A CI Fortify útmutató segít a létfontosságú infrastruktúrát üzemeltető szervezeteknek növelni a kiberellenálló képességüket. Nemzetközi partnerekkel közösen dolgozták ki, és bemutatja, hogyan tudják a szervezetek elszigetelni a létfontosságú operatív technológiát (OT) és a támogató rendszereket a többi hálózattól kibertámadások idején vagy fokozott kiberveszély esetén. Gyakorlati útmutatást és stratégiai tanácsokat ad OT-tulajdonosoknak, üzemeltetőknek és kiberbiztonsági csapatoknak. Ha a szervezet áttekinti és alkalmazza ezeket az ajánlásokat, jobban fel tud készülni a kibertámadásokra, hatékonyabban tud reagálni, és gyorsabban tud helyreállni.

Legfontosabb teendők

• Tekintse át a CI Fortify útmutatót, hogy megértse, az életbevágó rendszerek elszigetelése hogyan segíti a működési ellenálló képességet.
• Dolgozzon ki és teszteljen terveket az OT és a támogató rendszerek elszigetelésére kibertámadások idején.
• Helyezze előtérbe azokat a beruházásokat, amelyek támogatják a rendszerek elszigetelését és helyreállítását.

Ajánlott előzetes olvasmány

Ha még nem olvasta a saját joghatóságának illetékes ügynöksége által kiadott bevezető útmutatót, érdemes felkeresni az alábbiak egyikét:

• Az Australian Signals Directorate (ASD)
• CI Fortify: Az Egyesült Államok Cyber and Infrastructure Security Agency-je (CISA)
• CI Fortify: Az Egyesült Királyság National Cyber Security Centre-je (NCSC-UK)
• How to prepare for and plan your organisation’s response to severe cyber threat: a guide for CNI: A Canadian Centre for Cyber Security (Cyber Centre)
• Critical infrastructure resilience and escalated threat navigation (CIREN) initiative

Cél

Az útmutató lépésről lépésre bemutatja, hogyan lehet sikeresen elszigetelni a létfontosságú operatív technológiát (OT) és a támogató rendszereket minden más hálózattól. Ha ez a képesség rendelkezésre áll, az OT-tulajdonosok, az üzemeltetők és a kiberbiztonsági szakemberek válsághelyzetben vagy szolgáltatáskiesés esetén is fenn tudják tartani a létfontosságú szolgáltatások működését.

Bevezetés

Az államilag támogatott kibertevékenységet folytató szereplők rendszeresen veszik célba a létfontosságú infrastruktúrát (CI), hogy kémkedjenek, vagy hogy válság vagy fegyveres konfliktus esetére előre pozíciót foglaljanak zavaró vagy pusztító támadásokhoz. [4]

A kiberbűnözők továbbra is alkalomszerűen támadják a létfontosságú infrastruktúrát üzemeltető szervezeteket. Az általuk tárolt adatok érzékenysége, illetve a szolgáltatásaik fontossága vonzó célponttá teszi őket azoknak a kiberbűnözőknek, akik adatkiszivárogtatással vagy zsarolóvírus-támadásokkal próbálnak pénzt kicsikarni, illetve zavaró vagy pusztító hatást elérni.

A tartós fenyegetésekre válaszul a létfontosságú infrastruktúrát üzemeltető szervezeteknek képesnek kell lenniük arra, hogy a létfontosságú OT-t és a támogató rendszereket minden más hálózattól elszigeteljék, és így biztosítsák a kritikus szolgáltatások folytonosságát. A létfontosságú OT és a támogató rendszerek elszigetelése meg tudja akadályozni, hogy a rosszindulatú kibertevékenységet folytató szereplők elérjék a céljukat, segít megfékezni az éppen zajló incidenseket, és lehetővé teszi a feltört rendszerek biztonságos újjáépítését.

Az elszigetelés kritikus lépései

1. A létfontosságú rendszerek és hálózatok azonosítása

Először azonosítsa azokat a rendszereket és hálózatokat, amelyek a kritikus szolgáltatást támogatják. Ezek alkotják azt a minimális rendszerszintet és hálózati kört, amely a kritikus szolgáltatás nyújtásához szükséges.

További útmutatást az OT-eszközök azonosításához az ASD és nemzetközi partnerei anyagaiban talál:

• Foundations for OT cybersecurity: Asset inventory guidance for owners and operators
• Creating and maintaining a definitive view of your OT architecture

2. A kritikus ügyfelek azonosítása

Azonosítsa a függő létfontosságú infrastruktúrákat (kritikus ügyfeleket), például a katonai infrastruktúrát és az alapvető életfenntartó szolgáltatásokat, majd az igényeik alapján határozza meg a szolgáltatási célértéket (például megawattban és az áramellátás minőségében, vagy a naponta szolgáltatott vízmillió gallonban).

