Zero Trust e as suas redes OT

  • Artigo

Zero Trust é uma estratégia de segurança para projetar e implementar os seguintes conjuntos de princípios de segurança:

Verificar explicitamente Usar acesso com privilégios mínimos Assuma a violação
Sempre autentique e autorize com base em todos os pontos de dados disponíveis. Limite o acesso do usuário com Just-In-Time e Just-Enough-Access (JIT/JEA), políticas adaptativas baseadas em risco e proteção de dados. Minimize o raio de jateamento e o acesso ao segmento. Verifique a criptografia de ponta a ponta e use análises para obter visibilidade, impulsionar a deteção de ameaças e melhorar as defesas.

Implemente os princípios Zero Trust em suas redes de tecnologia operacional (OT) para ajudá-lo com desafios, como:

  • Controlando conexões remotas em seus sistemas de OT, protegendo seus postos de salto de rede e impedindo o movimento lateral em sua rede

  • Revisão e redução de interconexões entre sistemas dependentes, simplificando processos de identidade, como para empreiteiros que entram em sua rede

  • Encontrar pontos únicos de falha em sua rede, identificar problemas em segmentos de rede específicos e reduzir atrasos e gargalos de largura de banda

Riscos e desafios únicos para as redes OT

As arquiteturas de rede OT geralmente diferem da infraestrutura de TI tradicional. Os sistemas OT usam tecnologia exclusiva com protocolos proprietários, e podem ter plataformas envelhecidas e conectividade e energia limitadas. As redes OT também podem ter requisitos de segurança específicos e exposições exclusivas a ataques físicos ou locais, por exemplo, através de contratantes externos que iniciam sessão na sua rede.

Como os sistemas de OT geralmente suportam infraestruturas de rede críticas, eles geralmente são projetados para priorizar a segurança física ou a disponibilidade em detrimento do acesso e monitoramento seguros. Por exemplo, suas redes OT podem funcionar separadamente de outro tráfego de rede corporativa para evitar tempo de inatividade para manutenção regular ou para mitigar problemas de segurança específicos.

À medida que mais redes OT migram para ambientes baseados em nuvem, a aplicação dos princípios Zero Trust pode apresentar desafios específicos. Por exemplo:

  • Os sistemas OT não podem ser projetados para vários usuários e políticas de acesso baseadas em função e podem ter apenas processos de autenticação simples.
  • Os sistemas OT podem não ter o poder de processamento disponível para aplicar totalmente políticas de acesso seguro e, em vez disso, confiar em todo o tráfego recebido como seguro.
  • A tecnologia envelhecida apresenta desafios na retenção de conhecimento organizacional, na aplicação de atualizações e no uso de ferramentas padrão de análise de segurança para obter visibilidade e impulsionar a deteção de ameaças.

No entanto, um comprometimento da segurança em seus sistemas de missão crítica pode levar a consequências no mundo real além dos incidentes tradicionais de TI, e a não conformidade pode afetar a capacidade da sua organização de estar em conformidade com as regulamentações governamentais e do setor.

Aplicação dos princípios Zero Trust às redes OT

Continue a aplicar os mesmos princípios Zero Trust em suas redes OT como faria em redes de TI tradicionais, mas com algumas modificações logísticas conforme necessário. Por exemplo:

  • Certifique-se de que todas as conexões entre redes e dispositivos sejam identificadas e gerenciadas, evitando interdependências desconhecidas entre sistemas e contendo qualquer tempo de inatividade inesperado durante os procedimentos de manutenção.

    Como alguns sistemas OT podem não suportar todas as práticas de segurança necessárias, recomendamos limitar as conexões entre redes e dispositivos a um número limitado de hosts de salto. Os hosts Jump podem ser usados para iniciar sessões remotas com outros dispositivos.

    Certifique-se de que os seus anfitriões jump têm medidas de segurança e práticas de autenticação mais fortes, tais como autenticação multifator e sistemas de gestão de acesso privilegiado.

  • Segmente sua rede para limitar o acesso aos dados, garantindo que toda a comunicação entre dispositivos e segmentos seja criptografada e segura e impedindo o movimento lateral entre sistemas. Por exemplo, certifique-se de que todos os dispositivos que acedem à rede estão pré-autorizados e protegidos de acordo com as políticas da sua organização.

    Pode ser necessário confiar na comunicação em todos os seus sistemas de informações de segurança e controle industrial (ICS e SIS). No entanto, muitas vezes você pode segmentar ainda mais sua rede em áreas menores, facilitando o monitoramento de segurança e manutenção.

  • Avalie sinais como localização, integridade e comportamento do dispositivo, usando dados de integridade para bloquear o acesso ou sinalizar para remediação. Exija que os dispositivos estejam atualizados para acesso e use análises para obter visibilidade e dimensionar defesas com respostas automatizadas.

  • Continue a monitorar as métricas de segurança, como dispositivos autorizados e sua linha de base de tráfego de rede, para garantir que seu perímetro de segurança mantenha sua integridade e que as mudanças em sua organização aconteçam ao longo do tempo. Por exemplo, pode ser necessário modificar seus segmentos e políticas de acesso à medida que pessoas, dispositivos e sistemas mudam.

Zero Trust com o Defender for IoT

Implante sensores de rede do Microsoft Defender para IoT para detetar dispositivos e monitorar o tráfego em suas redes OT. O Defender for IoT avalia seus dispositivos em busca de vulnerabilidades e fornece etapas de mitigação baseadas em risco e monitora continuamente seus dispositivos em busca de comportamento anômalo ou não autorizado.

Ao implantar sensores de rede OT, use sites e zonas para segmentar sua rede.

  • Os sites refletem muitos dispositivos agrupados por uma localização geográfica específica, como o escritório em um endereço específico.
  • As zonas refletem um segmento lógico dentro de um local para definir uma área funcional, como uma linha de produção específica.

Atribua cada sensor OT a um local e zona específicos para garantir que cada sensor OT cubra uma área específica da rede. A segmentação do sensor entre sites e zonas ajuda-o a monitorizar qualquer tráfego que passe entre segmentos e a aplicar políticas de segurança para cada zona.

Certifique-se de atribuir políticas de acesso baseadas no site para que você possa fornecer acesso com privilégios mínimos aos dados e atividades do Defender for IoT.

Por exemplo, se a sua empresa em crescimento tiver fábricas e escritórios em Paris, Lagos, Dubai e Tianjin, você pode segmentar sua rede da seguinte maneira:

Site Zonas
Escritório de Paris - Rés do chão (Hóspedes)
- Piso 1 (Vendas)
- Piso 2 (Executivo)
Escritório de Lagos - Rés do chão (Escritórios)
- Pisos 1-2 (Fábrica)
Escritório de Dubai - Rés do chão (Centro de Convenções)
- Piso 1 (Vendas)
- Piso 2 (Escritórios)
Escritório de Tianjin - Rés do chão (Escritórios)
- Pisos 1-2 (Fábrica)

Próximos passos

Crie sites e zonas à medida que integra sensores OT no portal do Azure e atribua políticas de acesso baseadas em site aos seus utilizadores do Azure.

Se você estiver trabalhando em um ambiente air-gapped com um console de gerenciamento local, crie site e zonas OT diretamente no console de gerenciamento local.

Use pastas de trabalho internas do Defender for IoT e crie suas próprias pastas de trabalho personalizadas para monitorar seu perímetro de segurança ao longo do tempo.

Para obter mais informações, consulte:

Para obter mais informações, consulte: