Oblasť kybernetickej bezpečnosti
OT / IoT
OT / IoT bezpečnosť rieši viditeľnosť, segmentáciu a ochranu priemyselných, špeciálnych, prevádzkových a pripojených zariadení mimo klasického IT modelu.
Slovník skratiek
Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.
- OT
- Operational TechnologyPrevádzkové technológie riadiace fyzické procesy, výrobu, energetiku, dopravu alebo priemyselné prostredia.
- IoT
- Internet of ThingsPripojené zariadenia a senzory, ktoré komunikujú cez sieť a často nemajú klasický endpoint model správy.
- SIEM
- Security Information and Event ManagementZber, normalizácia, korelácia a vyhodnocovanie bezpečnostných udalostí z viacerých zdrojov.
- IDS
- Intrusion Detection SystemSystém na detekciu podozrivej alebo škodlivej sieťovej aktivity bez priameho blokovania prevádzky.
Čo táto oblasť rieši
OT / IoT pokrýva bezpečnosť priemyselných systémov, riadiacich technológií, senzorov, kamier, zdravotníckych zariadení, budov, špecializovaných zariadení a ďalších aktív, ktoré často nefungujú ako klasické IT endpointy. Tieto prostredia sú citlivé na dostupnosť, bezpečnosť prevádzky, životný cyklus zariadení a zásahy do produkcie.
Prečo je dôležitá
V OT a IoT prostrediach býva najväčším problémom nedostatočný inventár, slabá segmentácia, staršie protokoly, dodávateľský prístup a obmedzené možnosti inštalovať agentov. Preto majú význam technológie pre asset discovery, protocol-aware firewalls, industrial IDS, OT SIEM, IoT device control a bezpečný izolovaný prístup. Cieľom nie je iba detekovať útok, ale chrániť dostupnosť a stabilitu prevádzky.
Ako sa v oblasti orientovať
V OT a IoT prostrediach nemožno jednoducho kopírovať prístup z bežného IT. Prioritou je pasívna identifikácia aktív, znalosť protokolov, bezpečný dodávateľský prístup, minimálny zásah do prevádzky a schopnosť komunikovať riziko medzi IT, OT a manažmentom prevádzky. Dôležitý je aj kontext dostupnosti, bezpečnosti ľudí a životného cyklu zariadení.
Pri návrhu riešenia sa musí rešpektovať prevádzková realita. V mnohých prípadoch je vhodnejší pasívny monitoring než aktívne skenovanie. Dôležitá je znalosť priemyselných protokolov, schopnosť rozlíšiť bežnú prevádzku od rizikového správania, bezpečný dodávateľský prístup a prepojenie IT a OT pohľadu do jedného riaditeľného modelu.
Zoznam technológií nižšie slúži ako mapa oblasti OT / IoT. Najprv je vhodné pomenovať konkrétny bezpečnostný problém, potom vybrať najbližšiu technologickú kategóriu a až následne porovnávať výrobcov. Takýto postup pomáha oddeliť podobne znejúce riešenia a znižuje riziko, že sa do architektúry pridá ďalší nástroj bez jasnej úlohy.
Technická schéma sekcie
Otázky pri výbere riešenia
- Ktoré OT alebo IoT aktíva sú kritické pre výrobu, prevádzku alebo služby?
- Je možné nasadiť agentov, alebo je potrebný pasívny monitoring?
- Ako sa rieši vzdialený prístup dodávateľov a servisných tímov?
- Aké sú hranice medzi IT, OT, IoT a zodpovednosťou prevádzkových tímov?
- Má bezpečnostný tím k dispozícii OT kontext a znalosť protokolov?
Ako používať túto sekciu
Každá technologická stránka rozvíja samostatnú kategóriu, vysvetľuje jej miesto v architektúre a uvádza výrobcov z portfólia SecTec, ktorí s danou oblasťou súvisia. Sekčná stránka preto funguje ako vstupný bod pre orientáciu, zatiaľ čo detailné stránky pomáhajú pri konkrétnom mapovaní na riešenia.
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
Relevantné techniky ATT&CK
- T1018 · Remote System DiscoveryDetect, Prevent, Respond, Validate
- T1021 · Remote ServicesDetect, Prevent, Respond
- T1040 · Network SniffingDetect, Prevent, Respond, Validate
- T1046 · Network Service DiscoveryDetect, Prevent, Respond, Validate
- T1071 · Application Layer ProtocolDetect, Prevent, Respond
- T1133 · External Remote ServicesDetect, Prevent, Respond
- T1210 · Exploitation of Remote ServicesDetect, Prevent, Respond
- T1498 · Network Denial of ServiceDetect, Respond
- T1499 · Endpoint Denial of ServiceDetect, Respond
- T1595 · Active ScanningDetect, Validate
- T1686 · Disable or Modify System FirewallDetect, Prevent