Executive Roundtable: Facility- en netwerkbeveiliging voor productieleiders

Een van de belangrijkste aspecten van elke productiefaciliteit is beveiliging — of het nu gaat om machines of data. Tech Briefs stelde vragen aan executives van bedrijven die netwerk- en facility-beveiligingsoplossingen leveren, over onderwerpen als cyberbeveiliging, de cloud, draadloze apparaten en het beveiligen van een remote workforce.

De deelnemers zijn Mike Jabbour, General Manager Digital Connectivity and Power bij Siemens Digital Industries; Mike Lloyd, CTO bij RedSeal; Radu Pavel, CTO en Chief Engineer bij TechSolve; en Donovan Tindill, Senior Cybersecurity Strategist bij Honeywell Connected Enterprise – Cybersecurity.

Remote bediening, diagnostiek en onderhoud in coronatijd

Tech Briefs: Met meer mensen thuiswerkend door COVID-19, welke beveiligingsprocedures en systemen moeten er zijn voor remote bediening van apparatuur, diagnostiek en onderhoud?

Mike Lloyd: In de haast naar thuiswerken kregen beveiligingsteams een tsunami aan verzoeken voor verbeterde laptopbesturing, nieuwe VPN-eisen, nieuwe cloudservices en meer; een vaak overgezien aspect zijn echter de bedrijfsmiddelen die niet mee verhuisden toen de operators dat deden. Plotseling hadden operators remote mogelijkheden nodig om fysieke apparatuur die niet verhuisde aan te sturen en te diagnosticeren. In beveiliging betekent remote altijd risico. Elke nieuwe controlepad tussen remote werkers en fysieke bedrijfsmiddelen vergroot het aanvalsoppervlak. Het is wijze voor beveiligingsteams om te auditen hoe alle fysieke middelen bereikbaar zijn. Als je voor COVID wist hoe dat allemaal werkte, weet je het nu waarschijnlijk niet meer.

Radu Pavel: De COVID-19-situatie leidt tot een versnelde digitalisering van de werkomgeving. Omdat zakelijke realiteiten de behoefte aan realtime data uit veel functies drijven, branden de potentiële voordelen van nieuwe technologieën de wens om productie- en niet-productieapparaten op de shopfloor te verbinden. De honger van fabrikanten naar geavanceerde technologie overschrijdt hun vermogen om deze te beschermen, en deze connectiviteit en datarijke omgeving brengen significante cyberbeveiligingsuitdagingen met zich mee. Fabrikanten hebben de extra uitdaging om niet alleen IT-systemen te beschermen, maar ook operationele technologie (OT), die kan variëren van sensoren tot PLC's, robotcontrollers, werktuigmachines en andere operationele apparatuur.

Mike Jabbour: Het positieve is dat COVID de benodigde apparatuur of processen voor remote communicatie niet heeft veranderd — het heeft alleen de noodzaak gedreven om technologieën te gebruiken die al beschikbaar waren. Niet elk bedrijf moet exact hetzelfde doen bij remote applicaties en beveiliging, maar de basis moet altijd geïmplementeerd zijn. Er zijn veel andere beveiligingsapparaten te overwegen, maar op basisniveau moeten een VPN-verbinding, firewall en jump server gebruikt worden.

Remote communicatie moet altijd correct geauthenticeerd, versleuteld en uitgeschakeld worden wanneer niet in gebruik. Een goede firewall beschermt interne verkeer van een onvertrouwd netwerk. Als er meerdere netwerksegmenten zijn, moet communicatie via de firewall elk intern segment van de andere beschermen. Bij remote communicatie is het versleutelen van verkeer van de remote gebruiker naar het vertrouwde netwerk altijd best practice. Dit kan met een VPN-appliance. Er mag geen directe communicatie zijn van een onvertrouwd netwerk naar het beveiligde netwerk.

Donovan Tindill: Voor remote toegang tot een industriële controlesysteem/operationele technologie (ICS/OT) zijn de gevolgen en verliezen van een cyberaanval significant hoger dan bij toegang tot informatietechnologie (IT). Om dit zakelijke risico te reduceren, zijn extra beschermingen nodig, waaronder multifactor-authenticatie vanaf onvertrouwde netwerken. Vertrouwen is relatief — het zakelijke netwerk is minder vertrouwd dan ICS/OT-systemen. Een typische VPN staat een gebruiker 24/7 toe te verbinden. Expliciete toegangsaanvraag-goedkeuring is vereist voor elke sessie, elke gebruiker en elke dag bij remote werk, gezien de potentiële gevolgen van ICS/OT-cyberaanvallen.

Balans tussen toegankelijkheid en beveiliging

Tech Briefs: Het lijkt een tweesnijdend zwaard: de cloud, draadloze sensornetwerken en andere industriële systemen hebben opwindende voordelen voor digitale fabrieken, maar vergroten tegelijkertijd het aanvalsbereik enorm. Hoe kan toegankelijkheid gebalanceerd worden met beveiliging?

Lloyd: Het Industrial Internet of Things (IIoT) brengt grote voordelen maar ook grote risico's. In het algemeen moeten alle 'dingen' in het Internet of Things als kwetsbaar en niet betrouwbaar worden behandeld. Dit komt als schok voor teams gewend aan geïsoleerde SCADA-infrastructuur, maar tijden zijn veranderd. Gegeven de kwetsbaarheid van IoT-systemen, is netwerksegmentatie de enige redelijke aanpak — alle mogelijke toegangspaden moeten in rekening worden gebracht en industriële systemen zo veel mogelijk geïsoleerd. Met de tijd wordt toegang slordig en worden fouten gemaakt, dus je hebt een manier nodig om continu te verifiëren dat toegang niet meer is dan nodig, om netwerkdrift te stoppen.

Tindill: Toegankelijkheid kan gebalanceerd worden met beveiliging, maar er worden tegelijkertijd nieuwe normen gesteld. Vliegveldbeveiliging voor 9/11 was heel anders dan vandaag, maar de nieuwe norm is goed gevestigd met nieuwe technologieën en protocollen die nog steeds tijdige screening toelaten. Met nieuwe technologieën is oplossingstraining vereist en als cyberbeveiliging erbij wordt verpakt, is de gebruikerservaring en toegankelijkheid geen probleem. De zakelijke voordelen van deze technologieën en digitale fabrieken hebben het potentieel om resultaten te leveren die nog nooit gezien zijn. De rol van cyberbeveiliging is om de investering in cloud, draadloze sensornetwerken en andere industriële systemen te beschermen, zodat ze hun ROI kunnen leveren terwijl ze weerbaar zijn tegen cyberaanvallen. Multifactor-authenticatie, public key infrastructure, cryptografie en andere beveiligingscontroles — correct geïmplementeerd — zijn voor de gebruiker virtually seamless en bieden een extra laag toegangscontrole niet haalbaar met legacy-technologieën.

Jabbour: Opzettelijk geplande en gesegmenteerde netwerken zijn de ruggengraat van niet alleen een factory-communicatiesysteem maar ook beveiligingsbest practices. Een gesegmenteerd ICS-netwerk kan sensornetwerken van elkaar beschermen bij een aanval, wat betekent dat toegang tot één sectie van je fabriek niet het hele bedrijf in één keer platlegt. Dit moet gekoppeld zijn aan het kennen en begrijpen van de kwetsbaarheden van je faciliteit. Simpelweg een apparaat plaatsen en weglopen is de primere procedure om hackers een aanvalsvlak te geven. Het beheren van alle apparaten op het netwerk omvat niet alleen weten welke apparaten er zijn, maar ook geplande herhaling van kwetsbaarheden en hun bedreigingsniveau (laag/middel/hoog).

