Zero Trust e le reti OT

  • Articolo

Zero Trust è una strategia di sicurezza per la progettazione e l'implementazione dei seguenti set di principi di sicurezza:

Verificare esplicita Uso dell'accesso con privilegi minimi Presunzione di violazione
Eseguire sempre l'autenticazione e l'autorizzazione in base a tutti i punti dati disponibili. Limitare l'accesso degli utenti con JUST-In-Time e Just-Enough-Access (JIT/JEA), criteri adattivi basati sui rischi e protezione dei dati. Ridurre al minimo il raggio di esplosione e l'accesso segmento. Verificare la crittografia end-to-end e usare l'analisi per ottenere visibilità, guidare il rilevamento delle minacce e migliorare le difese.

Implementare i principi Zero Trust tra le reti di tecnologia operativa (OT) per aiutarti a risolvere i problemi, ad esempio:

  • Controllo delle connessioni remote nei sistemi OT, protezione dei ponticelli di rete e prevenzione dello spostamento laterale attraverso la rete

  • Revisione e riduzione delle interconnessioni tra sistemi dipendenti, semplificazione dei processi di identità, ad esempio per i terzisti che accedono alla rete

  • Individuazione di singoli punti di errore nella rete, identificazione dei problemi in segmenti di rete specifici e riduzione dei ritardi e dei colli di bottiglia della larghezza di banda

Rischi e sfide unici per le reti OT

Le architetture di rete OT spesso differiscono dall'infrastruttura IT tradizionale. I sistemi OT usano tecnologie uniche con protocolli proprietari e possono avere piattaforme obsolete e connettività e potenza limitate. Le reti OT possono anche avere requisiti di sicurezza specifici e esposizione univoca ad attacchi fisici o locali, ad esempio tramite terzisti esterni che accedono alla rete.

Poiché i sistemi OT spesso supportano infrastrutture di rete critiche, sono spesso progettati per assegnare priorità alla sicurezza fisica o alla disponibilità rispetto all'accesso sicuro e al monitoraggio. Ad esempio, le reti OT potrebbero funzionare separatamente da altri traffici di rete aziendali per evitare tempi di inattività per la manutenzione regolare o per attenuare problemi di sicurezza specifici.

Man mano che più reti OT esegrano in ambienti basati sul cloud, l'applicazione dei principi Zero Trust può presentare sfide specifiche. Ad esempio:

  • I sistemi OT potrebbero non essere progettati per più utenti e criteri di accesso in base al ruolo e possono avere solo processi di autenticazione semplici.
  • I sistemi OT potrebbero non avere la potenza di elaborazione disponibile per applicare completamente i criteri di accesso sicuro e considerare attendibile tutto il traffico ricevuto come sicuro.
  • La tecnologia di invecchiamento presenta sfide nella conservazione delle conoscenze dell'organizzazione, nell'applicazione degli aggiornamenti e nell'uso di strumenti di analisi della sicurezza standard per ottenere visibilità e favorire il rilevamento delle minacce.

Tuttavia, una compromissione della sicurezza nei sistemi cruciali può causare conseguenze reali oltre agli eventi imprevisti IT tradizionali e la mancata conformità può influire sulla capacità dell'organizzazione di conformarsi alle normative governative e del settore.

Applicazione di principi Zero Trust alle reti OT

Continuare ad applicare gli stessi principi Zero Trust nelle reti OT come si farebbe nelle reti IT tradizionali, ma con alcune modifiche logistiche in base alle esigenze. Ad esempio:

  • Assicurarsi che tutte le connessioni tra reti e dispositivi siano identificate e gestite, impedendo interdipendenze sconosciute tra sistemi e contenenti tempi di inattività imprevisti durante le procedure di manutenzione.

    Poiché alcuni sistemi OT potrebbero non supportare tutte le procedure di sicurezza necessarie, è consigliabile limitare le connessioni tra reti e dispositivi a un numero limitato di jump host. Gli host jump possono quindi essere usati per avviare sessioni remote con altri dispositivi.

