Siguria e infrastrukturës së lidhur: një qasje praktike

Një central diellor, një stacion pompimi dhe një njësi kontrolli e serrës kanë diçka të përbashkët me serverët e një banke: janë të lidhur, prandaj mund të sulmohen. Dallimi është te pasoja. Një cenim i sistemit të kontrollit të një ferme nuk është vetëm një problem i të dhënave — mund të ndikojë te uji, energjia dhe kulturat bujqësore.

Prandaj e trajtojmë sigurinë si pjesë të arkitekturës, jo si një shtresë të shtuar në fund. Këto janë parimet sipas të cilave projektojmë.

Përdorni një kornizë të njohur

Për sistemet e automatizimit dhe kontrollit industrial, pika e referimit është seria IEC 62443. Idetë e saj më të dobishme janë praktike:

Zonat dhe kanalet lidhëse (zones and conduits). Grupojini pajisjet në zona me nevoja të ngjashme sigurie dhe kontrolloni saktësisht çfarë mund të kalojë mes tyre.
Nivelet e sigurisë. Përshtateni fuqinë e mbrojtjes me kërcënimin real për secilën zonë, në vend të një cilësimi të vetëm për gjithçka.
Kërkesat themelore si identifikimi dhe autentikimi, kontrolli i përdorimit, integriteti i sistemit, kufizimi i rrjedhës së të dhënave dhe reagimi në kohë ndaj ngjarjeve.

Përdorimi i një kornize të njohur u jep gjithashtu klientëve, siguruesve dhe audituesve një fjalor të përbashkët.

Mbajeni rrjetin e kontrollit të vogël dhe të qetë

Segmentoni. Pajisjet në terren dhe njësitë e kontrollit qëndrojnë në rrjetin e tyre, të ndarë nga Wi-Fi i zyrës dhe nga interneti.
Pa dyer hyrëse. Portat ndërlidhëse (gateway) të objekteve nisin një lidhje dalëse të enkriptuar drejt platformës; askush në internet nuk mund të lidhet nga jashtë me një njësi kontrolli të pompës.
Lejoni vetëm atë që nevojitet. Çdo pajisje komunikon vetëm me shërbimet që duhet t'i arrijë.

Jepni çdo pajisjeje dhe çdo personi një identitet real

Pajisjet: kredenciale unike për çdo portë ndërlidhëse — idealisht të bazuara në certifikata me TLS të ndërsjellë (mutual TLS) — që një sekret i vjedhur të mos mund të imitojë të gjithë flotën, dhe një pajisje e vetme të mund të revokohet pa prekur të tjerat. Pa fjalëkalime të përbashkëta të paracaktuara.
Personat: llogari personale, autentikim i fortë dhe privilegj minimal. Një shikues mund të shohë, një operator mund të veprojë brenda politikës së sigurisë, një administrator mund të konfigurojë, një auditues mund të lexojë dëshmitë — dhe askush nuk merr më shumë se sa kërkon puna e tij.
Zbatimi në anën e serverit. Fshehja e një butoni në ndërfaqe nuk është siguri. Lejet kontrollohen në pjesën e pasme të sistemit (backend), dhe të dhënat e çdo klienti janë të izoluara nga të dhënat e secilit klient tjetër.

Siguria absolute nuk duhet të varet nga softueri

Mbrojtjet kibernetike mund të dështojnë, ndaj linja e fundit e mbrojtjes nuk duhet të jetë kod që një sulmues mund ta ndryshojë. Ndalimet emergjente, çlirimi i presionit dhe mbrojtja elektrike duhet të ekzistojnë si rrugë hardueri të pavarura. Bllokimet e sigurisë në nivel softueri e plotësojnë këtë; nuk e zëvendësojnë atë. Dhe si në parimin tonë të kontrollit me siguri në radhë të parë, një përdorues në distancë — sado i privilegjuar — nuk mund ta udhëzojë sistemin të anashkalojë një rregull absolut sigurie.

Lini dëshmi

Një gjurmë auditimi i përgjigjet pyetjes që bën çdo shqyrtim incidenti: kush çfarë bëri, kur dhe pse? Komandat, ndërhyrjet manuale (override), ndryshimet e konfigurimit dhe hyrjet në sistem regjistrohen me identitetin dhe kohën. Regjistrat e auditimit janë gjithashtu ato që i lejojnë një klienti të dëshmojë funksionim të duhur përpara një rregullatori, huadhënësi ose siguruesi.

Menaxhoni me kujdes sekretet dhe përditësimet

Sekretet (çelësat, tokenët, certifikatat) ruhen në një depo të menaxhuar sekretesh — kurrë në kodin burimor ose në një disk të përbashkët.
Përditësimet nënshkruhen, shpërndahen në faza dhe janë të kthyeshme. Një objekt duhet të mund të kthehet te konfigurimi i tij i fundit i njohur si funksional (last known good), dhe një përditësim i keq nuk duhet të mund t'i nxjerrë nga puna të gjitha objektet njëkohësisht.
Varësitë (dependencies) monitorohen dhe arnohen, sepse shumica e cenueshmërive reale hyjnë përmes komponentëve të palëve të treta.

Planifikoni për ditën kur diçka shkon keq

Kopje rezervë, procedura rikthimi të testuara, përgjegjësi të qarta gatishmërie (on-call), dhe një mënyrë e dokumentuar për të izoluar një objekt të vetëm pa shqetësuar të tjerët. Meqenëse skaji (edge) e mban kontrollin në funksionim lokalisht, izolimi i një objekti nga rrjeti është një reagim i sigurt — pompat i ruajnë mbrojtjet e tyre edhe kur lidhja me cloud-in është e ndërprerë.

Siguria nuk është një veçori që i shtojmë infrastrukturës. Ajo është pjesë e asaj që e bën infrastrukturën të besueshme.

Nëse po vlerësoni një sistem të lidhur, pyesni si e trajton identitetin e pajisjeve, kush mund të bëjë çfarë, nëse siguria i mbijeton një ndërprerjeje të rrjetit dhe çfarë regjistron gjurma e auditimit. Përgjigjet zbulojnë shumë.