otwarty w wiadomości e-mail - kolejny powód, dla którego urządzenia podłączone do Internetu nie powinny być podłączone do urządzeń na hali produkcyjnej.

Niestety złośliwe oprogramowanie często nie jest celem samym w sobie, ale pierwszym krokiem do złośliwego zachowania. Złośliwe oprogramowanie może być zaprojektowane w celu zmiany konfiguracji, przechwytywania haseł, otwartych połączeń z urządzeniami zewnętrznymi i tak dalej. Dzięki proaktywnej świadomości cyberbezpieczeństwa zmiany te można dostrzec i im zapobiegać.

3. Błąd ludzki

Nie wszystkie zdarzenia cybernetyczne są złośliwe - niezamierzone błędy odgrywają ważną rolę w wysokim odsetku szkodliwych wpływów na sieć sieci w dyskretnym środowisku produkcyjnym. Pomyśl, jak łatwo zapracowany operator może wpisać 60 psi zamiast 6,0 psi do wartości momentu obrotowego. Wykrywanie tych błędów, a następnie ich korygowanie to kolejny ważny element programu bezpieczeństwa cybernetycznego.

4. Awaria sprzętu

Innym powszechnym, niezłośliwym scenariuszem, który może wpłynąć na integralność sieci produkcyjnej, jest bezpośrednia awaria infrastruktury fizycznej, takiej jak kabel, przełącznik lub urządzenie takie jak PLC lub HMI. Wszystko to może mieć wpływ na jakość i wydajność w dyskretnym środowisku produkcyjnym. Urządzenia te mogą zasadniczo przesyłać dane diagnostyczne, ale przez większość czasu nikt nie patrzy proaktywnie na te dane.

Liczne zagrożenia cyberbezpieczeństwa - jedna strategia ochronna

Każda zmiana w sieci - celowa, przypadkowa lub złośliwa - natychmiast pozostawia dowody jej wprowadzenia. Problem polega na tym, że takie dowody są często niekompletne, izolowane i ukryte gdzieś w dziennikach urządzeń, a nawet w ogóle niegromadzone. Dlatego operatorzy rozważają wdrożenie rozwiązań zaprojektowanych w celu zapewnienia ciągłego wglądu w czasie rzeczywistym do ich operacji sieciowych. Ogólnie rzecz biorąc, mają one trzyczęściową strategię:

• Inwentaryzacja tego, co masz i jakie zadanie wykonuje
• Wprowadzenie kontroli bezpieczeństwa
• Monitorowanie zmian lub nietypowego zachowania w sieci

Istnieją podstawowe mechanizmy kontroli bezpieczeństwa cybernetycznego, które możesz rozpocząć już teraz, aby zmniejszyć ryzyko operacyjne oraz wykryć i uniknąć skutków wszystkich wyżej wymienionych zagrożeń.

Krok 1. Uzyskaj widoczność

Musisz wiedzieć, co masz, a co za tym idzie, to, co musisz zabezpieczyć.

Możliwości widoczności obejmują:

• Zrozumienie i udokumentowanie całej komunikacji sieciowej między przemysłową siecią sterowania a siecią informatyczną przedsiębiorstwa.
• Zrozumienie i udokumentowanie całego zdalnego dostępu do przemysłowej sieci kontrolnej, tj. dostęp dostawcy za pomocą modemów telefonicznych, VPN i łączności komórkowej.
• Tworzenie i aktualizowanie informacji o zapasach zasobów zarówno dla sprzętu, jak i oprogramowania, w tym dostawcy, marki, modelu, numeru seryjnego, wersji oprogramowania układowego i wersji zainstalowanego oprogramowania.
• Utworzenie i utrzymanie diagramu topologii sieci.
• Zrozumienie, jakie protokoły przemysłowe komunikują się i między którymi zasobami, takimi jak HMI do PLC.
• Dowiedzenie się, jak konfiguruje się zasoby i urządzenia oraz czy te konfiguracje się zmieniają.
• Określenie, jakie luki (słabości) występują w środowisku.
• Wdrożenie scentralizowanego rozwiązania do zarządzania logami w celu przechwytywania logów ze wszystkich zdolnych urządzeń automatyki, w tym przełączników, sterowników PLC, routerów, firewalli, interfejsów HMI itp.

Krok 2. Wdrożyć zabezpieczenia ochronne

Kontrole pomagają zapobiegać lub zmniejszać wpływ cyberataków. Zapewnienie segmentacji sieci między korporacyjną siecią informatyczną przedsiębiorstwa a przemysłową siecią sterowania to świetny pierwszy krok. Zapobiega to wszelkiej nieautoryzowanej komunikacji sieciowej za pomocą firewalli lub list kontroli dostępu na urządzeniach sieciowych.

Kolejną skuteczną kontrolą jest wzmocnienie systemu/urządzenia, dzięki któremu:

• Wszystkie usługi, które nie są ewidentnie potrzebne do uruchomienia procesu przemysłowego, są wyłączone tj. wyłączenie niepewnych protokołów, takich jak telnet, który nie szyfruje ruchu
• Funkcje cyberbezpieczeństwa, takie jak rejestrowanie, SSH, SNMPv3 i inne są włączone
• Urządzenie/system jest sprawdzany pod kątem prawidłowych konfiguracji, tj. zmiany domyślnych haseł i włączenie zarządzania hasłami (długość, siła, złożoność itp.)

Krok 3. Ciągłe monitorowanie

Trzecim krokiem jest wdrożenie ciągłego monitorowania. Podobnie jak w przypadku SCADA, który pomaga zoptymalizować i kontrolować proces przemysłowy, potrzebujesz rozwiązania z zakresu bezpieczeństwa cybernetycznego, które pomoże zoptymalizować i kontrolować widoczność wydarzeń z zakresu cyberbezpieczeństwa przemysłowego i zapewnić, że wprowadzone zabezpieczenia działają poprawnie. Nie jest to czynność jednorazowa - należy ją wykonywać w sposób ciągły, ponieważ systemy automatyki ewoluują, a krajobraz zagrożeń cybernetycznych stale się zmienia.

Przemysłowe monitorowanie cyberbezpieczeństwa pomaga stale odpowiadać na pytania „Skąd mam wiedzieć”, takie jak:

• Skąd mam wiedzieć, czy zmieniają się konfiguracje mojego urządzenia/zasobu i czy zmiany te powodują, że urządzenie jest w niepewnym stanie lub źle dostosowuje się do specyfikacji technicznej?
• Skąd mam wiedzieć, czy zmieniają się moje podstawowe linie operacyjne (konfiguracja urządzenia lub systemu specyficzna dla środowiska, w którym działa)?
• Skąd mam wiedzieć, czy jedno z moich urządzeń znajduje się na skraju awarii?
• Skąd mam wiedzieć, czy złośliwy zasób lub protokół jest teraz obecny w mojej sieci kontrolnej?
• Skąd mam wiedzieć, czy zmienił się mój profil ryzyka?

Jeśli jesteś w stanie odpowiedzieć na wszystkie te pytania, będziesz w stanie utrzymać swój proces przemysłowy bez obaw o cyberataki.

Czas na wdrożenie widoczności, kontroli ochronnych i ciągłego monitorowania jest teraz - każda minuta, w której tego nie robisz, jest minutą, która naraża Twoją sieć na wiele kosztownych zagrożeń.