    Assicurarsi che gli host jump abbiano misure di sicurezza e procedure di autenticazione più avanzate, ad esempio l'autenticazione a più fattori e i sistemi di gestione degli accessi con privilegi.

  • Segmentare la rete per limitare l'accesso ai dati, assicurandosi che tutte le comunicazioni tra dispositivi e segmenti siano crittografate e protette e impediscano lo spostamento laterale tra i sistemi. Ad esempio, assicurarsi che tutti i dispositivi che accedono alla rete siano pre-autorizzati e protetti in base ai criteri dell'organizzazione.

    Potrebbe essere necessario fidarsi della comunicazione tra l'intero controllo industriale e i sistemi informativi sulla sicurezza (ICS e SIS). Tuttavia, è spesso possibile segmentare ulteriormente la rete in aree più piccole, semplificando il monitoraggio della sicurezza e della manutenzione.

  • Valutare segnali come la posizione del dispositivo, l'integrità e il comportamento, usando i dati di integrità per controllare l'accesso o il flag per la correzione. Richiedere che i dispositivi siano aggiornati per l'accesso e usare l'analisi per ottenere visibilità e misure di difesa con risposte automatiche.

  • Continuare a monitorare le metriche di sicurezza, ad esempio i dispositivi autorizzati e la baseline del traffico di rete, per assicurarsi che il perimetro di sicurezza mantenga l'integrità e le modifiche apportate all'organizzazione nel tempo. Ad esempio, potrebbe essere necessario modificare i segmenti e i criteri di accesso man mano che cambiano persone, dispositivi e sistemi.

Zero Trust con Defender per IoT

Distribuire sensori di rete di Microsoft Defender per IoT per rilevare i dispositivi e monitorare il traffico tra le reti OT. Defender per IoT valuta i dispositivi per individuare le vulnerabilità e fornisce passaggi di mitigazione basati sul rischio e monitora continuamente i dispositivi per individuare comportamenti anomali o non autorizzati.

Quando si distribuiscono sensori di rete OT, usare siti e zone per segmentare la rete.

  • I siti riflettono molti dispositivi raggruppati in base a una posizione geografica specifica, ad esempio l'ufficio in un indirizzo specifico.
  • Le zone riflettono un segmento logico all'interno di un sito per definire un'area funzionale, ad esempio una linea di produzione specifica.

Assegnare ogni sensore OT a un sito e a una zona specifici per assicurarsi che ogni sensore OT copre un'area specifica della rete. Segmentare il sensore tra siti e zone consente di monitorare qualsiasi traffico che passa tra segmenti e applicare criteri di sicurezza per ogni zona.

Assicurarsi di assegnare criteri di accesso basati sul sito in modo che sia possibile fornire l'accesso con privilegi minimi ai dati e alle attività di Defender per IoT.

Ad esempio, se la tua azienda in crescita ha stabilimenti e uffici a Parigi, Dubai, Dubai e Societa, potresti segmentare la tua rete come indicato di seguito:

Site Zone
Ufficio di Parigi - Piano terra (Ospiti)
- Piano 1 (Vendite)
- Piano 2 (Executive)
Ufficio di Londra - Piano terra (uffici)
- Piani 1-2 (Fabbrica)
Ufficio di Dubai - Piano terra (centro convenzioni)
- Piano 1 (Vendite)
- Piano 2 (uffici)
Ufficio di Succursale - Piano terra (uffici)
- Piani 1-2 (Fabbrica)

Passaggi successivi

Creare siti e zone durante l'onboarding dei sensori OT nella portale di Azure e assegnare criteri di accesso basati sul sito agli utenti di Azure.

Se si lavora in un ambiente air-gapped con una console di gestione locale, creare siti e zone OT direttamente nella console di gestione locale.

Usare le cartelle di lavoro predefinite di Defender per IoT e creare cartelle di lavoro personalizzate per monitorare il perimetro di sicurezza nel tempo.

Per altre informazioni, vedi:

Per altre informazioni, vedi: