05. listopadu 2020 22:53

Jak ochránit vaše PLC před bezpečnostními hrozbami

Zvyšující se možnosti komunikace přinášejí výrobním podnikům významné výhody, ale také nová rizika související s kybernetickou bezpečností řídicích systémů, vysvětluje Steve Ward, ředitel pro aplikační engineering v regionu EMEA firmy Emerson.

Kybernetické útoky se stále vyvíjejí a jejich detekce i obrana proti nim jsou stále komplikovanější, a proto má v každém průmyslovém podniku potřeba modernizovat opatření, jak se s těmito hrozbami vypořádat, vysokou prioritu. Přijetí přístupu založeného na vyhodnocení rizik pomůže identifikovat potenciální zranitelnosti a přijmout pro každou z nich strategická rozhodnutí založená na pravděpodobnosti útoku a jeho dopadech. Pokud jde o ochranu před nově se objevujícími hrozbami a posílení digitalizace činnosti  pracovníků, objevují se některé společné otázky i způsoby, jak se s riziky vypořádat:

Jakým způsobem monitorovat vaši síť a detekovat hrozby?
Čím snazší je monitorovat aktivitu v síti, tím rychleji může podnik reagovat na detekovaný útok a významně omezit jeho dopady. Jeden z nejdůležitějších kroků ochrany programovatelných automatů (PLC – Programmable Logic Controller, PAC – Programmable Automation Controller) před bezpečnostními hrozbami začíná již před tím, než je detekován útok.

Monitorování síťového komunikačního portu zařízení umožňuje snáze detekovat neočekávané síťové protokoly, spojení nebo typy komunikace. Jestliže neočekávaná aktivita v síti neustane, musí se objevit červená vlajka a je třeba se incidentem zabývat.

Většina podniků si dává pozor na to, aby na jejich serverech HMI a SCADA byl nainstalován odpovídající antivirový software, ale stejně důležité je, aby tento software byl nainstalován na každém zařízení, které se připojuje k síti řídicího systému, ať je to notebook, tablet, chytrý telefon nebo cokoliv, co sdílí s řídicím systémem stejnou komunikační síť, protože napadené pomocné zařízení může hackerům posloužit jako perfektní komunikační brána, jíž se dostanou k datům systému.

Centrálně spravovaný antivirový software implementovaný ve všech zařízeních v celém podniku může působit jako prevence a detekovat a odstraňovat škodlivý software přímo v zařízeních, čímž je proces monitorování komunikační sítě efektivnější a účinnější.

Jak omezit škody při prolomení obrany?
Nezáleží na tom, jak dobře jste připraveni, k prolomení kybernetického zabezpečení může dojít kdykoliv. Proto je důležité nejen se snažit prolomení zabránit, ale také zajistit, aby v situaci, kdy k tomu dojde, byly škody co nejmenší.

Jedním ze způsobů, jak omezit postižení sítě, je mít více než jeden mechanismus zabezpečení; implementovat robustní víceúrovňový přístup se zabezpečovacími systémy na mnoha nezávislých úrovních, které musí útočník postupně prolomit, chce-li postihnout celý systém. Správná strategie kybernetického zabezpečení s hloubkovou obranou pomáhá vyhnout se incidentům z hlediska funkční bezpečnosti a odstávkám provozu.

Segmentace sítě do logických zón omezuje interní hrozby, které, ačkoliv nejsou tak běžné, často mají závažné důsledky. Rozdělení do separátních logických zón popisované jako „pokročilá segmentace sítě“ je náročnější na implementaci a údržbu než tradiční lokální segmentace sítě; ovšem považuje se za nejlepší způsob, jak ochránit řídicí systém.

Jako minimum musí podniky zajistit bezpečné rozmístění firewallů a segmentaci tak, aby byla blokována nevyžádaná příchozí komunikace, stejně jako izolovat sítě tak, aby bylo možné omezit přenos dat k zařízením, která k tomu nejsou určená. Ideálním prostředkem pro zvýšení této schopnosti je použití pokročilých firewallů nebo firewallů na aplikační vrstvě komunikační sítě.

Jiným způsobem, jak omezit důsledky prolomení obrany, je využití redundance nebo využití záložních komponent, takže systém může pokračovat v činnosti i v případě, že je primární komponenta v důsledku kybernetického útoku vyřazena z provozu.

