SekciaOT / IoT
Technologická kategória
Protocol-aware firewalls
Protocol-aware firewalls patrí do oblasti OT / IoT. Protocol-aware firewalls rozumejú špecifickým priemyselným alebo aplikačným protokolom. Vďaka tomu dokážu odlíšiť legitímnu komunikáciu od rizikových alebo neštandardných príkazov.
Čo technológia rieši
Protocol-aware firewalls rozumejú špecifickým priemyselným alebo aplikačným protokolom. Vďaka tomu dokážu odlíšiť legitímnu komunikáciu od rizikových alebo neštandardných príkazov.
Prečo je dôležitá
Sú dôležité v prostrediach, kde bežný portový firewall neposkytuje dostatočný kontext.
V praxi nejde iba o technickú funkciu, ale o schopnosť zaradiť riešenie do širšej bezpečnostnej architektúry. Organizácie často prevádzkujú desiatky konzol a nástrojov, pričom problémom nie je len samotná bezpečnosť, ale aj orientácia v tom, ktorá technológia rieši konkrétny typ rizika.
Táto kategória pomáha presne pomenovať riešený problém, zúžiť výber relevantných riešení a odlíšiť technológie, ktoré sa na prvý pohľad prekrývajú. To je dôležité najmä pre partnerov a zákazníkov, ktorí už kybernetickej bezpečnosti rozumejú, ale potrebujú rýchlo zmapovať trh a dostupné portfólio.
Typické scenáre použitia
Protocol-aware firewalls sa najčastejšie rieši vtedy, keď organizácia potrebuje presnejšiu kontrolu nad konkrétnou vrstvou bezpečnosti v oblasti OT / IoT. Môže ísť o doplnenie existujúcej architektúry, nahradenie zastaraného nástroja, rozšírenie viditeľnosti alebo zjednotenie funkcií, ktoré sú dnes rozdelené medzi viacero produktov.
Miesto v architektúre
V širšej architektúre OT / IoT treba Protocol-aware firewalls posudzovať podľa toho, ako sa napája na existujúce bezpečnostné a prevádzkové procesy. Praktická hodnota vzniká až vtedy, keď riešenie poskytuje použiteľné dáta, jasné politiky, zrozumiteľný reporting a integrácie s existujúcimi nástrojmi.
Pri mapovaní na výrobcov z portfólia SecTec je preto dôležité vnímať nielen samotnú funkcionalitu, ale aj spôsob nasadenia, licenčný model, úroveň správy, podporované platformy a možnosť prepojenia s ďalšími oblasťami. V konkrétnej architektúre môže byť Protocol-aware firewalls samostatnou platformou, funkciou alebo súčasťou širšieho riešenia.
Ako technológiu posudzovať
Pri výbere riešenia odporúčame sledovať najmä:
- aký problém riešenie pokrýva a kde sú jeho hranice
- či podporuje existujúce prostredie organizácie
- ako sa integruje so SIEM, SOAR, XDR, IAM, cloudom alebo ticketingom
- akú úroveň automatizácie, reportingu a auditovateľnosti poskytuje
- či znižuje prevádzkovú komplexitu alebo iba pridáva ďalšiu izolovanú konzolu
Súvisiace oblasti
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
Relevantné techniky ATT&CK
- T1021 · Remote ServicesDetect, Prevent
- T1046 · Network Service DiscoveryDetect, Prevent
- T1071 · Application Layer ProtocolDetect, Prevent
- T1133 · External Remote ServicesDetect, Prevent
- T1210 · Exploitation of Remote ServicesDetect, Prevent
- T1686 · Disable or Modify System FirewallDetect, Prevent