CI Fortify והטיעון לארכיטקטורת OT מוכנה לבידוד

למרות ש-CI Fortify פותח על ידי גוף מוביל בתחום אבטחת הסייבר, השלכותיו חורגות הרבה מעבר לפעילות האבטחה. 

ההשפעות של הבידוד: 

• המשכיות תפעולית 
• מודלים לגישה של ספקים ותחזוקה מרחוק 
• אוטומציה ושילובים בין-דומיינים 
• תהליכי תגובה לאירועים 
• ממשל תאגידי ודיווח רגולטורי 

בסביבות תעשייתיות רבות, בידוד רשתות OT עלול לשבש תהליכים עסקיים שהתפתחו בהדרגה סביב קישוריות ואוטומציה. כתוצאה מכך, תכנון החוסן חייב לכלול חלוקת אחריות תפעולית ברורה, תהליכים ידניים מתועדים ומבנה סמכויות מוגדר. 

עבור מנהלי אבטחת מידע, מנהלי הנדסה ומפעילי תשתיות קריטיות, החוסן כבר אינו נמדד רק באמצעות אמצעי בקרה הגנתיים. הוא נמדד בבהירות ובמוכנות: 

• אילו מערכות ממשיכות לפעול במצב של בידוד 
• אילו שירותים נפגעים או מפסיקים לפעול 
• אילו משימות יש לבצע באופן ידני 
• באיזו מהירות ניתן לשקם את האמון באמצעות בנייה מחדש של המערכת 

ארגונים המסוגלים לענות על שאלות אלה בביטחון נמצאים בעמדה טובה בהרבה לניהול שיבושים סייבר בקנה מידה נרחב. נקודת התחלה מעשית: מפת בקרת חוסן בת עמוד אחד 

המטרה פשוטה: ליצור מפת בקרה ורשימת פערים של עמוד אחד, שניתן להשתמש בהן לצורך תכנון, קבלת החלטות השקעה ושיחות ביקורת. 

1. הגדירו את מצב התפעול המינימלי עבור כל שירות קריטי - התחילו בזיהוי כל שירות קריטי ובהגדרת מצב התפעול המינימלי המקובל שיש לשמור עליו כדי להבטיח את הבטיחות ואת התפקוד החיוני.
2. זהו את מערכות ה-OT החיוניות ואת המערכות התומכות - עבור כל שירות קריטי, יש לזהות אילו מערכות הן חיוניות באמת (לא כל המערכות יהיו חיוניות) לשמירה על מצב תפעולי מינימלי. יש להקצות אחראי ברור לכל מערכת שזוהתה, כדי להבטיח אחריות במהלך התגובה לתקריות וההתאוששות מהן
3. מיפוי נקודות בידוד ותלות - יש לקבוע היכן ניתן ליישם בידוד, ולאחר מכן למפות את כל התלות שיגרמו לכשל כאשר ייושם הבידוד. לדוגמה, הסתמכות על מקורות זמן NTP לצורך סנכרון שעונים פירושה שסטייה ברמת המילי-שניות עלולה לערער את יציבות אשכולות ה-HA ולהפעיל תהליכי מעבר לגיבוי.
4. קביעת ספים וסמכויות – יש להגדיר את הגורמים המפעילים בידוד חלקי ובידוד מלא, ולציין מי מוסמך לפעול. לא פחות חשוב מכך הוא זיהוי מי מוסמך ליזום פעולות אלה, דבר המוגדר בדרך כלל באמצעות מטריצת ספים-סמכויות.
5. תכנון פעולות ידניות במהלך תקופת הבידוד - תקופת הבידוד משבשת בהכרח את תהליכי העבודה האוטומטיים. יש למפות את הפעולות הידניות שיידרשו ולעדכן את האחראי עליהן. אין לקצר תהליכים. יש ליצור קשר עם הספקים כדי לברר אפשרויות לעקיפת הבעיה ולקבלת סיוע.
6. הגדירו את המינימום הנדרש לנתוני טלמטריה יוצאים – גם במהלך בידוד, על המפעילים להימנע מאובדן נראות. הגדירו את המינימום הנדרש לנתונים יוצאים לצורך פעילות בטוחה, כגון טלמטריה לניטור בטיחות, התראות אבטחה, נתוני רישום ונתוני שכפול היסטורי. כך מובטח כי צוותי התפעול ישמרו על מודעות מצבית.
7. יש לוודא את מוכנות המערכת לבנייה מחדש – יש לוודא כי אין גיבויים שאינם זמינים או שאינם אמינים. גיבויים לא מקוונים, שנבדקו ונמצאו תקינים, של הקושחה, התצורה והתהליכים של מערכות חיוניות הם חיוניים, ואסור שיכילו תוכנות זדוניות שעלולות היו לגרום להפסקת השירות מלכתחילה.
8. תיעוד המסמך בן עמוד אחד – סכמו את כל האמור לעיל בעמוד אחד לשימוש במקרה חירום. יש לכלול: שירותים קריטיים ומצב תפעול מינימלי – מערכות חיוניות ואחראים – נקודות ניתוק ותלות – ספים וסמכות קבלת החלטות – תוכנית תפעול ידנית – דרישות מינימום לנתונים יוצאים – מצב המוכנות לשחזור ופערים