3. Közös kritikalitási szintek és megbízhatóság meghatározása a hálózatok és gépek számára

Az OT-környezeteken belül eltérő kritikalitási fokok és fenyegetettségi szintek érvényesülnek. Egy megfelelően szegmentált hálózatban a gépeket és rendszereket olyan szegmensekbe és zónákba csoportosítják, amelyek azonos kritikalitási szinttel és hasonló fenyegetettséggel rendelkeznek. Használja a kockázatkezelési folyamatokat a hálózatok és gépek közös kritikalitási szintjeinek és megbízhatóságának meghatározásához, hogy kijelölje a megfelelő szegmenseket és zónákat. Ez megkönnyíti az OT-n belüli további szegmentálást, és a kockázatnak megfelelő védelmi intézkedések alkalmazását.

További információért keresse fel az ASD és nemzetközi partnereik 3. alapelvét: Az eszközök azonosítása és kategorizálása a megalapozott, kockázatalapú döntéshozatal támogatására a létfontosságú OT-architektúra átfogó áttekintésének kialakítása és fenntartása érdekében.

4. A létfontosságú rendszerekhez vezető kapcsolatok feltérképezése és a lehetséges elszigetelési pontok azonosítása

Miután azonosította és besorolta a létfontosságú rendszereket és hálózatokat, vegyen számba és rögzítsen minden kapcsolódási pontot a kritikus hálózatok és más rendszerek között. Ezt az információt a napi üzemeltetés és a változáskezelési folyamatok részeként folyamatosan frissítse. A nyilvántartás tartalmazza többek között az alábbi kapcsolódásokat:

• nem kritikus vállalati rendszerek
• gyártói távoli hozzáférés (rendszeres és vészhelyzeti egyaránt), beleértve a tanácsadók, alvállalkozók és menedzselt szolgáltatók munkatársait
• nem megbízható hálózatok (például internetkapcsolat)
• felhőkörnyezetek, beleértve a „private cloud” ajánlatokat
• más kritikus hálózatok, például egyéb közműszolgáltatók, illetve ütemező vagy diszpécser operátorok hálózatai.

Állapítsa meg, hol haladnak át a kritikus hálózatok alacsonyabb megbízhatósági szintű és sebezhető hálózatokon, és jegyezze fel a kapcsolat típusát, például:

• szolgáltató által biztosított hálózatok
• rádiós pont–pont összeköttetés
• mobilkapcsolat
• műholdas kapcsolat
• vezeték nélküli (Wi-Fi) hálózatok.

Azonosítsa az áthaladó hálózati kapcsolat típusát és a meglévő védelmi mechanizmusokat, például a titkosítást.

Értse meg az egyes azonosított kapcsolatok üzleti kontextusát. Rögzítse többek között az alábbi információkat:

• a létfontosságú rendszer és a kapcsolódó rendszer(ek) rendszergazdája vagy tulajdonosa
• külső szolgáltató (ha van ilyen)
• a kapcsolat által lehetővé tett információáramlás típusa (például protokoll vagy alkalmazás)
• az információáramlás kritikalitása, beleértve a rendelkezésre állást, valamint a Recovery Point Objective (RPO) és a Recovery Time Objective (RTO) célértékeket.

Minden azonosított kapcsolathoz gondoskodjon a kritikus technikai információk dokumentálásáról. Ide tartozik:

• architekturális ábrák
• internetátjáró-dokumentáció
• tűzfal-, router- és virtuális magánhálózat (VPN) konfigurációs információk
• más szervezetekhez vezető kapcsolatok esetén a rendszeres és vészhelyzeti elérhetőségek captálása.

Erre a kritikus technikai információra szükség lesz az elszigetelési kontrollok kialakításához.

Fontos szempont, hogy a rendszerek elszigetelése manuális folyamatokat indít be, és megszakítja a rendszerek közötti kommunikációt. Ez hatással lehet a felfelé irányuló függőségekre és partnerekre, például más közműszolgáltatókra, illetve ütemező vagy diszpécser operátorokra. A szervezeteknek az elszigetelési tervezés részeként fel kell tárniuk és át kell beszélniük a kritikus függőségeket az érintett partnerekkel és együttműködő felekkel.

További információ az ASD és nemzetközi partnerei 4. alapelv: Az OT-rendszeren belüli kapcsolatok azonosítása és dokumentálása – Az OT-architektúra átfogó képének kialakítása és fenntartása anyagában található. [8]

5. Hatékony elválasztási és elszigetelési pontok kialakítása

A létfontosságú és nem létfontosságú hálózatok és szolgáltatások közé épített elszigetelési pontok nagyon hatékonyan korlátozzák, hogy a rosszindulatú szereplők átjussanak a létfontosságú rendszerekbe.

A létfontosságú hálózatokon belüli elszigetelési pontok képesek:

• megfogni a kibertámadásokat
• korlátozni az üzemmenetre gyakorolt hatást
• csökkenteni az időt, ami a támadó eltávolításához és a teljes szolgáltatás helyreállításához szükséges.

A létfontosságú rendszerek minden más hálózattól és rendszertől való tervezett fizikai elválasztása előfeltétele a fizikai elszigetelésnek. A szervezeteknek fizikai elszigetelési pontokat kell beépíteniük a létfontosságú rendszereikbe, hogy szükség esetén képesek legyenek minden más hálózattól és rendszertől elszigetelten működni. A fizikai elszigetelés azt jelenti, hogy a létfontosságú és nem létfontosságú rendszerek között nincs kapcsolat és nincs közös infrastruktúra. A létfontosságú OT- és támogató rendszerek fizikai elszigetelése a leghatékonyabb védelem, és a működés idejére várhatóan manuális folyamatokat indít be, valamint megszakítja a rendszerek közötti kommunikációt. A szervezeteknek át kell gondolniuk, hogyan tudnak ilyen állapotban hosszabb ideig működni.

Azoknál a szervezeteknél, ahol az alaptevékenység internetre kapcsolódó szolgáltatásoktól vagy földrajzilag szétszórt telephelyektől függ, a teljes fizikai elszigetelés telephelyenként nem feltétlenül megvalósítható. Ilyenkor nagyobb hangsúlyt kell fektetni az OT-határok megerősítésére és védelmére azokban a környezetekben, amelyeknek kapcsolódva kell maradniuk.

Ennek a képességnek a kialakítása idő- és erőforrás-befektetést igényel. Az elválasztási és elszigetelési pontok kiépítésének minden egyes lépése részleges fejlesztést hoz a támadási felület csökkentésében, és egy folyamatos, lépésről lépésre haladó folyamat részeként értelmezhető. A végső cél azonban az, hogy a létfontosságú szolgáltatások elszigetelt állapotban is működőképesek maradjanak.

• Online létfontosságú infrastruktúra
  • Erősítse meg az OT-határt, és teljesen válassza szét a menedzsment- és adminisztrációs rendszereket.
  • Vezessen be adminisztratív hálózati kontrollokat, például:
    • VLAN-ok
    • MPLS
    • IP-hozzáférési listák
    • útvonalblokkolás
    • routing black hole-ok
  • Védje a hálózat vezérlősíkját, ahol adminisztratív kontrollokat használ.
• Ipari létfontosságú infrastruktúra
  • Csökkentse a nem OT-jellegű függőségeket az OT-hálózaton belüli, helyben biztosított létesítményi képességekkel.
  • Válassza szét és szigetelje el fizikailag a létfontosságú OT- és támogató rendszereket.

Elosztott létfontosságú infrastruktúra

• Ha a teljes fizikai elszigetelés nem megoldható, előfordulhat, hogy a szolgáltatói vagy harmadik féltől származó kommunikációt nem lehet elkerülni.
• Ha csak lehet, használjon dedikált kommunikációs útvonalakat a létfontosságú rendszerekhez, például dedikált optikai szálpárokat és CWDM-hullámhosszakat.
• Alkalmazzon erős titkosítást a nem biztonságos és megosztott kommunikációs kapcsolatokon.

Elszigetelési intézkedések minden létfontosságú infrastruktúrára

• Fontolja meg adatdiódák és/vagy cross-domain megoldás használatát, ha adatátvitelre van szükség létfontosságú és nem létfontosságú hálózatok között.
• Gondoskodjon róla, hogy a támogató rendszereket – például a szünetmentes tápegységeket, a tartalék áramtermelést, a hűtést és a fizikai biztonsági rendszereket – a legkritikusabb hálózatokból menedzseljék.

Építsen ki önálló OT-képességet, és értse meg annak igényeit

A létfontosságú hálózatok hatékony elszigetelését befolyásolhatják az OT- és nem OT-rendszerek közötti függőségek. A CI-üzemeltetőknek csökkenteniük, majd megszüntetniük kell azokat a függőségeket, amelyek akadályozzák a létfontosságú hálózatok hatékony elszigetelését. Ehhez helyben működő, önálló létesítményi képességeket kell kiépíteniük az OT-hálózaton belül.

Az OT- és nem OT-rendszerek gyakran az alábbi technológiai területeken hoznak létre függőségeket:

• egységes routing- és switching-infrastruktúra, különösen az adatközpontokban
• natív dokumentumkezelő rendszerek a konfigurációkhoz, firmware-ekhez és binárisokhoz
• megosztott virtualizációs infrastruktúra, beleértve a közös hypervisorokat és fizikai hosztokat
• megosztott Storage Area Networkök (SAN-ek) és Network Attached Storage célpontok
• mentési és helyreállítási szolgáltatások
• közös identitás-, név- és címfeloldó szolgáltatások, például Active Directory (AD), Domain Name System (DNS) és Dynamic Host Control Protocol (DHCP)
• Public Key Infrastructure és tanúsítványszolgáltatások
• időszinkronizációs szolgáltatások, például Network Time Protocol és Precision Time Protocol, amelyeket vállalati és internetes források biztosítanak.

