Bu Help Net Security röportajında Henkel’in CISO’su Stefan Braun, akıllı üretim ortamlarının nasıl yeni siber güvenlik risklerine yol açtığını tartışıyor. Tek hata noktalarının nerede saklandığını, saldırganların eski sistemlerden nasıl yararlandığını ve izlemenin neden karma nesil ekipmanlara uyarlanması gerektiğini açıklıyor. Onun içgörüleri, esnekliğin neden görünürlüğe, özerkliğe ve disiplinli satıcı hesap verebilirliğine bağlı olduğunu gösteriyor.
Akıllı üretim ortamlarında yanlışlıkla “tek nokta operasyonel başarısızlık” yaratan, gördüğünüz en yaygın mimari model nedir?
En sık görülen ve gözden kaçırılan tek hata noktası, yedeksiz tek bir mühendislik iş istasyonuna güvenmektir ve bunu, harici bulut bağlantısına artan bağımlılık takip etmektedir.
Fabrika katında, kritik mantık dosyalarının, özel yapılandırma araçlarının ve proje yedeklerinin yalnızca güncel kopyalarını barındıran tek bir mühendislik iş istasyonu bulmak yaygındır. Söz konusu bilgisayarda bir donanım arızası meydana gelirse veya fidye yazılımının güvenliği ihlal edilirse, bakım ekibi hataları teşhis etme veya üretim hattını kurtarma yeteneğini kaybeder. Üretim sürecinin tamamı, genellikle yönetilmeyen tek bir masaüstü bilgisayara bağımlı hale gelir.
Ayrıca fabrikalar modernleştikçe, yerel üretim tesislerinin gerçek zamanlı talimatlar veya kullanıcı kimlik doğrulaması için bulut tabanlı SaaS platformlarına güvendiği tehlikeli bir mimari değişim yaşanıyor. İnternet bağlantısının kesilmesi veya üçüncü parti bulut sağlayıcının kesintiye uğraması durumunda kattaki ekipmanlar çalışmayı durdurur. Bu mimari başarısız oluyor çünkü bağlantıya yerel özerklik yerine öncelik veriyor ve uzak bulut ortamındaki bir kesintinin fiziksel makinelerden bir “dijital tuğla” oluşturduğu kırılgan bir ekosistem yaratıyor.
Akıllı bir fabrikada bir düşmanın ideal öldürme zincirinin haritasını çıkarmak zorunda olsaydınız, sizce şu anda onlar için en kolay adım hangisidir ve neden?
Bir düşman çevre içinde bir yer edindikten sonra atılacak en kolay adım, yönetilmeyen eski varlıklar ve yardımcı Nesnelerin İnterneti cihazlarının doğasında bulunan devasa teknik borçtan yararlanmaktır.
Temel güvenlik kontrolörleri kilitlenmiş olsa da dahili ağ genellikle hızlı yanal harekete izin veren “yumuşak” hedeflerle doludur. Buna, Windows 7 veya XP gibi eski işletim sistemlerini çalıştıran insan-makine arayüzleri, varsayılan parolalara sahip ağ bağlantılı güvenlik kameraları ve hiçbir zaman ürün yazılımı güncellemesi almamış akıllı sensörler dahildir.
Bu adım, en az dirençli yoldur çünkü bu cihazlar güvenilir içerideki kişiler gibi hareket eder. Bir saldırganın on beş yıllık insan-makine arayüzünü tehlikeye atmak için karmaşık “sıfır gün” saldırılarına ihtiyacı yoktur; genellikle yalnızca satıcı tarafından hiçbir zaman düzeltilemeyecek, kamuya açık olarak bilinen güvenlik açıklarına ihtiyaç duyarlar. Çevresel bir kamerayı veya güncelliğini kaybetmiş bir görselleştirme düğümünü tehlikeye atarak, güvenlik ekiplerinin nadiren izlediği bir kalıcılık mekanizması elde ederler; bu da onların operasyonel teknoloji ağının haritasını çıkarmalarına ve boş zamanlarında kritik kontrol sistemlerine yönelik yıkıcı bir saldırıya hazırlanmalarına olanak tanır.
Birçok fabrika, bulut tabanlı MES platformlarının yanı sıra onlarca yıllık PLC’leri de çalıştırıyor. Telemetri kalitesinin büyüklük sırasına göre değiştiği bir ortamda izleme nasıl görünür?
Burada etkili izleme, heterojenliğin temel bir tasarım parametresi olarak kabul edilmesini ve “tek cam paneli” fikrinden kademeli görünürlük modeline doğru ilerlemeyi gerektirir. Otuz yıllık bir programlanabilir mantık denetleyicisinin zengin veri günlükleri çıkarması beklenemez, bu nedenle algılama stratejilerinin katmanlı olması gerekir:
Yüksek sadakat katmanı: Modern varlıklar için, özellikle de insan-makine arayüzleri, mühendislik iş istasyonları ve sunucular gibi “OT’de BT” sistemleri için güvenlik ekipleri, uç nokta algılama ve yanıt yazılımı gibi aktif aracıları konuşlandırmalıdır. Bunlar, tıpkı kurumsal ortamda olduğu gibi, süreç yürütme ve dosya değişikliklerine ilişkin görünürlük sağlar.
Pasif ağ katmanı: Yazılım aracılarını destekleyemeyen operasyonel varlıkların (programlanabilir mantık denetleyicileri, sürücüler ve eski giriş/çıkış cihazları) büyük çoğunluğu için standart, ağ algılama ve yanıttır. Bu, ağ trafiğini gerçeğin kaynağı olarak ele alır; iletişim akışlarını anormallikler, yeni bağlantılar veya beklenmedik komutlar (üretim sırasında gönderilen “Durdur” talimatı gibi) açısından analiz eder.
Amaç ilişkili durumsal farkındalıktır. Başarı, analistlerin bir iş istasyonundan gelen yüksek kaliteli bir uyarıyı denetleyicideki pasif bir ağ anomalisine bağlayabildiğinde ortaya çıkar ve söz konusu teknolojilerin değişen yaşlarına rağmen saldırı yolunun tam bir resmini sağlar.
Fabrikalar nadiren kapanıyor. Neredeyse hiçbir şeyin çevrimdışı olamayacağı bir ortamda gerçekçi masaüstü testleri nasıl görünür?
Canlı bir hat üzerinde bir makineyi basitçe kapatmak mümkün olmadığından, en değerli masa üstü egzersizler “savaş odası koreografisine” odaklanır. Kolaylaştırıcılar, insanların tepkisini test etmek için bir saldırının semptomlarını simüle ederek üretim yürütme sisteminin şifrelendiğini veya güvenlik sistemlerine ulaşılamadığını bildirir. Amaç, yükseltme matrisini stres testine tabi tutmaktır: Kimin tam manuel kapatma emri verme yetkisi var? E-posta sistemleri tehlikeye girdiğinde tesis üst düzey yöneticilerle nasıl iletişim kurar? Yasal ve halkla ilişkiler şablonları düzenleyici açıklamalara hazır mı?
Akıllı fabrikalar büyük ölçüde satıcı yazılımına ve entegratör koduna bağlıdır. Daha fazla CISO’nun tedarikçilere sormasını istediğiniz ancak nadiren sorulan durum tespiti sorusu nedir?
CISO’ların sorması gereken kritik soru şudur: “Ürün yazılımınız için sürekli olarak güncellenen bir Yazılım Malzeme Listesi sağlayabilir misiniz ve yerleşik üçüncü taraf kitaplıklardaki güvenlik açıklarını azaltmaya yönelik özel süreciniz nedir?”
Geleneksel durum tespiti, satıcının kurumsal güvenliğine odaklanır; güvenlik duvarları var mı, geçmiş kontrolleri yapıyorlar mı? Ancak akıllı bir fabrikada risk genellikle kodun içindeki koddadır. Yeni bir programlanabilir mantık denetleyicisi, beş yıldır güncellenmemiş bir açık kaynak kitaplığı kullanarak bir web sunucusunu çalıştırabilir. Bu kütüphanede büyük bir güvenlik açığı keşfedildiğinde, güvenlik ekibinin derhal hangi cihazların bu kütüphanede bulunduğunu bilmesi gerekir.
zemin bu özel bileşeni içerir.
Yazılım Malzeme Listesi istemek, sohbeti “Binanızın güvenliğini sağlıyor musunuz?” şeklinde değiştirir. “Ürününüzün içindekileri biliyor musunuz?” Tedarikçiyi tedarik zinciri risklerini kabul etmeye zorlar ve sattıkları açık kaynak bağımlılıklarının yaşam döngüsünü yönetme olgunluğuna sahip olup olmadıklarını kanıtlar.
Rapor: Tehdit Maruziyeti Yönetiminin Durumu