Pavel: De schaal en snelheid van digitalisatie en groei van connectiviteitsnetwerken leiden tot toename van cyberbeveiligingsrisico's. Het gaat niet alleen om de schaal van blootstelling, maar de kwetsbaarheid van de cyber-fysische systemen die verbonden worden. Deze nieuwe systemen zijn niet inherent met cyberbeveiliging ontworpen. Het probleem wordt verergerd door potentiële negatieve prestatie-impact van integratie van gangbare cyberbeveiligingstechnologieën in bestaande systemen. Het balanceren van toegankelijkheid met beveiliging is een veelzijdige strategie die steunt op standaardcommunicatieprotocollen, versleuteling van data over netwerken, het benutten van de meest actuele cyberbeveiligingsstandaarden, en implementatie van technologieën die realtime identificatie en mitigatie van cyberbedreigingen toelaten.

Waarom cyberbeveiliging vaak laat komt

Jabbour: Omdat cyberbeveiliging het gemakkelijkst over het hoofd wordt gezien. Meeste IIoT-installaties proberen een zakelijke behoefte te voldoen en cyberbeveiliging is meestal geen standaard gespreksonderwerp in zakelijke behoeften tot er een aanval gebeurt.

Lloyd: Cynisch gezegd, omdat beveiliging altijd het laatste element is van alle implementaties. De push voor IoT gaat over features en kosten. Dit betekent dat apparaten snel, tegen minimum prijs worden geproduceerd, en je krijgt de beveiliging waar je voor betaalt. Apparaten zijn vaak niet patchbaar en ondersteunen geen traditionele agents en scanners in onze beveiligingstoolsets. IoT-beveiliging is een heel moeilijk probleem — effectief het injecteren van onverhoopt kwetsbare nieuwe apparaten in een netwerk dat al ongestuim en ongeremd was. De overgang naar IoT zal alleen goed gaan voor wie gedisciplineerd is en van tevoren plant om de 'blast radius' van problemen in te perken wanneer — niet als — ze zich voordoen.

Tindill: Er zijn verschillende redenen waarom cyberbeveiliging pas aan het einde van implementatie wordt overwogen. Inkoop- en sourcingprocessen sluiten cyberbeveiligingseisen uit omdat prijs de primaire factor blijft. Meeste engineeringprocessen sluiten cyberbeveiliging uit — specificatie, ontwerp, configuratie, testen en ingebruikname gebeuren vaak zonder cyberbeveiligingstaken of -leverables. IT- en cyberbeveiligingsteams worden uitgesloten tot het moment van verbinding met netwerk of internet — pas dan ontdekken ze soms dat het project bestaat. Cyberbeveiliging moet voldoende gewicht hebben in de besluitcriteria; na opname in inkoopprocessen, wordt het meegenomen door het hele ontwerp, configuratie, hardening en cyber-acceptatietesten, allemaal vóór lancering.

Pavel: Vroeger, toen het grootste risico een computervirus was, tot vandaag, toen operationele technologie-malware apparatuur kan vernietigen en levensverlies kan veroorzaken, heeft de computerwereld een exponentiële toename van cyberaanvallen gezien. IoT-gebaseerde technologieën bieden hun eigen unieke beveiligingsuitdagingen rond dataintegriteit, datalekkage, privacy en potentiële onbevoegde toegang.

Waarom is beveiliging vaak het laatste element van IoT-implementatie? Sommige systemen zijn niet met cyberbeveiliging ontworpen, maar puur om een bepaalde functie te leveren. Eindgebruikers考虑erden cyberbeveiliging niet als hoofdselectiecriterium, maar de vermogens van een systeem om een taak uit te voeren, efficiëntie en kosten. Pas in recentere jaren is het cyberbeveiligingsprobleem meer benadrukt door gebruikers, overheid en standaardisatiegroepen.

Top prioriteiten voor industriële netwerken

Lloyd: De top drie prioriteiten voor industriële netwerken zijn segmentatie, segmentatie en segmentatie. De oude luchtgaten zijn verdampt en het internet is steeds meer gemengd met fysieke factory-operaties, of we dat nu willen of niet. Deze voortplanting van interfaces betekent dat het totale aanvalsoppervlak is geëxplodeerd en er zult ooit wel iets binnenkomen. De overkoepelende prioriteit is van tevoren plannen om de verspreiding van slechte gebeurtenissen te beperken, met segmentatie, en voor de meest kritische systemen, van tevoren plannen om 'blast doors' te sluiten, vergelijkbaar met schotten in onderzeeboten.

