Securitatea sistemelor industriale reprezintă o preocupare din ce în ce mai mare, iar lipsa de cunoaștere a practicilor de protejare eficientă a acestora este unul dintre riscuri.

---

Introducere

Numărul de dispozitive care utilizează Ethernet ca standard de comunicare crește într-un ritm foarte rapid. Odată cu amploarea acestui fenomen, se vorbește din ce în ce mai mult și despre securitatea cibernetică a acestor rețele. În lumea IIoT sau a Industriei 4.0, este de așteptat ca acest proces să devină și mai intens în viitorul apropiat. Cererea tot mai mare de date determină, de asemenea, o cerere tot mai mare de sisteme de transmisie a datelor industriale. Cu câțiva ani în urmă, subiectul securității nu părea foarte important, mai ales în rândul specialiștilor în automatizare. Cu toate acestea, nu există nicio îndoială că gradul de conștientizare a acestor riscuri în lumea industrială este în continuă creștere, ceea ce duce la o cerere tot mai mare de expertiză în acest domeniu.

În ceea ce privește sistemele industriale, separarea de lumea exterioară este adesea considerată ca fiind baza securității acestora. Cu toate acestea, un astfel de statut devine din ce în ce mai dificil de menținut. Acest lucru se datorează, bineînțeles, numărului tot mai mare de dispozitive conectate în rețea, necesității de a face schimb de date între ele, dar și între sisteme diferite, precum și necesității de a le conecta la lumea exterioară. Prin urmare, sistemele de automatizare devin și mai vulnerabile la amenințările din partea infractorilor cibernetici, care sunt din ce în ce mai interesați de acest tip de infrastructură. Atunci când vorbim despre amenințările din "lumea exterioară", nu trebuie să le neglijăm nici pe cele "interne". Adesea, acestea din urmă (în legătură cu sistemele de automatizare) reprezintă o amenințare mai mare. Domeniul legat de securitatea cibernetică este un subiect extrem de vast, iar în secțiunea următoare ne vom concentra mai mult asupra posibilităților de securizare a sistemelor industriale și a standardelor de securitate disponibile în acest sens.

---

Standardul IEC 62443

În prezent, avem la dispoziție o serie de standarde și orientări care se referă la securitatea sistemelor industriale. Unele dintre acestea sunt mai precise, altele mai generale. Unele se concentrează doar pe hardware, altele pe software, iar altele descriu ambele domenii în mod mai cuprinzător, arătând utilizatorilor cum să creeze aplicații sigure. Unele dintre cele mai populare sunt NIST 800-53, NERC CIP pentru industria energetică sau IEC 62443, cunoscută și sub numele de ISA 99 (fig.1). 



Ultimul, în special, are potențialul de a deveni un standard de vârf. Motivul principal este complexitatea abordării problemei. În multe cazuri, proprietarii de sisteme au fost nevoiți să se bazeze pe părerea contractorilor în ceea ce privește problemele de siguranță. Cu IEC 62443, situația se schimbă. Acest standard indică în detaliu care sunt cerințele pe care trebuie să le îndeplinească atât furnizorul de componente, cât și furnizorul de sisteme și proprietarul final al sistemului (Fig.2). Acest lucru permite tuturor celor implicați să precizeze cu exactitate ce parametri trebuie respectați pentru ca întregul sistem să poată fi considerat sigur.

În conformitate cu principiul conform căruia întregul sistem este la fel de sigur ca și cea mai slabă verigă a sa, producătorii de componente individuale influențează din ce în ce mai mult securitatea unor întregi aplicații. Rolul lor este de a oferi în produsele lor o astfel de configurație și capacități funcționale încât securitatea cibernetică să nu constituie o problemă.

Cum reușesc să facă acest lucru?

În secțiunea din standard identificată ca fiind IEC 62443-4-2, găsim orientări pentru furnizorii de componente. Printre acestea se numără cerințele privind identificarea și autentificarea utilizatorilor, integritatea și confidențialitatea datelor și backup-ul. Mai exact, standardul conține 7 riscuri esențiale care trebuie abordate atunci când vorbim despre securitatea dispozitivelor, inclusiv a dispozitivelor de rețea. Acestea sunt enumerate mai jos, împreună cu exemple de mecanisme și caracteristici care pot fi utilizate pentru a le aborda:

• Lipsa controlului de identificare și autentificare - gestionarea conturilor și parolelor în mod individual pentru fiecare utilizator în parte
• Lipsa controlului accesului - deconectare automată și blocarea accesului la dispozitiv
• Lipsa integrității datelor - controlul integrității fișierelor de configurare, actualizări de software
• Nu există confidențialitate a datelor - utilizarea de "conexiuni securizate" (SSL/SSH)
• Lipsa restricțiilor asupra fluxului de date - utilizarea unor mecanisme precum listele de control al accesului în switch-urile de rețea (așa-numitele ACL), controlul accesului prin liste IP definibile.
• Lipsa unui răspuns rapid la evenimente - construirea de jurnale de evenimente pe baza urmăririi acțiunilor efectuate de anumiți utilizatori
• Disponibilitatea limitată a resurselor de rețea - limite privind numărul de utilizatori conectați, excluderea interfețelor necriptate sau neutilizate

Bineînțeles, acestea sunt doar elementele indicate legate de securitatea dispozitivelor de rețea în sine. Lipsa unor astfel de funcționalități poate fi o problemă semnificativă, dar simpla lor existență nu garantează succesul. Pentru a putea profita pe deplin de ele, este necesar să se urce un nivel mai sus, la nivelul întregii rețele de comunicații. Aici pot apărea aspecte precum lipsa așa-numitelor "bune practici" și orientări definite în ceea ce privește mecanismele de securitate și configurația rețelei utilizate. Acest lucru duce, de exemplu, la utilizarea acelorași parole, la conectarea zonei IT cu zona de operare fără securitate sau la accesul de la distanță la instalații în scopuri de întreținere. Din acest motiv, este esențial să se definească reguli în domeniul configurării dispozitivelor de rețea, precum și segmentarea rețelei prin așa-numitele VLAN-uri, crearea de zone și celule și regulile de interacțiune a acestora prin utilizarea de firewall-uri dedicate.