A CI-üzemeltetőknek fel kell mérniük és meg kell szüntetniük az OT- és a nem létfontosságú OT-rendszereik közötti függőségeket. Így biztosítható, hogy a fizikai elszigetelés ne okozzon előre nem látott teljesítményproblémákat, amelyek a létfontosságú szolgáltatás kieséséhez vezethetnek, és hogy a teljesítményproblémák – beleértve a létfontosságú szolgáltatás minőségének romlását – elfogadható szinten maradjanak a létfontosságú függőségek mellett.

Válsághelyzetben az üzemeltetők versenyezni fognak az olyan tipikus támogató erőforrásokért, mint a gyártók, integrátorok, fogyóanyag-beszállítók (üzemanyag, vegyszerek) és incidenskezelők. Az OT-szuverenitás emberi tervezési oldala többek között az alábbi elemeket tartalmazza:

• külső függőségek megszüntetése az elszigeteléshez vagy a kezdeti helyreállításhoz
• szolgáltatási szint megállapodások ellenőrzése a kiemelt támogatásra
• vészhelyzeti kommunikáció előzetes kialakítása a normál személyzet, valamint a megmaradó harmadik félhez kötődő függőségek számára.

Valósítson meg fizikai szétválasztást és elszigetelést

A fizikai szétválasztás és az elszigetelés két külön fogalom. Fizikai szétválasztásról akkor beszélünk, ha az infrastruktúra független, míg az elszigetelés azt jelenti, hogy szükség esetén le lehet választani a rendszereket, és önállóan tovább tudnak működni.

Ahhoz, hogy az OT-hálózatok fizikailag szétválasztottak legyenek, nem oszthatnak meg semmilyen aktív infrastruktúrát a nem OT-hálózatokkal. Ide tartoznak a switchek, routerek, repeaterek, multiplexerek vagy számítási erőforrások. A támogató infrastruktúrát, például a szünetmentes tápegységeket és a generátorokat sem szabad nem létfontosságú hálózatokról vezérelni.

Elszigetelés elosztott létfontosságú infrastruktúrában

A CI-üzemeltetők gyakran földrajzilag kiterjedt területen dolgoznak, több, egymástól távol eső helyszínen működő létfontosságú rendszerekkel. Azoknál a szervezeteknél, amelyek kommunikációs eszközei lefedik a teljes működési területüket, a létfontosságú és nem létfontosságú rendszerek közötti elszigetelést úgy lehet fenntartani, hogy a létfontosságú rendszerek számára dedikált átviteli közeget használnak, amelyet nem osztanak meg a nem létfontosságú rendszerekkel. Ilyen lehet például a dedikált szálpár az optikai kábelben, vagy a dedikált hullámhossz a Coarse Wavelength Division Multiplexing (CWDM) rendszerekben.

Az elosztott létfontosságú hálózatoknak előfordulhat, hogy szolgáltatói vagy harmadik féltől származó kommunikációs csatornákat kell használniuk, ami miatt a fizikai elszigetelés nem megvalósítható. Ilyen esetben hatékony elszigetelést lehet elérni erős titkosítással a nem megbízható és megosztott kommunikációs kapcsolatok felett. A CI-üzemeltetőknek tisztában kell lenniük azzal, milyen hatással jár egy ilyen kapcsolat kiesése, és érdemes vészhelyzeti tervet kidolgozniuk, hogy a létfontosságú szolgáltatások kapcsolata ilyen helyzetben is fennmaradjon.

A CI-üzemeltetőknek minden szolgáltatói szolgáltatást nem megbízhatónak és potenciálisan ellenséges környezetként kell kezelniük. Alkalmazzanak erős kiberbiztonsági kontrollokat az üzemeltető és a szolgáltató közötti interfész védelmére, valamint az adatok integritásának megőrzésére a szolgáltató hálózatán keresztülhaladó forgalom esetén. Ne használják az OT-eszközökbe épített titkosítást – mindig dedikált eszközzel valósítsák meg a titkosítást az nem megbízható szolgáltatói kapcsolatok felett.

2. rétegbeli szolgáltatások

A 2. rétegbeli szolgáltatói ethernet szolgáltatások, például az E-Line és E-LAN, vagy az Ethernet-over-MPLS (EoMPLS) és a Virtual Private LAN Services (VPLS), védhetők robusztus link-szintű ethernet titkosítási technológiákkal, mint például a Media Access Control security (MACsec). A titkosító eszközt dedikálni kell a védett létfontosságú hálózathoz, minden felesleges szolgáltatást le kell tiltani rajta, rendszeresen fel kell mérni és javítócsomaggal ellátni a létfontosságú hálózatot az ismert sebezhetőségek ellen, és meg kell akadályozni minden távoli hozzáférést vagy konfigurációt a nem megbízható hálózat felől.

3. rétegbeli szolgáltatások

A szolgáltatók által nyújtott 3. rétegbeli szolgáltatásokat IP-alapú titkosítással, például az Internet Protocol Securityvel (IPSEC), vagy gyártóspecifikus technológiákkal, mint a Group Encrypted Transport VPN (GETVPN) és a Dynamic Multipoint VPN (DMVPN), lehet titkosítani. A titkosítást azon megbízható hálózati eszközön kell megvalósítani, amely a létfontosságú hálózat része. A kapcsolatot az nem megbízható szolgáltatói hálózattal úgy kell korlátozni, hogy csak a titkosított alagút részét képező csomagokat küldje és fogadja. A hálózati eszközhöz minden távoli hozzáférésnek a létfontosságú hálózaton lévő megbízható menedzsment gépekről (például kiemelt jogosultságú munkaállomásokról) kell érkeznie. Ezt feltételes hozzáféréssel kell kikényszeríteni.

Kövesd a gyártói, az ASD és a nemzetközi ajánlásokat a hálózati eszközök megerősítésére és a sebezhetőségek kezelésére. Ide tartozik például:

• az ASD útmutatója az edge eszközök védelméről
• az Egyesült Királyság National Cyber Security Centre-jének Elvek a biztonságos, kiemelt jogosultságú munkaállomásokhoz[9] és a PAW-ok használata OT környezetben[10] című anyagai

További útmutatás a titkosításhoz

A titkosítással kapcsolatos itt szereplő tanácsok nem teljes körűek. A CI elszigeteléséhez szükséges erős kriptográfiai kontrollok megvalósítása részletesen átgondolt protokoll- és algoritmusválasztást, eszközválasztást és -elhelyezést, kulcselosztást és -kezelést, a vezérlősík elszigetelését és az eszközök megerősítését igényli.

A CI üzemeltetőknek érdemes áttanulmányozniuk az ASD által közzétett Útmutató a kriptográfiához és a Felkészülés a poszt-kvantum kriptográfiára című anyagokat, amelyek részletesen bemutatják az engedélyezett kriptográfiai protokollokat, algoritmusokat és megvalósításokat.

6. Készíts és tesztelj elszigetelési tervet

Fokozatos elszigetelési terv

A fokozatos elszigetelési terv lehetővé teszi, hogy lépésről lépésre zárd le a létfontosságú OT és a támogató rendszerek felé vezető útvonalakat, miközben igyekszel fenntartani az üzleti folyamatok folytonosságát. Ha a kiberfenyegetettség szintje romlik, az OT rendszerekhez való hozzáférés fokozatos korlátozása hatékonyan megállíthatja vagy legalábbis lassíthatja a létfontosságú OT és a támogató rendszerek elleni támadásokat. Ugyanakkor a CI üzemeltetőknek fel kell készülniük arra is, hogy a legfontosabb rendszereket teljesen elszigeteljék, és ehhez ki kell építeniük a szükséges képességeket. Az elszigetelési tervnek igazodnia kell az üzleti küldetéshez és a működési követelményekhez. A fokozatos megközelítés célállapota továbbra is a létfontosságú OT és a támogató rendszerek teljes elszigetelése.

A fokozatos elszigetelési terv a kiberfenyegetésekre adott választ a mindennapi üzleti működésre gyakorolt hatás szempontjából vizsgálja. Ha már korán lezárod a létfontosságú rendszerekhez vezető útvonalakat, csökkented a támadók számára elérhető támadási felületet.

Az alábbi példa egy fiktív villamosenergia-átviteli vállalat fokozatos elszigetelési tervét mutatja be:

• Megszüntetik a távoli munkavégzők hozzáférését az OT környezetekhez (közbenső, nem OT rendszereken lévő jump hostokon keresztül).
• Megszüntetik a helyszíni távoli hozzáférést az OT környezetekhez.
• Elszigetelik az összes kapcsolatot a nem OT és az OT környezetek között.
• Elszigetelik az alacsonyabb prioritású kapcsolatokat az egyenrangú OT–OT környezetek között.
• Teljesen elszigetelik az OT környezetet és a létfontosságú rendszereket.

Az egyes elszigetelési lépések kiváltó feltételeit előre meg kell határozni, és össze kell hangolni a szervezet incidenskezelési tervével.

Vizsgáld meg a hálózati routing táblákat a létfontosságú és a nem létfontosságú rendszereken is, hogy kiderüljön, történt-e összekapcsolódás, vagy maradtak-e olyan statikus útvonalak, amelyek megkönnyíthetik az elszigetelési intézkedések véletlen vagy szándékos megkerülését. Lényeges egy jól definiált, hierarchikus IP-címozási séma, mert ez segíti a létfontosságú és nem létfontosságú hálózatok útvonal-prefixeinek és összegző útvonalainak kategorizálását és azonosítását. A routing táblákat kézzel is ellenőrizheted a hálózat kulcsfontosságú konvergenciapontjain, vagy beállíthatod az eszközöket úgy, hogy a routing tábla frissítéseit és a szomszédsági viszonyok változásait automatikusan naplózzák egy naplószerverre vagy helyszíni Security Information and Event Management (SIEM) rendszerbe. Állíts be lekérdezéseket, amelyek riasztanak azokra az útvonalváltozásokra, amelyek OT és nem OT hálózatok közötti összekapcsolódásra utalnak.

Hálózati forgalomfigyelés és behatolásészlelő rendszerek

Figyeld a hálózati forgalom áramlását a létfontosságú hálózat kulcspontjain. Állítsd be a hálózatfigyelő eszközöket, hogy rendszeresen végezzenek elérhetőségi teszteket a létfontosságú és a nem létfontosságú hálózatok között, mindkét irányban. Riaszd a személyzetet, ha ezek a tesztek azt mutatják, hogy az elszigetelési kontrollok hatástalanok, vagy eltávolították őket.

Biztonságos hálózatmenedzsment zónák

A CI üzemeltetőknek gondoskodniuk kell róla, hogy a hálózati infrastruktúrához tartozó kiemelt jogosultságú hozzáférések biztonságban legyenek. Azoknak a szervezeteknek, amelyek adminisztratív kontrollokra támaszkodnak a létfontosságú hálózatok elszigeteléséhez (például VLAN-ok, MPLS és IP Access List-ek), meg kell védeniük a hálózat vezérlősíkját, hogy egy rosszindulatú szereplő ne tudja letiltani vagy megkerülni az elszigetelési kontrollokat.

A hálózatmenedzsment sík fizikai szétválasztását, ahol csak lehet, meg kell valósítani. Használj dedikált fizikai menedzsment interfészeket a tűzfalakon és routereken, ha elérhetők, ellenkező esetben jelölj ki egy adatportot menedzsment interfésznek, és korlátozd kizárólag a menedzsment zóna forgalmára. A menedzsment interfészeket csatlakoztasd dedikált out-of-band infrastruktúrához, és használj kiemelt jogosultságú munkaállomásokat a hálózati eszközök adminisztrálásához.

Földrajzilag szétszórt létfontosságú hálózatok esetén szükség lehet szolgáltatói hálózati megoldások használatára a hálózatmenedzsment zónákhoz. Ezeket erős, kifejezetten a menedzsment zónára szánt kriptográfiai kontrollokkal kell elszigetelni. Tilts le minden olyan lehetőséget, amely távoli hozzáférést adna a hálózatmenedzsment zónákhoz alacsonyabb megbízhatóságú hálózatokból.

Az elszigetelt rendszerek kockázatai

A CI Fortify alkalmazása néhány üzemeltetési és biztonsági kockázatot is magával hoz. A szervezeteknek ezekkel számolniuk kell, amikor elszigetelten működnek, vagy amikor újra összekapcsolják az elszigetelt létfontosságú rendszereket. Ilyen kockázatok lehetnek például:

• a rendszerek lemaradnak a javítócsomagokról
• csökken a külső láthatóság
• nő a kockázata annak, hogy fertőzött cserélhető adathordozó kerül a rendszerbe
  • a CI üzemeltetők cserélhető adathordozókra fognak támaszkodni az adatátvitelhez az air gap-ek és a „sheep dip” gépek között, amelyek a cserélhető adathordozók rosszindulatú kódjait hivatottak kiszűrni, viszont ezek a gépek lehet, hogy nem kapnak frissítéseket.

Adiódák és kereszt-domain megoldások használata

Az adiódák és a cross domain megoldások (CDS) megfelelő tervezés, konfiguráció és karbantartás mellett lehetővé teszik az adatok átvitelét létfontosságú és nem létfontosságú hálózatok között, magas szintű védelemmel. Biztonsági szintjük meghaladja a szokásos hálózati átjáró architektúrákét.

Adiódák és CDS-ek segítségével bizonyos adatáramlások fennmaradhatnak egy elhúzódó elszigetelési időszak alatt is. Mielőtt azonban a CI üzemeltetők ilyen megoldások bevezetésén gondolkodnak, mindenképpen kérjenek tanácsot és útmutatást olyan szervezetektől és testületektől, amelyeknek van tapasztalatuk ezeknek a megoldásoknak a bevezetésében és üzemeltetésében. Egy rosszul beállított adiódát akár hibásan is telepíthetnek, ami ronthatja az üzemi integritást, például ha a dióda eldobja a kézfogásokat.