במהלך שני העשורים האחרונים, תעשיות רבות שיפרו באופן דרמטי את היעילות שלהן באמצעות טרנספורמציה דיגיטלית והגברת הקישוריות. CI Fortify מזכיר לנו כי חוסן אמיתי מחייב את היכולת לפעול עם פחות קישוריות – ולא יותר. הארגונים המתייחסים לעניין ברצינות נוטים לצמצם את ההפתעות התפעוליות בעת תקריות וליצור תיאום ברור יותר בין ניהול הסייבר לבין הביצוע ההנדסי.

מבחן הלחץ הוא פשוט: בתנאי בידוד, האם העסק מסוגל להמשיך ולספק שירותים חיוניים בבטחה? בתנאי אמון נמוך, האם הוא מסוגל לשקם מערכות חיוניות בקצב הנדרש?

MetaDefender OPSWAT מספקת יכולות ייעודיות העונות באופן ישיר על שתי דרישות הליבה הללו בתחום החוסן: מוכנות לבידוד ובנייה מחדש אמינה.

MetaDefender Industrial Firewall מחזק את יכולתה של הארגון ליישם ולשמור על בידוד הרשת על ידי אכיפת פילוח חזק בין רשתות IT ו-OT בשכבות הקריטיות ביותר.Firewall Industrial MetaDefender , שתוכננה במיוחד עבור סביבות ICS, OT ו-SCADA,Firewall על פני שכבות 2 עד 3.5 במודל Purdue, ומגנה על הנכסים הקרובים ביותר לתהליכים הפיזיים.

מצב Firewall של Firewall מסייע לניטור וללימוד של תעבורת רשת תקינה, תוך יצירת מדיניות אבטחה באופן אוטומטי המשקפת התנהגות תפעולית לגיטימית — מה שמאפשר להגדיר ולאכוף גבולות בידוד מדויקים מבלי לשבש את הייצור. בדיקת מנות מעמיקה ספציפית לפרוטוקול (Deep Packet Inspection) מספקת נראות ובקרה מדויקות על פרוטוקולים תעשייתיים, כולל Modbus, EtherNet/IP, S7Comm, DNP3, OPC-UA, BACnet, PROFINET ורבים אחרים, ומאפשרת למפעילים לחסום תעבורה חריגה, איומים מסוג "יום אפס" (zero-day) ומתקפות DoS/DDoS ברמת הפרוטוקול. כאשר מוטמעת בידוד, רמת בקרה זו מבטיחה שרק תקשורת מורשית וחיונית תמשיך להתקיים.

החומרה המחוסמת תוכננה לסביבות תעשייתיות קשות עם טמפרטורות קיצוניות, והיא משתלבת באופן מובנה עם MetaDefender OT Security לספק זיהוי ומניעת חדירות בשילוב עם נראות רציפה של הנכסים — תוך שמירה על מודעות מצבית גם כאשר הקשר החיצוני מנותק. התמיכה ב-IPsec וב-OpenVPN בגרסאות האחרונות מאפשרת גם תקשורת מאובטחת ומוצפנת ברשתות OT מפולחות או מבודדות, כאשר נדרשת גישה מבוקרת של ספקים או תיאום בין אתרים מרובים במהלך תהליך ההתאוששות.

MetaDefender Storage Security תומך באופן ישיר בדרישה השנייה של CI Fortify: היכולת לבנות מחדש מערכות חיוניות ממקורות מהימנים. לפני השימוש בגיבוי, בתמונת קושחה, בקובץ תצורה או בעדכון תוכנה כלשהו לשחזור סביבה שנפגעה, על ארגונים להיות בטוחים כי נכסי השחזור הללו נקיים מאותה תוכנה זדונית שעשויה להיות הגורם לתקלה.

MetaDefender Storage Security בעיה זו באמצעות סריקה של קבצים מאוחסנים באמצעות מספר מנועי אנטי-תוכנות זדוניות בו-זמנית, תוך שימוש בטכנולוגיית Metascan™ Multiscanning, יישום טכנולוגיית Deep CDR™ לנטרול איומים סמויים בלמעלה מ-200 סוגי קבצים, וביצוע הערכות פגיעות מבוססות קבצים — והכל בסביבות אחסון מקומיות, היברידיות או בענן.

הפתרון משתלב עם מגוון רחב של פלטפורמות אחסון, כולל NAS התואם SMB/NFS, NetApp, Dell EMC, Amazon S3 ו-Microsoft Azure, מה שמאפשר לארגונים לאבטח את מאגרי הגיבוי שלהם ללא תלות בתשתית. יכולות סריקה תקופתיות ובזמן אמת מבטיחות כי תקינות הגיבוי מאומתת באופן רציף, ולא נבדקת רק בנקודת האחסון הראשונית. משמעות הדבר היא שכאשר מתקבלת החלטה לבצע שחזור בתנאים של אמון נמוך, המפעילים יכולים להמשיך עם נכסי שחזור מאומתים ומוכרים כטובים, במקום להכניס סיכון נוסף לסביבה שכבר נפגעה.

MetaDefender Managed File Transfer MFT) MetaDefender X (שנקרא בעבר Transfer Guard) מרחיבים עוד יותר את היכולות הללו על ידי מתן מנגנונים מאובטחים ומבוקרים על ידי מדיניות להעברת קבצים מעבר לגבולות האמון — דרישה חיונית הן במהלך פעילות שוטפת והן במהלך התאוששות מתקריות.

MetaDefender MFT חילופי קבצים מאובטחים בין צוותים פנימיים, קבלנים חיצוניים ובין אזורי אבטחה מופרדים, כאשר כל קובץ עובר בדיקה באמצעות טכנולוגיית Deep CDR™, Multiscanning וטכנולוגיות Proactive DLP™ לפני שהוא מורשה להיכנס לסביבה מוגנת.

MetaDefender X מוסיף העברת נתונים חד-כיוונית המופעלת באמצעות חומרה, תוך שימוש בטכנולוגיית דיודות אופטיות, ומבטיח כי לא קיים חיבור ניתוב חזרה לאזור המוגן — יכולת חיונית לשמירה על בידוד, תוך מתן אפשרות לנתוני טלמטריה, תיקונים או נתונים תפעוליים קריטיים לבטיחות לזרום בבטחה בכיוון אחד בלבד.