بدهی امنیتی OT تو کارخونه‌ها از کجا اومده؟
خلاصهٔ کامل‌تر
تو این گزارش Industrial Cyber اومده که بحران امنیت OT (یعنی سیستم‌هایی که خط تولید و تجهیزات فیزیکی کارخونه رو کنترل می‌کنن) در اصل یه بدهیه. بین ۲۰۰۰ تا ۲۰۲۰ هر موج مدرن‌سازی یه قابلیت جدید به سیستم‌های قدیمی اضافه کرد و اونا رو به IT شرکت و کلاد وصل کرد. ولی هیچ‌کدوم با فکر جداسازی و segmentation ساخته نشدن.
نویسنده سه مشکل اصلی رو می‌شمره. اول، پروتکل‌های قدیمی مثل Modbus و Profibus برای محیط‌های ایزوله ساخته شدن و احراز هویت و رمزنگاری ندارن. دوم، هر لایه اتصال مثل ERP، دسترسی از راه دور و کلاد یه مسیر کنترل‌نشده بین سیستم‌ها باز می‌کنه. سوم، تو محیط‌های brownfield (یعنی جایی که سیستم قدیمی و جدید کنار هم کار می‌کنن) ضعیف‌ترین نقطه، امنیت کل رو تعیین می‌کنه.
Donovan Tindill از DeNexus می‌گه بزرگ‌ترین خطر، شبکه تخت OT هست: یعنی سیستم کنترل، سیستم ایمنی و هرچی بعداً اضافه شده همه روی یه broadcast domain نشستن. اکانت‌ها پیش‌فرض Administrator بودن و ابزارهایی مثل VNC و RDP با رمزهای مشترک و بدون مانیتورینگ کار می‌کردن. نتیجه اینه که یه نفوذ کوچیک می‌تونه کنترل کل محیط رو بده دست مهاجم.
درباره پروتکل‌های قدیمی، Tindill می‌گه کل سیستم رو آسیب‌پذیر فرض کن. این پروتکل‌ها نباید از محدوده لایه ۲ مدل Purdue بیرون برن و هر چیزی که از بیرون داده می‌خواد باید از DMZ، historian یا proxy رد بشه. Denrich Sananda از Arista Cyber هم پیشنهاد می‌ده یه firewall صنعتی فقط به سرور SCADA یا DCS مجاز اجازه حرف زدن با PLC بده و دستورهای write غیرمنتظره رو ببنده. دسترسی vendorها هم باید با MFA، jump server مانیتورشده و تأیید زمان‌دار باشه.
برای برنامه سه‌ساله، Tindill پیشنهاد می‌ده اول با OT CRQ (یعنی تخمین مالی ضرر احتمالی یه حمله) برای هر کارخونه خط پایه مالی بسازی و پروژه‌ها رو بر اساس ضرر کم‌شده به ازای هر دلار رتبه‌بندی کنی. Sananda می‌گه سال اول شناسایی دارایی‌ها و امن کردن دسترسی از راه دوره، سال دوم segmentation از بخش‌های حیاتی DCS و PLC و ایمنی، و سال سوم جایگزینی پرریسک‌ترین سیستم‌های بی‌پشتیبانی. همه کارها هم باید با زمان‌های تعمیر و توقف برنامه‌ریزی‌شده هماهنگ بشن.
برای فرق بدهی تدریجی با مشکل بنیادی معماری، Tindill می‌گه همه‌چیز به پشتیبانی vendor بستگی داره: تا وقتی پشتیبانی هست، میشه با patch و ارتقای مرحله‌ای جلو رفت. Sananda هم می‌گه شبکه تخت، مسیرهای ارتباطی ناشناخته و زیرساخت مشترک بین سیستم‌های تجاری و کنترلی و ایمنی نشونه مشکل بنیادیه و سرمایه‌گذاری جدی لازم داره. به گفته کارشناس‌ها، سازمان‌های موفق فهرست دقیق دارایی دارن، کنترل‌هاشون رو مرتب تست می‌کنن و ریسک OT رو با عدد دلاری به هیئت‌مدیره نشون می‌دن، نه با امتیاز CVSS.
نکات کلیدی:
- بین ۲۰۰۰ تا ۲۰۲۰ سیستم‌های OT بدون بازطراحی معماری به IT و کلاد وصل شدن
- Modbus و Profibus احراز هویت و رمزنگاری ندارن و نباید از لایه ۲ مدل Purdue بیرون برن
- شبکه تخت OT به گفته همه کارشناس‌ها مهم‌ترین نشونه بدهی امنیتیه
- برنامه سه‌ساله: شناسایی و دسترسی امن، بعد segmentation، بعد جایگزینی سیستم‌های پرریسک
- OT CRQ ریسک رو با تخمین میانگین، صدک ۹۵ و صدک ۹۹ ضرر مالی برای هر کارخونه نشون می‌ده
