Het industriële IoT beschermen:een aanpak van de volgende generatie aannemen – deel 2

De digitalisering van industriële activa zorgt voor een groeiend bewustzijn van het belang van het beschermen van verbonden OT-omgevingen tegen cyberaanvallen die de productie, fabriek en activa beschadigen - en gevoelige gegevens blootleggen, zegt Trevor Daughney, vice-president productmarketing bij Exabeam

Zoals we in het vorige artikel ontdekten, richten cyberdreigingen zich steeds vaker op industriële controlesystemen (ICS) met als doel productielijnen stil te leggen of enorme fysieke schade aan apparatuur toe te brengen.

Nu de bedreigingen voor industriële netwerken toenemen, zullen werknemers die verantwoordelijk zijn voor het beheer en de beveiliging van IT en OT nauw moeten samenwerken om potentiële kwetsbaarheden op te sporen en prioriteiten te stellen waar hiaten in de beveiliging moeten worden gedicht. Door dit te doen, krijgen IT- en OT-teams het diepgaande begrip dat ze nodig hebben van de onderlinge relaties tussen OT-omgevingen, bedrijfsnetwerken en het bredere industriële ecosysteem zelf - waar ook leveranciers, verkopers en partners bij betrokken kunnen zijn.

Dat is geen gemakkelijke taak als je bedenkt hoe tot nu toe IT- en OT-beveiligingsproblemen grotendeels in hun respectieve silo's werden aangepakt. Bovendien is de uitdaging om de beveiliging van OTsolutions aan te pakken niet gemakkelijk te overwinnen.

Air-gapped systemen zijn geen haalbare oplossing

Als het gaat om het beschermen van industriële controlesystemen, passen veel organisaties nog steeds een benadering toe die bekend staat als air-gapping, of beveiliging door isolatie, in een poging de beveiliging van legacy OT-systemen tegen cyberaanvallen te versterken. Hoewel het effectief is als een tijdelijke beveiligingsmaatregel, is air-gapping echter geen ideale oplossing voor de lange termijn. En het mag zeker niet geïsoleerd worden gebruikt. Neem bijvoorbeeld de Stuxnet-wormaanval, die is ontworpen om de doelomgeving te doorbreken via een geïnfecteerde USB-stick - door elke luchtspleet te passeren. Met kwaadaardige computerwormen zoals deze, is air-gapping alleen niet voldoende beveiliging.

Afgezien van het feit dat air-gappingsystemen het vermogen van organisaties om gebruik te maken van de realtimegegevens die deze systemen genereren aanzienlijk beperken om kosten te besparen, uitvaltijd te verminderen en de efficiëntie te verbeteren, maken veel van de moderne architecturen van tegenwoordig de verbinding van verouderde OT met internet mogelijk voor doeleinden van modern operationeel commando en controle. Inderdaad, 40% van de industriële sites heeft ten minste één directe verbinding met het openbare internet, waardoor deze OT-netwerken direct in de vuurlinie staan ​​als het gaat om mogelijke blootstelling aan kwaadwillenden en malware.

Omgaan met complexiteit

Helaas zijn veel van de beveiligingsoplossingen die zijn ontworpen voor de IT-wereld niet op maat gemaakt om de complexiteit van de huidige verbonden OT-omgevingen aan te kunnen. Dat komt omdat de IIoT-apparaten die in OT-systemen worden gebruikt, niet zijn ontworpen om te worden geïntegreerd met de tools voor beveiligingsmonitoring en -beheer die zijn ontworpen voor IT-netwerken van bedrijven.

De implicaties hiervan voor organisaties zijn ingrijpend:ze hebben geen zicht op OT-netwerkgebeurtenissen of activa. En zonder een bedrijfsbreed overzicht van alle potentiële risico's, kwetsbaarheden en potentiële infiltratiepunten, worden de snelle detectie- en reactiemogelijkheden van deze bedrijven ernstig aangetast.

Dat is geen goed nieuws voor beveiligingsteams die zich bezighouden met het beschermen van IIoT-omgevingen tegen een groeiend aantal bedreigingsactoren die zich richten op de controlesystemen van meerdere industrieën.

Apparaatrisico's aanpakken met UEBA

Het goede nieuws is dat het efficiënt en effectief monitoren van OT-apparaten geen onmogelijke taak is. Deze apparaten, die typisch zijn ontworpen om te werken zonder menselijke tussenkomst, 'gedragen' zich op een bepaalde manier. Ze communiceren bijvoorbeeld via specifieke poorten, met bepaalde IP-adressen en apparaten, op verwachte tijden. Deze acties kunnen worden geherinterpreteerd als 'gedrag' en gebruikersentiteit gedragsanalyses (UEBA) die worden ingezet om de mogelijkheden voor beveiligingsmonitoring te vergroten die kunnen worden geïntegreerd met beveiligingsinformatie en gebeurtenisbeheer (SIEM) om uitgebreide infrastructuurmonitoring op een echt uniforme manier uit te voeren.

In plaats van dagen of weken te spenderen aan het gebruik van het allegacy SIEM-systeem om handmatig elk van de honderden orthousands logs per seconde die door een enkel OT-controlepunt worden gegenereerd, op te vragen en te draaien, maakt UEBA het sneller en gemakkelijker om indicatoren van compromissen te ontdekken.

Met behulp van analyses om een ​​uitgebreid normaal gedragsprofiel van alle gebruikers en entiteiten in de hele omgeving te modelleren, zullen UEBA-oplossingen elke activiteit identificeren die niet overeenkomt met deze standaard baselines. Verpakte analyses kunnen vervolgens worden toegepast op deze afwijkingen om bedreigingen en potentiële incidenten te ontdekken.

Op deze manier wordt het mogelijk om de omvangrijke output van IIoT-apparaten, naast IT-apparaten, systematisch te monitoren om potentiële beveiligingsrisico's te vinden. Andere activiteiten, zoals apparaatlogins, kunnen ook worden gecontroleerd.

Een geïntegreerde benadering van beveiliging

Zoals we hebben gezien, zijn de beperkingen van zowel legacy als moderne IIoT-, OT- en IoT-oplossingen hardnekkig, maar er zijn stappen die bedrijven kunnen nemen om de integriteit van hun bedrijfsvoering te waarborgen.

De sleutel hier is om een ​​'puntoplossing'-benadering te vermijden en in plaats daarvan te kiezen voor een geïntegreerde oplossing die UEBA combineert met een modern SIEM-platform om een ​​bedrijfsbrede kijk op IT- en OT-beveiliging te bieden. Het mogelijk maken om de allerbelangrijkste gecentraliseerde monitoring te starten die de verhoogde detectie van bedreigingen mogelijk maakt, inclusief moeilijk te detecteren technieken zoals zijdelingse beweging.

Als dit op zijn plaats is, kan een enkel SOC-team de SIEM gebruiken om gegevens uit alle bronnen van de organisatie op te nemen en te analyseren en een realtime beeld te krijgen van alle beveiliging, inclusief volledige zichtbaarheid van alle apparaten in hun OT-omgevingen.

De auteur is Trevor Daughney, vice-president Product Marketing bij Exabeam