Pavel: Cyberaanvallen kunnen confidentialiteit, integriteit en beschikbaarheid in een productieomgeving beïnvloeden. Ze kunnen leiden tot verlies van product- en proces-IP; productieverliezen door vernietigen, wijzigen en herprogrammeren van onderdelen en processen; reputatieschade; en zelfs letsel en levensverlies. Het belang van dataintegriteit voor productie is te zien in relatie tot onderdeelproductie — het wijzigen van product- en specificaties kan schadelijk zijn voor kwaliteit en betrouwbaarheid.

Data- en cyber-fysieke systeembeschikbaarheid is ook cruciaal voor productiviteit. Legacy-hardware en -software worden veel gebruikt in productieprocessen en sommige zijn niet met cyberbeveiliging of IoT ontworpen. Er is dus een inherent risico bij het verbinden van dergelijke legacy-apparaten met IoT of integreren in het factory-netwerk.

Firewalls: voldoende of niet?

Jabbour: Absoluut niet. Firewalls zijn maar een enkel apparaat van een totaal systeem en hoewel ze gebruikt moeten worden, moeten andere ontwerpoverwegingen in aanmerking worden genomen.

Tindill: In de jaren '90 waren firewalls en antivirus de standaard omdat ze voldoende bescherming boden tegen de cyberdreigen van toen. Virtual 100% van organisaties hebben nu firewalls en cyberaanvallen kunnen firewalls omzeilen met andere tactieken, technieken en procedures (TTPs). Cyberdreigen evolueren snel en meerdere cyberbeveiligingscontroles zijn vereist. Firewalls vervullen voornamelijk een beschermende controle, goed in het detecteren van bekende slecht gedrag aan de netwerkperiferie. Vandaag zijn aanvallen credential theft en het gebruiken daarvan om netwerken te penetreren zonder detectie, omdat brute force of kwaadaardige verbindingen niet nodig zijn. We hebben allemaal verhalen gehoord over hoe een dreigingsactor zes tot negen maanden in een systeem zat voor de aanval; dit is een voorbeeld van hoe zwakke detectie- en responscapaciteiten zich manifesteren.

Pavel: Alleen op een firewall vertrouwen is geen goede praktijk meer — het waarschijnlijk nooit geweest. De drie meest kritieke delen van een bedrijfsbeveiligingsprogramma zijn mensen, processen en technologie. Kleine en middelgrote organisaties vormen een speciale uitdaging voor cyberbeveiliging in productieomgevingen en supply chain. Velen hebben geen technisch personeel voor robuuste cyberbeveiliging en zijn zich vaak niet bewust van de bedreigingscomplexiteit, waardoor ze geen business case kunnen maken voor investering in OT-cyberbeveiliging. Om deze vallen aan te pakken en de adoptie van juiste maatversnellen, heeft de overheid geïnvesteerd in ontwikkeling van regelgeving, standaarden en certificeringsprogramma's voor gehele industrieën.

Lloyd: Firewalls zijn als deursloten op je gebouw — een goede start, basishygiëne, maar geen uitgebreid antidoot op risico. Firewalls zijn gecompliceerd en bijna altijd op een of andere manier misgeconfigureerd. Ik heb duizenden real-world firewalls geassesseerd en het is zeldzaam om minder dan tien fouten per apparaat te vinden. (Extreem complexe firewalls kunnen duizenden fouten in één apparaat bevatten.) Het moeilijkste aspect is begrijpen of ze alles hebben gedekt — je kunt immers geen omweg rond de firewall identificeren door alleen de firewall te lezen. Je hebt een volledig overzicht van toegang over je hele factory-netwerk nodig en moet bij kunnen blijven met toegang naarmate je netwerk verandert en groeit.

BRONNEN

1. Honeywell Connected Enterprise
2. RedSeal
3. Siemens Digital Industries
4. TechSolve