De asemenea, este important să se mențină securitatea sistemului pe tot parcursul ciclului său de viață. Nu este un lucru simplu de făcut, mai ales dacă mai multe persoane sau o companie externă sunt responsabile pentru acest lucru. Este adesea posibil să se întâlnească o situație în care nivelul de securitate scade semnificativ în timp, de la modificări continue ale configurației hardware până la lipsa actualizărilor software. Prin urmare, merită să dispuneți de instrumente care să simplifice întregul proces și să permită menținerea nivelului de securitate așteptat.

Standardul IEC 62443 definește patru astfel de niveluri. Cea de-a doua este o cerință de bază pentru sistemele industriale. Acesta abordează amenințările cele mai frecvente, și anume cele reprezentate de hackeri și cele care provin din "interior". Nivelul 1 reprezintă protecția împotriva accesului accidental și neautorizat la rețea, iar nivelurile trei și patru se referă la atacuri care utilizează competențe și instrumente foarte specializate. După cum puteți vedea, standardul este foarte complex, fiind format din mai multe părți și luând în considerare interesele tuturor entităților care afectează ciclul de viață al întregii aplicații.

Adoptarea unei abordări bazate pe cele mai bune practici de protecție a infrastructurii industriale oferă proprietarilor acestui tip de instalații cele mai bune șanse de protecție eficientă împotriva amenințărilor. Aceasta este ideea promovată de standardul IEC 62443 descris aici, care este, de asemenea, susținută de faptul că este aprobată și implementată de actori importanți din industrie (Siemens, ABB, Yokogawa, Honeywell, Rockwell, printre alții).

---

Implementarea IEC 62443 în switch-urile industriale Moxa

Moxa, împreună cu o serie de experți în domeniul securității cibernetice industriale, consideră că drumul către asigurarea securității rețelelor industriale ar trebui să înceapă cu primul pas: asigurarea faptului că dispozitivele care alcătuiesc aceste rețele, și anume switch-urile industriale, oferă nivelul de securitate așteptat. De aceea, producătorul a pregătit o actualizare specială de software pentru switch-urile sale, așa-numitul "Turbo Pack 3". Acesta asigură conformitatea deplină cu cerințele indicate în IEC 62443-4-2 (nivel 2). În această actualizare, puteți găsi toate funcționalitățile și mecanismele enumerate anterior ca fiind esențiale pentru protecția împotriva celor șapte amenințări esențiale la adresa rețelelor industriale.

Desigur, asta nu este tot, actualizarea depășește cu mult aceste cerințe și oferă o serie de funcționalități suplimentare pentru a asigura o protecție sporită. Printre acestea se numără, de exemplu, autentificarea prin intermediul serverelor RADIUS externe, controlul adreselor MAC pe porturi și o interfață ușor de utilizat. Caracteristicile avansate de securitate sunt disponibile, printre altele, pe switch-urile Moxy EDS-500E, IKS-6700A, IKS-G6000A și pe seria de switch-uri "de bază" ICS-7000A. În același timp, este planificată o dezvoltare intensivă în continuare pentru a oferi noi mecanisme și capacități de asigurare a securității rețelelor industriale. Un exemplu al acestei dezvoltări este noua serie de switch-uri Moxa EDS-(G)4000, care este certificată oficial în conformitate cu IEC 62443.

Ca parte a pachetului MXstudio, adică a instrumentelor dedicate monitorizării, diagnosticării și configurării rețelelor bazate pe echipamente Moxa, a fost implementată o așa-numită "vizualizare de securitate". Acest lucru permite verificarea rapidă a stării și a nivelului de securitate a dispozitivelor Moxa în uz. Parametrii configurațiilor curente sunt confruntați cu cerințele definite de standardul IEC 62443, oferind o indicație clară a nivelului de securitate al dispozitivelor de rețea utilizate. Din punctul de vedere al proprietarilor de sisteme și al acțiunilor pe care le sugerează standardul IEC 62443 pentru a menține un nivel ridicat de securitate a sistemelor pe tot parcursul ciclului de viață al acestora, o astfel de oportunitate este de neprețuit. Această abordare asigură disponibilitatea unor mecanisme și instrumente dedicate atât la nivelul dispozitivului, cât și la nivelul de configurare și întreținere a rețelei (fig.4).

 

---

Rezumat

În contextul sistemelor industriale, se poate spune că securitatea cibernetică a acestora va juca un rol din ce în ce mai important. Atunci când se caută rutele de urmat în implementarea politicilor de securitate, merită să se acorde atenție standardului IEC 62443, care, prin abordarea cuprinzătoare a problemei, are potențialul de a deveni standardul principal în acest domeniu. Acesta indică în mod specific care sunt cerințele care trebuie îndeplinite de către utilizatorii sistemului, contractanții acestora și furnizorii de componente. Este important ca primele două grupuri să poată cere în mod clar și precis furnizorilor de componente să îndeplinească parametrii specifici care vor garanta în cele din urmă siguranța întregului sistem. Fără îndoială, dacă sunt puse în aplicare liniile directoare ale standardului, se reduce semnificativ riscul unui atac de succes. Acest fapt este bine înțeles de Moxa, care implementează cu succes liniile directoare impuse de standardul IEC 62443 în echipamentele sale.