Всяка промишлена организация днес осигурява външен достъп — на OEM доставчици, системни интегратори, инженери за отдалечена поддръжка. Начинът, по който те влизат, определя дали най-голямото удобство за дадено предприятие ще се превърне в най-големия му вектор на пробив.

Отдалеченият достъп се превърна в най-голямата предна врата за OT

Средите за оперативни технологии (OT) първоначално са проектирани да бъдат изолирани. Сближаването между IT и OT сложи край на това: промишлените системи за управление (ICS), SCADA сървърите, PLC и HMI интерфейсите вече са достъпни през мрежи, тъй като ефективността, анализите и отдалечената поддръжка го изискват.

Тази поддръжка редкo се извършва единствено от собствения персонал на предприятието. Доставчиците на оригинално оборудване (OEM) обслужват своите турбини и роботи гаранционно, системните интегратори настройват SCADA приложенията, а вътрешните инженери отстраняват проблеми от дома си в 2 часа през нощта.

Отдалеченият достъп за външни изпълнители вече не е изключение, предоставяно с нежелание — той е постоянно оперативно изискване за съвременните промишлени среди.

Той е и предпочитаната предна врата за атакуващите. Векторите през отдалечен достъп, изтеклите идентификационни данни за VPN, публично достъпните услуги за отдалечен работен плот и връзките с доставчици многократно са били в основата на големи промишлени пробиви.

А в средите на OT залогът не се ограничава само до данните: компрометирана сесия може да достигне до оборудване, чиято повреда би засегнала производството, околната среда и човешката безопасност.

Защо OT средите не могат да бъдат защитени като IT

Сигурността в OT преобръща приоритетите, с които са свикнали IT екипите. Наличността и безопасността са по-важни от поверителността: прекъсването на работата или опасното състояние са истинското бедствие, а не изтичането на данни.

Оборудването отразява това. Промишлените активи имат жизнен цикъл от 15 до 25 години, често работят с операционни системи с изтекъл срок на поддръжка и се управляват от устройства, толкова чувствителни, че едно обикновено сканиране за уязвимости може да ги срине.

Прозорците за инсталиране на корекции за сигурност се появяват едва няколко пъти в годината, ако изобщо има такива.

Рамките за сегментация като модела на Пърдю (Purdue model) реагират на това чрез структуриране на предприятията в зони, свързани през строго контролирани канали.

Но когато отстраняването на уязвимости не може да поддържа необходимото темпо, а вътрешната архитектура на дадена зона остава плоска, една мярка е по-важна от всички останали: точното определяне на това кой до какво има достъп, през какъв протокол и за какво време.

Ето защо проектирането на отдалечения достъп, а не поредното устройство на периметъра, се превърна в определящото решение за сигурността в OT.

Защо VPN решенията са недостатъчни за отдалечен достъп в OT

Технологията VPN е създадена, за да отговори на различен въпрос: „Как да осигурим достъп на доверен служител до корпоративната мрежа?“. Приложена към OT, тя отговаря прекалено щедро.

VPN предоставя мрежово местоположение, а не конкретна задача. След като тунелът е изграден, отдалеченият лаптоп разполага с маршрутизиран път към зоната, в която е свързан, и към всичко достъпно от нея.

Доставчиците често споделят един акаунт, сесиите се провеждат през постоянни тунели, работещи денонощно, нищо не се записва, а неуправляем лаптоп на външен изпълнител може да свърже обществения интернет с производственото съоръжение с една стъпка.

Самият концентратор дополнително задълбочава проблема. По дизайн VPN устройствата са изложени на интернет, а уязвимостите в периферните устройства се превърнаха в една от най-интензивно експлоатираните категории през последните години, като атакуващите извършват масово сканиране за шлюзове без инсталирани корекции за сигурност.

Всеки входящ порт, отворен за отдалечена поддръжка, представлява изключение в защитната стена, което тихомълком компрометира сегментацията на зони и канали, предписана от модела на Пърдю.

Транзитните сървъри (jump servers) намаляват радиуса на щетите, но носят със себе си свои собствени затруднения: повече идентификационни данни за управление, повече системи за актуализиране и все още липса на оторизация на ниво отделен актив.

Какво всъщност означава отдалечен достъп в OT без VPN

Отдалеченият достъп без VPN заменя тунела с посредник (брокер). Олекотени конектори във всяка зона инициират изходяща връзка през TLS към шлюз за достъп, а отдалеченият инженер или доставчик осъществява достъп до същия шлюз през браузър.

Не се създават входящи правила в защитната стена, не се разкриват портове и в нито един момент не съществува маршрутизиран мрежов път между отдалеченото устройство и промишления актив.

Сесиите са изолирани на ниво протокол: RDP, SSH, VNC или уеб конзолата на HMI се визуализират през шлюза, така че през границата преминават единствено екранно изображение и натиснати клавиши, а не необработени пакети от недоверено устройство.

Оторизацията е базирана на самоличността и се прилага за всеки отделен актив: доставчикът получава одобрение за един конкретен PLC, една инженерна работна станция и един времеви прозорец съгласно политики за достъп при поискване (just-in-time), вместо постоянни права.

Управлението на идентификационните данни също се променя фундаментално. Паролите на акаунтите в OT остават в сейф за пароли и се инжектират в сесията от посредника — външното лице се удостоверява със собствената си самоличност чрез многофакторна автентификация (MFA) и никога не вижда или притежава паролата за промишления актив.

Всяка сесия се наблюдава в реално време, може да се записва изцяло и да се прекратява с един клик. Това е концепцията за нулево доверие (zero trust), приложена към промишлената свързаност: никога не се доверявай на мрежово местоположение; потвърждавай самоличността за всеки конкретен актив всеки път.

Това е архитектурата зад BeyondTrust Privileged Remote Access (PRA), която вече функционира в редица промишлени среди.