További információ az ASD Bevezetés a cross domain megoldásokba és a A cross domain megoldások alapjai című anyagaiban található.

További szempontok az elszigetelés megvalósításához, ha a fizikai elszigetelés nem megoldható

Előfordulhat, hogy a létfontosságú, internet felé nyitott rendszereknek egy kritikus szolgáltatást kell kiszolgálniuk, vagy a biztonsági követelmények miatt a létfontosságú OT és a támogató rendszerek teljes fizikai elszigetelése nem lehetséges. Ilyen esetben a szervezeteknek a következőket kell tenniük:

• Alakítsák ki és tartsák karban azt a képességet, hogy a létfontosságú OT és a támogató rendszereket teljes egészében, gyorsan újra tudják építeni, így csökkentve a kritikus szolgáltatások kiesését.
• Erősítsék meg az OT határát a bevált gyakorlatokra épülő útmutatások alkalmazásával. Ide tartozik például:
  • az ASD és nemzetközi partnereinek Biztonságos kapcsolódási elvek OT környezetekhez útmutatója
• Fontolják meg cross domain megoldás (CDS) bevezetését az eltérő biztonsági tartományok közötti hozzáféréshez vagy információátvitelhez.

Adminisztratív hálózati kontrollok

Az adminisztratív hálózati kontrollok csak minimális mértékben választják szét a létfontosságú és nem létfontosságú rendszerek hálózatait. A CI üzemeltetők mérlegeljék az adminisztratív kontrollok, például a virtuális helyi hálózatok (VLAN-ok) használatát átmeneti szegregációs megoldásként, amíg ki nem építik a robusztus fizikai és/vagy kriptográfiai elszigetelést. Ezekre az átmeneti intézkedésekre nem szabad hosszú távú megoldásként támaszkodni egy teljesen szétválasztott üzemi hálózat esetében.

Virtuális helyi hálózatok

A VLAN-okat a meglévő hálózati infrastruktúrák általánosan támogatják, és a gyártók közötti együttműködés is kiforrott. VLAN-okat csak akkor használj rendszerek, eszközök és információáramlások szétválasztására, ha ugyanabban a biztonsági tartományban alkalmazol adminisztratív kontrollokat.

A VLAN-okat azonban nem szabad eltérő biztonsági tartományokhoz tartozó hálózatok forgalmának szétválasztására használni, ahogy azt az ASD Information security manual is rögzíti. Emellett a CI szervezeteknek alaposan mérlegelniük kell az ilyen gyakorlat kockázatait, és hatékonyabb szegregációs és elszigetelési kontrollokat kell bevezetniük.

Ha VLAN-okat használsz hálózati szegregáció megvalósítására, érdemes az alábbi intézkedéseket megfontolni:

• Ne terjeszd automatikusan a VLAN konfigurációkat a teljes hálózaton – például a Cisco VLAN Trunk Protocol használatával. A VLAN-okat csak ott konfiguráld kézzel az eszközökön, ahol ténylegesen szükség van rájuk.
• 802.1q trunk esetén a trunkon kifejezetten csak a szükséges VLAN-okat engedélyezd, az összes többit zárd ki. Ne engedélyezd a trunk-tárgyalást. A trunk alapértelmezett (native) VLAN-ját állítsd egy nem használt, letiltott VLAN ID-re.
• A hálózati eszközöket, amelyek VLAN-okkal valósítják meg a szegregációt, kizárólag a legmagasabb biztonsági szintű zónából szabad menedzselni, ideális esetben dedikált, kiemelt jogosultságú munkaállomásokról, egy külön menedzsment zónában.
• Ne engedd, hogy internet felé nyitott hálózati zónák vagy DMZ-k közös infrastruktúrát használjanak OT hálózatokkal.
• Valahányszor csak lehet, valósíts meg fizikai szétválasztást a kapcsoló infrastruktúrában, OT eszközök számára dedikált switchekkel. Használj dedikált uplinkeket és kapcsolatokat az OT hálózatokhoz, hogy az IT és OT adatok ne ugyanazon fizikai linkeken haladjanak.

Multiprotocol Label Switching

A Multiprotocol Label Switching (MPLS) önmagában nem garantálja a szegregációt, és nem biztonságos alapértelmezés szerint. Azoknak a CI üzemeltetőknek, akik MPLS-t használnak eltérő biztonsági tartományok – például IT és OT – hálózatainak szétválasztására, kriptográfiai elszigetelést kell alkalmazniuk a létfontosságú OT rendszerek védelmére. A titkosítást azon a routeren kell megvalósítani, amely az OT hálózat határát jelöli.

A fenti ábrán az MPLS az OT és a nem OT forgalmat is továbbítja a szolgáltató hálózatán. Az OT routerek titkosított alagutat hoznak létre minden nem OT eszköz – köztük a nem megbízható szolgáltatói hálózat – fölött. Az OT routerek minden más forgalmat blokkolnak az OT és a nem OT hálózatok között. Létfontosságú, hogy ebben a példában az OT routert kizárólag az OT biztonsági tartományból menedzseljék, és a lehető legnagyobb mértékben megerősítsék.

A Customer Edge eszközök védelme a nem megbízható szolgáltatói hálózattal szemben kulcsfontosságú ahhoz, hogy megakadályozzuk az oldalirányú mozgást a szolgáltató környezetéből az üzemeltető rendszerei felé. Az access listeknek (IP és MAC) és a szűrésnek azt kell céloznia, hogy az üzemeltető berendezéseivel csak kifejezetten engedélyezett partnerek kommunikálhassanak. Az elvárt útvonalak szűrését az üzemeltető által felügyelt eszközökön kell megvalósítani. Gondoskodj róla, hogy a szolgáltató felé néző infrastruktúra kiemelt prioritást kapjon a sebezhetőségkezelési folyamatban.

IP access listek, útvonalblokkolás és routing black hole-ok

További adminisztratív kontrollokat is lehet alkalmazni a hálózati infrastruktúrán, a létfontosságú és a nem létfontosságú hálózatokban egyaránt, az elszigetelési ponton túl. Ezeket a kiegészítő kontrollokat nem szabad a fizikai szétválasztás helyettesítésére használni:

• Alkalmazz IP access listeket a teljes hálózatban a forgalom és a protokollok korlátozására.
• Használj route mapeket, hogy megakadályozd a létfontosságú hálózati prefixek terjedését a nem létfontosságú hálózatokba, és fordítva.
• Használj black hole routingot, hogy a forgalmat kulcsfontosságú hálózati csomópontokon eldobd.

Hálózati orkchesztrációs és automatizálási rendszerek

A hálózati orkchesztrációs és automatizálási rendszerek – például a szoftveresen definiált hálózatok (Software-Defined Wide Area Network, Software-Defined Access, Security Service Edge/Secure Access Services Edge), az Application Programming Interface (API) alapú erőforrás-kiosztás és a Network as Code – hatékonyabbá tehetik a nagy hálózatok üzemeltetését. Az általuk biztosított absztrakciós réteget azonban egy támadó kihasználhatja, mivel elválasztja a szabályozási szándékot a konkrét eszközkonfigurációtól. Ezek a rendszerek logikai szétválasztást nyújtanak, de nem adnak a fizikai szétválasztással egyenértékű garanciát.

Ha ilyen platformokat használsz CI hálózatokban, meg kell vizsgálni, hogyan védik magát a szolgáltatási platformot, és hogyan lehet az adminisztrációját elszigetelni a nem létfontosságú hálózatoktól és a vállalati rendszerekkel való integrációktól. Külön figyelmet igényelnek azok az esetek, amikor a hálózati orkchesztrációs és automatizálási rendszert használják a szétválasztás és a titkosítás kikényszerítésére nem megbízható hálózatokon, beleértve a szolgáltatói hálózatokat és az internetet.

Footnotes

• https://www.cisa.gov/topics/industrial-control-systems/ci-fortify
• https://www.ncsc.gov.uk/collection/how-to-prepare-and-plan-your-organisations-response-to-severe-cyber-threat-a-guide-for-cni
• https://www.cyber.gc.ca/en/cyber-security-readiness/critical-infrastructure-resilience-escalated-threat-navigation-initiative
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-239a
• Lásd az előzetes olvasmányokat a joghatóság-specifikus szempontok és útmutatás miatt.
• https://www.ncsc.gov.uk/collection/operational-technology/definitive-architecture-view/principle-3
• https://csrc.nist.gov/pubs/sp/800/145/final
• https://www.ncsc.gov.uk/collection/operational-technology/definitive-architecture-view/principle-4
• https://www.ncsc.gov.uk/collection/principles-for-secure-paws
• https://www.ncsc.gov.uk/collection/operational-technology/using-paws-in-ot-environments

Visszajelzés

A létfontosságú szolgáltatások védelme és folyamatos működésük biztosítása válsághelyzetben vagy szolgáltatáskiesés esetén kiemelt feladat az ASD és nemzetközi partnerei számára.

A CI Fortify egy folyamatos kezdeményezés, amelyet az együttműködés és a partnerségek tesznek egyre erősebbé. Ha visszajelzést szeretnél adni, vagy kérdésed van az ASD CI Fortify elszigetelési útmutatójával kapcsolatban, töltsd ki az alábbi űrlapot: