За IT системите има добре изграден подход за откриване и отстраняване на заплахи. Компрометиран лаптоп на служител може да бъде изолиран от мрежата и да заработи отново в рамките на часове след стратегически и навременно инсталирана корекция за сигурност. Най-добрите практики в киберсигурността, които работят за IT, обаче не се прилагат толкова лесно в среди с киберфизични системи (CPS).

Киберфизичните системи свързват цифровите технологии с физическия свят. Те включват индустриални системи за управление в производствени предприятия и електрически подстанции, както и свързани медицински устройства, използвани при грижата за пациентите. Инцидент със сигурността в тези среди може да наруши предоставянето на съществени услуги, да повреди оборудване или да застраши хора.

Особено предвид нарастващия брой IoT връзки – според GSMA Intelligence глобалният IoT пазар ще достигне 40,8 милиарда връзки до 2030 г. – предприятията се нуждаят от по-стратегически подход към киберсигурността на CPS, който поставя сигурността още в ранните етапи (shift-left). Екипите по сигурност трябва да прилагат стратегии, създадени специално за киберфизични системи, защото трябва да балансират между непрекъсната достъпност и сигурност. Необходима им е комбинация от пасивна видимост, оперативен контекст, смекчаване на риска въз основа на приоритети и координиран отговор.

Защо киберфизичните системи работят по различни правила

Много IT крайни точки могат да бъдат изолирани, обновени или възстановени с ограничено въздействие върху останалата част от бизнеса. В оперативните среди същата намеса може да прекъсне процес, който трябва да работи непрекъснато. Промяна в едно устройство може да засегне оборудване и услуги далеч отвъд самото него.

„Изключването на контролер, за да се отстрани уязвимост, може да спре цяла производствена линия и да струва на бизнеса хиляди заради изгубена продукция. В OT средите екипите по сигурност трябва да намаляват киберриска, като същевременно поддържат критичните операции“, казва Tarannum Parkar, Product Marketing, OT Security в ServiceNow.

Програмируемият логически контролер (PLC) в оперативните технологии (OT) е коренно различен от лаптоп или сървър в IT средата и не е създаден за днешните методи за киберсигурност. „Много от тези устройства работят с наследен или специализиран софтуер, комуникират чрез специализирани протоколи и функционират в среди, където прозорците за поддръжка са ограничени“, казва Tarannum Parkar, Product Marketing, OT Security в ServiceNow. Наследените OT системи разполагат с ограничени ресурси като памет и процесор, така че агресивното сканиране може да дестабилизира тези устройства. А тъй като много от OT компонентите са критични за дейността, те не могат просто да бъдат изолирани от процесите без план за поддържане на операциите.

Как да постигнем видимост на активите без прекъсвания

Първата стъпка в защитата на CPS е изграждането на цялостен опис на активите. „Видимостта на активите е съществена първа стъпка, защото съществуват много неизвестни и неуправлявани активи“, казва Parkar.

Полезният опис надхвърля броя на устройствата и IP адресите. Екипите се нуждаят от информация като тип на устройството, версии на софтуера и фърмуера, местоположение и комуникации. Те трябва да знаят и кой процес поддържа даден актив, кой отговаря за него и какво може да се случи, ако той стане недостъпен или бъде компрометиран.

Много CPS активи не поддържат агенти за крайни точки, а агресивното сканиране може да наруши работата на чувствително оборудване. Методите за откриване трябва да отчитат устройството и неговите оперативни изисквания.

Пасивното наблюдение анализира съществуващия мрежов трафик, за да помогне за идентифицирането на активите и картографирането на комуникациите им, без активно да отправя заявки към чувствителни устройства. Наблюдението на тези комуникации във времето помага да се установи базова линия на очакваното поведение и да се засекат подозрителни промени.

Приоритизиране на уязвимостите според оперативния риск

Подобряването на видимостта на активите е съществена първа стъпка, но екипите по сигурност не могат да се заемат с всички уязвимости едновременно. Вместо това те трябва да приоритизират експозициите според критичността на функциите на актива и оперативния контекст.

Приоритизирането на уязвимостите трябва да съчетава техническата тежест с вероятността от експлоатация и потенциалното въздействие върху операциите. Екипите трябва да преценят дали атакуващите активно експлоатират уязвимостта, дали засегнатият актив е достъпен и дали съществуващите контроли ограничават експозицията му. Тази оценка трябва да отчита и процеса, който активът поддържа, и последиците от компрометиране за безопасността, производството или съществените услуги. Например уязвимост с по-ниска степен на тежест на изложен контролер, поддържащ критичен процес, може да изисква внимание преди констатация с по-висока тежест при добре защитен и по-малко критичен актив.

Намаляване на киберриска при запазване на операциите

Отстраняването на CPS уязвимости изисква отговор, който отчита оперативните ограничения. Когато инсталирането на корекции за сигурност трябва да изчака, спешните рискове все пак изискват действие чрез компенсиращи контроли, които намаляват експозицията, без да нарушават операциите.

Сегментирането може да ограничи ненужните комуникации, а контролът на достъпа – кой може да достига до чувствителните активи. И двата подхода изискват разбиране на оперативните нужди, така че защитата да не прекъсва съществени дейности. Тези техники, заедно с постоянно актуализиран опис на активите, са ключови за добрата хигиена в киберсигурността.

Информацията за активите и риска трябва да достига и до хората, отговорни за предприемането на действия. Ясната отговорност и координираните работни процеси помагат на екипите по сигурност и операции да одобряват промени, да планират интервенции и да проверяват дали отговорът е намалил експозицията. Непрекъснато актуализираното разбиране за активите и техните оперативни зависимости е основата за тези решения. То позволява на организациите да контролират достъпа, да приоритизират експозициите и да координират отстраняването, като същевременно защитават безопасността и непрекъснатостта на дейността.