Nakonec: jedna z nejdůležitějších věcí pro omezení dopadu prolomení obrany je vytvoření efektivních a účelných procesů zachování nebo obnovy kontinuity podnikových procesů a uplatňování takových pravidel, aby se důsledky prolomení obrany nemohly rozšířit a aby zkušenosti z jednoho incidentu pomohly vypořádat se s budoucími hrozbami.

Jaká další opatření zúží prostor k útoku na systémy s PLC?
Uzamčení všech nevyužívaných komunikačních portů a vypnutí všech nepoužívaných služeb jsou jednoduché kroky, které přitom výrazně zúží prostor, jenž mají útočníci k dispozici.

Podniky by měly pracovat s dodavateli, kteří mají pro PLC a PAC uznávané certifikáty, např. Achilles, zahrnující bezpečnostní požadavky na konstrukci řídicích systémů i na inženýrské služby. Certifikáty umožňují dodavatelům řídicích systémů formálně doložit shodu svých řídicích systémů s požadavky kybernetické bezpečnosti.

Monitorování komunikace mezi stroji v závodě je dalším kritickým krokem, který pomůže odvrátit nebezpečí útoku. Veškerá komunikace musí být zabezpečená a musí se odehrávat výhradně protokoly určenými pro průmyslovou automatizaci, jako je např. OPC UA (OPC Unified Architecture). Součástí OPC UA jsou totiž robustní zabezpečovací mechanismy, které obsahují autentizaci, autorizaci, šifrování a kontrolu integrity dat. Jestliže se při monitorování síťové komunikace zjistí, že se otevřel nový port nebo byl použit neznámý protokol, musí to být vždy varováním před hrozbou útoku.

Jaký je nejlepší způsob autentizace uživatele PLC?
Jednou z největších hrozeb pro každou organizaci je nutnost improvizace. Pro efektivní změnu organizace, která přinese lepší zabezpečení řídicích systémů, je důležité používat výhradně ty nejlepší postupy a vzdělávat pracovníky v tom, jaké kroky je třeba učinit pro omezení rizik. Jedním z největších rizik pro zabezpečení je volba slabého hesla. Ve světě, kde nejčastější hesla jsou „password“ nebo „123456“, snad ani nelze dost zdůraznit, jak důležité je instruovat uživatele, aby si vybírali silná hesla, a nabídnout jim doporučení, jak to udělat.

Požadavek autentizace mezi klientskou aplikací (či aplikacemi) a serverem zajistí, že na server mohou mít přístup jen autentizované aplikace uživatelů. Multifaktorová autentizace a řízení přístupu založené na rolích jsou nejlepší volbou, pokud váš systém tuto úroveň zabezpečení podporuje.

Jaký je nejlepší způsob, jak izolovat síť PLC?
Největší riziko při přístupu na dálku představuje to, že hackerům umožňuje zvnějšku získat hlubší přístup do organizace. Když už ho získají, je velmi náročné zabránit neplánovaným odstávkám, ztrátě kontroly, úniku dat apod. Podniky by si proto měly nechat své sítě PLC prověřit, vyhledat zastaralé a možná zapomenuté možnosti přístupu, které by mohly hackerům posloužit, a pravidelně monitorovat přístupové body. Podnik může implementovat multifaktorovou autentizaci, která vyžaduje, aby uživatel v autentizačním mechanismu k získání přístupu k zařízení, aplikaci nebo datům úspěšně použil minimálně dva autentizační prvky či faktory.

Nejběžněji se používá dvoufaktorová autentizace, která je součástí širší množiny autentizací multifaktorových. Ve dvoufaktorové autentizaci se uživatel prokazuje kombinací dvou různých po sobě následujících faktorů: něčím, co musí znát, např. heslem, něčím, co musí mít u sebe, což je přístupová karta nebo softwarový token, nebo biometrickým znakem – otiskem prstu či snímkem obličeje.

Steve Ward je ředitel pro aplikační engineering pro region EMEA a má u firmy Emerson na starost řešení pro automatizaci strojů se zaměřením na řídicí systémy, operátorská rozhraní, průmyslová PC a software i hardware pro průmyslový internet věcí (IIoT) s uplatněním v oblasti průmyslové automatizace.

Zde nás také můžete kontaktovat přímo

Obecné informace můžete také najít na adrese:

www.emerson.com/Industrial-Automation-Controls