nulová důvěra (Zero Trust) a sítě OT

  • Článek

nulová důvěra (Zero Trust) je strategie zabezpečení pro navrhování a implementaci následujících sad principů zabezpečení:

Explicitní ověření Použití přístupu s nejnižšími oprávněními Předpokládat porušení zabezpečení
Vždy ověřovat a autorizovat na základě všech dostupných datových bodů. Omezte přístup uživatelů pomocí technologie Just-In-Time a Just-Enough-Access (JIT/JEA), adaptivních zásad založených na rizikech a ochrany dat. Minimalizujte poloměr výbuchu a segmentování přístupu. Ověřte komplexní šifrování a využijte analýzy k získání viditelnosti, zjišťování hrozeb a zlepšení ochrany.

Implementace principů nulová důvěra (Zero Trust) napříč sítěmi OT (Operational Technology), které vám pomůžou s problémy, jako jsou:

  • Řízení vzdálených připojení k systémům OT, zabezpečení síťových přeskakujících příspěvků a zabránění laterálnímu pohybu v síti

  • Kontrola a snížení propojení mezi závislými systémy, zjednodušení procesů identit, jako je například přihlašování dodavatelů k síti

  • Vyhledání kritických bodů selhání ve vaší síti, identifikace problémů v konkrétních segmentech sítě a snížení zpoždění a kritických bodů šířky pásma

Jedinečná rizika a výzvy pro sítě OT

Síťové architektury OT se často liší od tradiční it infrastruktury. Systémy OT používají jedinečnou technologii s proprietárními protokoly a mohou mít stárnoucí platformy a omezené připojení a napájení. Sítě OT můžou mít také specifické bezpečnostní požadavky a jedinečné expozice fyzickým nebo místním útokům, například prostřednictvím externích dodavatelů, kteří se přihlašují k vaší síti.

Vzhledem k tomu, že systémy OT často podporují kritické síťové infrastruktury, jsou často navržené tak, aby upřednostnily fyzickou bezpečnost nebo dostupnost před zabezpečeným přístupem a monitorováním. Například vaše sítě OT můžou fungovat odděleně od jiných podnikových síťových přenosů, aby nedocházelo k výpadkům pravidelné údržby nebo ke zmírnění konkrétních problémů se zabezpečením.

S tím, jak se více sítí OT migruje do cloudových prostředí, může použití principů nulová důvěra (Zero Trust) představovat specifické výzvy. Příklad:

  • Systémy OT nemusí být navržené pro více uživatelů a zásad přístupu na základě rolí a můžou mít pouze jednoduché procesy ověřování.
  • Systémy OT nemusí mít k dispozici výpočetní výkon pro úplné použití zásad zabezpečeného přístupu a místo toho důvěřují veškerému provozu přijatému jako bezpečné.
  • Stárnoucí technologie představují výzvy při zachování znalostí organizace, používání aktualizací a používání standardních analytických nástrojů zabezpečení k získání viditelnosti a řízení detekce hrozeb.

Ohrožení zabezpečení ve vašich důležitých systémech ale může vést k důsledkům z reálného světa nad rámec tradičních IT incidentů a nedodržení předpisů může ovlivnit schopnost vaší organizace dodržovat vládní a oborové předpisy.

Použití principů nulová důvěra (Zero Trust) pro sítě OT

V sítích OT můžete dál používat stejné principy nulová důvěra (Zero Trust) jako v tradičních IT sítích, ale podle potřeby některé logistické úpravy. Příklad:

  • Ujistěte se, že jsou identifikovaná a spravovaná všechna připojení mezi sítěmi a zařízeními, což brání neznámým vzájemným závislostem mezi systémy a obsahující neočekávaný výpadek během postupů údržby.

    Vzhledem k tomu, že některé systémy OT nemusí podporovat všechny potřebné postupy zabezpečení, doporučujeme omezit připojení mezi sítěmi a zařízeními na omezený počet hostitelů přeskakování. Hostitelé přeskakování se pak dají použít ke spuštění vzdálených relací s jinými zařízeními.

    Ujistěte se, že hostitelé jumpů mají silnější bezpečnostní opatření a postupy ověřování, jako jsou vícefaktorové ověřování a systémy pro správu privilegovaného přístupu.

  • Segmentujte síť, abyste omezili přístup k datům a zajistili, že veškerá komunikace mezi zařízeními a segmenty je šifrovaná a zabezpečená a brání laterálnímu pohybu mezi systémy. Ujistěte se například, že všechna zařízení, která přistupují k síti, jsou předem autorizovaná a zabezpečená podle zásad vaší organizace.

    Možná budete muset důvěřovat komunikaci v rámci celého průmyslového řízení a bezpečnostních informačních systémů (ICS a SIS). Síť ale můžete často dále segmentovat do menších oblastí, což usnadňuje monitorování zabezpečení a údržby.

  • Vyhodnoťte signály, jako je umístění zařízení, stav a chování, pomocí dat o stavu k bráně přístupu nebo příznaku pro nápravu. Vyžadovat, aby zařízení byla pro přístup aktuální, a k získání viditelnosti a škálování obrany pomocí automatizovaných odpovědí využijte analýzy.

  • Pokračujte v monitorování metrik zabezpečení, jako jsou autorizovaná zařízení a směrný plán síťového provozu, abyste zajistili, že vaše hraniční síť zachová integritu a změny v organizaci v průběhu času. Možná budete například muset upravit segmenty a zásady přístupu, protože se mění lidé, zařízení a systémy.

nulová důvěra (Zero Trust) s defenderem for IoT

Nasaďte síťové senzory Microsoft Defenderu pro IoT, které detekují zařízení a monitorují provoz v sítích OT. Defender for IoT vyhodnocuje ohrožení zabezpečení vašich zařízení a poskytuje kroky pro zmírnění rizik a nepřetržitě monitoruje zařízení za neobvyklé nebo neoprávněné chování.

Při nasazování síťových senzorů OT používejte lokality a zóny k segmentování sítě.

  • Weby odrážejí mnoho zařízení seskupených podle konkrétní geografické polohy, například kanceláře na konkrétní adrese.
  • Zóny odrážejí logický segment v lokalitě pro definování funkční oblasti, například konkrétní výrobní linky.

Přiřaďte každému senzoru OT konkrétní lokalitě a zóně, abyste zajistili, že každý senzor OT pokrývá určitou oblast sítě. Segmentace senzoru mezi weby a zónami pomáhá monitorovat veškerý provoz mezi segmenty a vynucovat zásady zabezpečení pro každou zónu.

Nezapomeňte přiřadit zásady přístupu na základě webu, abyste mohli poskytnout přístup k datům a aktivitám IoT v programu Defender s nejnižšími oprávněními.

Pokud má vaše rostoucí společnost například továrny a kanceláře v Paříži, Lagosu, Dubaji a Tianjinu, můžete síť segmentovat takto:

Site Zóny
Kancelář v Paříži - Přízemí (hosté)
- Podlaha 1 (Prodej)
- Podlaha 2 (executive)
Kancelář Lagos - Přízemí (kanceláře)
- Podlahy 1-2 (továrna)
Kancelář v Dubaji - Přízemí (kongresové centrum)
- Podlaha 1 (Prodej)
- Podlaha 2 (kanceláře)
Kancelář tchien-tchien - Přízemí (kanceláře)
- Podlahy 1-2 (továrna)

Další kroky

Při připojování senzorů OT na webu Azure Portal můžete vytvářet weby a zóny a přiřazovat uživatelům Azure zásady přístupu na základě webu.

Pokud pracujete ve vzduchovém prostředí s místní konzolou pro správu, vytvořte lokalitu OT a zóny přímo v místní konzole pro správu.

Používejte integrované sešity Defenderu pro IoT a vytvářejte vlastní sešity pro monitorování hraniční sítě zabezpečení v průběhu času.

Další informace naleznete v tématu:

Další informace naleznete v tématu: