Beveilig uw productie-activa: Bewezen cloud-gebaseerde beschermingsstrategieën

Met de juiste cloud-gebaseerde beveiligingstools kunnen fabrikanten shopvloer-apparatuur afsluiten en afdichten voor would-be hackers

Cybersecurity-horrorverhalen zijn overvloedig, genoeg om productiedatabeveiligingshoofden frequente nachtmerries te geven. Alsof verhalen over Stuxnet en de "Wanna Cry"-ransomware-cases niet genoeg waren, duikten onlangs rapporten op in diverse publicaties, waaronder de Wall Street Journal, van hackers in Australië die gevoelige data stalen over hoog-profiel defensie-apparatuur activa inclusief de F-35 Joint Strike Fighter (JSF). In een overweldigende meerderheid van instanties lijken menselijke fouten, zoals het niet volgen van juiste cybersecurity-protocollen en het gebruiken van makkelijk te raden wachtwoorden, de hoofddaders te zijn. Dit laat data in banking, energie-infrastructuur, luchtvaart/verdediging, en productie kwetsbaar voor steeds groeiende cyberdreigingen.

Een van de beste manieren om cybersecurity te verbeteren is de nauwkeurige toepassing van softwarepatches. In de beruchte Equifax-schending, faalde het bedrijf om kritieke patches toe te passen op de software Apache Struts, een open-source programma gebruikt in zijn cybersecurity-systeem. Dit stelde hackers in staat om Equifax's databases te infiltreren om informatie te stelen over zoveel als 143 miljoen mensen in de VS, en meer in het VK en Canada.

Slecht pers zoals dit kan cloud-software en cloud-gebaseerde bedrijfsoperaties een slechte reputatie geven. De realiteit is dat cloud-cybersecurity-praktijken niet veel verschillen van die gebruikt voor on-premises-only installaties, maar het zijn op de cloud verbonden met het internet geeft hackers meer kansen om binnen te kruipen through ongevergrendelde deuren.

De fabriek beveiligen

Energienetten, financiële instellingen en detailhandelaren zijn allemaal het slachtoffer geweest van cyberaanvallen. Productieoperaties hebben niet veel grote inbraken gemeld, maar volgens een studie uitgebracht in september, zullen zo veel als de helft van kleine tot middelgrote bedrijven (SMB's) een losgeld betalen op Internet of Things (IoT) apparaten om hun data terug te claimen.

De studie door Arctic Wolf Networks Inc. (Sunnyvale, CA), een security operations center (SOC)-as-a-service leverancier, noteerde dat 13% van SMB's een IoT-gebaseerde aanval hebben ervaren, maar velen nemen nog steeds geen juiste beveiligingsmaatregelen. Uitgevoerd in samenwerking met Survey Sampling International, vond de studie dat de meeste SMB's geen geavanceerde detectie- en responsmogelijkheden hebben voor ransomware, advanced persistent threats (APT), en zero-day aanvallen, zoals Stuxnet.

Beveiligingsprofessionals en productie-experts zijn het ermee eens dat de stappen voor het beveiligen van cloud-data Spiegelen van die voor gebruikers van non-cloud, on-premises data.

"Mensen gaan ten onrechte aan dat data in de cloud veilig is, terwijl het alleen zo veilig is als jij het maakt," zei Brian NeSmith, Arctic Wolf Networks cofounder en CEO. "Dit betekent een firewall implementeren, monitoren op verdachte activiteit en toegang tot gevoelige data controleren.

"De verantwoordelijkheid ligt niet bij de cloud service provider, maar bij een bedrijfs IT-team om eventuele cloud-gebaseerde data te beveiligen," vervolgde NeSmith. "Bedrijven in gereguleerde industrieën neigen ertoe te denken dat compliance beveiliging is. Compliance is een manier om controles te beoordelen maar het is definitief geen beveiliging."

Het voordeel van on-premises systemen is dat de gebruiker meer controle heeft over het netwerk waarvandaan de data toegankelijk is, zei hij. "Voor cloud-gebaseerde data, kan iedereen met een internetverbinding proberen toegang te krijgen tot de data. Nauwkeurige beveiligingscontroles en -processen zijn de sleutel, of de data nu in de cloud of on-premises is. Bijvoorbeeld, als je per ongeluk toegang tot je interne netwerk geeft, kan iedereen die dat gat vindt potentielijk toegang krijgen tot je data, of de data nu in de cloud of on-premises is."

Idealiter moeten fabrikanten een security operations center (SOC) hebben dat 24/7 potentiële cybersecurity-dreigingen verzamelt, analyseert en onderzoekt, stelde NeSmith. "De SOC moet bemand zijn door full-time beveiligingsexperts. IT het als een deeltijdse baan laten doen is gewoon niet genoeg.

"Achteraf heeft getoond dat bijna alle grote hacks voorkombaar waren," vervolgde NeSmith. "Equifax had een beveiligingspatch die ze faalden te installeren. Target had alarmen maar ze waren begraven in de ruis van hun systemen. Cybersecurity is niet makkelijk, en veel bedrijven maken de fout om te denken dat effectieve cybersecurity betekent de juiste producten kopen. Beveiliging gaat niet over de producten maar over hoe effectief jouw beveiligingsoperaties zijn."

Cloud + Robuuste beveiliging

Fabrikanten die Siemens-oplossingen gebruiken, kunnen een combinatie van protocollen en geharde netwerkbeveiligingshardware benutten zoals de Siemens Scalance- en Ruggedcom-lijnen, alsook nieuwe cloud-aanbiedingen. Siemens exploiteert ook zijn Cyber Security Operations Centers, die 24/7 databeveiligingsmonitoring en herstelbijstand bieden in het geval van cyberaanvallen (zie "Heading Off the Inevitable Hack Attack," Manufacturing Engineering, oktober 2017).

Met Siemens Plant Security Services kunnen dreigingen en malware vroeg gedetecteerd worden, kwetsbaarheden geanalyseerd, en passende beveiligingsmaatregelen geïnitieerd, volgens Henning Rudoff, head of Plant Security Services, Siemens PLM Software (Plano, TX). Hij voegde toe dat continue monitoring plantoperators beveiligingstransparantie geeft.

Cloud-gebaseerde cybersecurity-software kan eenvoudigere implementatie en betere operatie-opties bieden vergeleken met traditionele on-site implementaties voor klanten niet gebonden aan lokale oplossingen door wetten of interne restricties, volgens Rudoff. "Siemens biedt cybersecurity-software gebaseerd op zijn IoT-besturingssysteem, MindSphere, om klanten te helpen digitalisering en beveiliging parallel te implementeren," zei hij.

Operators van industriële operaties zouden typisch moeten beginnen met een assessment om hun beveiligingsbehoeftes en huidige status te baselinen, bv., gebaseerd op IEC 62443, adviseerde Rudoff. "Nodige beveiligingsmaatregelen kunnen organisationeel zijn, zoals het trainen van de werkkracht om bewustzijn te vergroten, of technisch, zoals de implementatie van netwerksegmentatie of hardening van automatiseringsapparaten.

"Naast beschermingsconcepten, moeten klanten met geavanceerde behoeften ook detectie- en herstelconcepten implementeren," vervolgde hij. "Detectie kan bereikt worden, bijvoorbeeld, met Security Information and Event Management [SIEM] systemen die klanten helpen hun systemen' gedrag te monitoren [bijv., nieuwe apparaten op het netwerk of mislukte inlogpogingen]. In geval van een beveiligingsincident, wordt een forensische analyse aanbevolen; het beantwoordt twee vragen - hoe kan het systeem teruggebracht worden naar normaal gedrag, en hoe kunnen toekomstige incidenten voorkomen worden?"

Om inbraak te voorkomen, adviseert Siemens ten zeerste dat fabrikanten productupdates zo snel mogelijk toepassen en altijd de nieuwste productversies gebruiken. Voor informatie over productupdates kunnen klanten abonneren op de Siemens Industrial Security RSS Feed op https://www.siemens.com/industrialsecurity.

Voordelen van cloud-beveiliging

Sterke systemen en het toepassen van deugdelijkheid zijn musts voor cloud-providers, merkte Srivats Ramaswami, CTO en vicepresident, IT, voor manufacturing execution systems (MES) softwareontwikkelaar 42Q (San Jose, CA).

"Fabrikanten hebben te maken met gevoelige data elke dag: traceerbaarheidsdata, garantiëninformatie, apparaathistorie-records, en met name de engineering-specificaties voor een product zijn allemaal hoogvertrouwelijk. Die data toevertrouwen aan een cloud-gebaseerd systeem vereist deugdelijkheid om te garanderen dat de provider de juiste stappen heeft genomen om de data te beveiligen," zei Ramaswami. Hij adviseert gebruikers om te zoeken naar sleutelcybersecurity-functies zoals:

• Een multi-tier beveiligingsbenadering die de applicatiecode, fysieke verdediging binnen het datacenter en logische barrières bij de firewall omvat, alsook continue activiteitsmonitoring en malware-scanning.
• Contracten met derden die beveilingstesten uitvoeren, met rapporten beschikbaar voor klanten.
• Certificering zoals SOC 2 van de AICPA (American Institute of Certified Public Accountants), die bedrijven vereist om strenge informatiebeveiligingsbeleid en -procedures te vestigen en te volgen.

Hoe veilig is een productieoperatie's cloud-gebaseerde data eigenlijk? "Wanneer productiedata in de cloud opgeslagen is, is beveiliging meestal verbeterd in plaats van verminderd," stelde Ramaswami. "Dat is omdat cloud-leveranciers enorme resources inzetten om ervoor te zorgen dat hun systemen zo veilig mogelijk zijn, en constant geüpdatet worden om te reageren op potentiële dreigingen. Hoewel hack-pogingen tientallen keren per dag op cloud-gebaseerde systemen plaatsvinden, zijn er tot nu toe geen grote beveiligingsschendingen geweest bij systemen gebruikt door fabrikanten."

Er is een veelvoorkomende misperceptie dat cloud-gebaseerde data niet zo veilig is als on-premise servers, volgens Ramaswami. "De waarheid is dat de meeste on-premise systemen ver tekortschieten aan de beveiliging die de beste cloud-providers hebben geïmplementeerd. In feite heb ik persoonlijk wachtwoorden voor vermeend 'veilige' systemen gezien op Post-it-notities naast een rek servers waar de applicatie draait. De beveiligingsarchitectuur van geavanceerde cloud-providers is praktisch onmogelijk te dupliceren in een on-premise oplossing," voegde Ramaswami toe. "Bijvoorbeeld, het cloud-opslagsysteem gebruikt door 42Q was ontworpen voor 99,999999999% duurzaamheid en tot 99,99% beschikbaarheid van objecten over een gegeven jaar; vanwege de hoge kosten van dit systeem, is dat onbereikbaar voor praktisch elke IT-organisatie. Om tools als deze in een on-premise-omgeving te implementeren, zou niet alleen grote investeringen in infrastructuur vereisen, maar ook grote teams om ze te managen."

Ramaswami merkte op dat Equifax geen externe cloud-provider gebruikt, maar in plaats daarvan zijn eigen infrastructuur en applicaties bouwt en beheert. "Volgens de publiekelijk gemaakte informatie, lijkt het erop dat Equifax meer had kunnen doen om data te beschermen - de hack gebeurde in mei," observeerde hij, "terwijl een patch voor de uitgebuitte kwetsbaarheid meer dan twee maanden eerder beschikbaar was! Dit is een voorbeeld van waarom bedrijven moeten kijken naar hoogwaardige cloud-serviceproviders die data- en netwerkbeveiliging in real-time monitoren.

"Er is geen magische kogel voor beveiliging in de cloud; het vereist een bedrijf met beveiliging in zijn DNA, en hondsdraf aandacht voor details op een dagelijkse basis," vervolgde Ramaswami. Hij noteerde dat 42Q's beveiliging fysieke verdediging binnen het datacenter en logische barrières bij de firewall, standaarden voor codering en wachtwoordsterkte, continue activiteitsmonitoring en malware-scanning, en derde-partij testen omvat.

Machining-data uit de cloud

Voor het grootste deel is data in goede handen in de cloud - als gangbare cybersecurity-stappen of maatregelen genomen en tot de regel gevolgd worden, volgens voorstanders van de cloud.

"Goede beveiligingspraktijken zijn goede praktijken, ongeacht de fysieke locatie van de computing en opslag, on-premise of cloud-gebaseerd," zei Chuck Mathews, cloud-evangelist, MachiningCloud Inc. (Camarillo, CA, en Stans, Zwitserland). "Onze top 10 omvatten:

• Houd software, BIOS en firmware up-to-date,
• Houd anti-virus en malware-detectie up-to-date,
• Back-up belangrijke informatie,
• Gebruik sterke wachtwoorden, geen standaardwachtwoorden of accountnamen,
• Zet two-factor authentication aan wanneer beschikbaar,
• Deel geen accounts of wachtwoorden,
• Denk na voordat je informatie deelt,
• Gebruik encryptie op draadloze netwerken,
• Houd bewustzijn van computerbeveiligingsprincipes, en,
• Beperk toegang en rollen tot need-to-know.

"Over het algemeen gesproken, is cloud-gebaseerde data veiliger dan on-premise data," stemde Mathews in. "Cloud-bedrijven werven beveiligingsexperts en hebben een fiduciair verantwoordelijkheid om hoge beveiligingsniveaus te bieden; dat is wat ze doen. De gemiddelde shop heeft doorgaans geen dergelijke expertise in dienst."

MachiningCloud is een onafhankelijke leverancier van CNC-snijgereedschap- en spano-productdata die cloud-gebaseerde data-ophaling van machining-data voor machinisten en fabrikanten aanbiedt.

"De meerderheid van ons in de Verenigde Staten gebruikt cloud-gebaseerde diensten elke dag van de week," voegde Mathews toe. "Surfen op het web, een e-mail sturen, een vliegtuig of hotel boeken, bankieren, onze rekeningen betalen - zijn allemaal cloud-gebaseerde diensten. Echter, het gebruik van cloud-gebaseerde systemen in CAD/CAM is heel beperkt; de meeste CAD/CAM-software is desktop-gebaseerd en mag alleen cloud-diensten benaderen voor licentieverlening, software-updates, of referentie-data/bibliotheken."

Veel gepubliceerde hack-gebeurtenissen zijn outliers, dingen die gemakkelijk voorkomen hadden kunnen worden met juiste cybersecurity-maatregelen, volgens Mathews. "Echter, sommige cloud-gebaseerde diensten, zoals single sign-on [versus dubbele-authenticatie sign-ons], presenteren inherent beveiligingsrisico's en zouden vermeden moeten worden in hoge-beveiligingssituaties," zei hij.

Cloud-tech niet voor iedereen

In sommige gevallen is cloud-gebaseerde data misschien niet een perfecte fit voor sommige applicaties, inclusief CAD/CAM of hoge-respons apps, en in sommige operationele technologie (OT) gevonden in near-real-time automatisering op de shopvloer.

"De algemene consensus is dat cloud-only cybersecurity-maatregelen nooit voldoende robuust zullen zijn om de cyberdreiging voor kritieke infrastructuur volledig te verwijderen," zei JC Ramirez, director of engineering, product manager, ADL Embedded Solutions (San Diego), een ontwikkelaar van embedded systems PCs en automatiseringshardware. "Daarom is de trend gericht op het dichter bij deze kritieke activa brengen van cyberdreiging-beveiligingshardware/software-oplossingen. Dit parallelliseert vergelijkbare trends in industriële IoT/IIoT met nieuwe paradigma's als Fog en Mist computing die cloud-computing dichter bij de rand van het weefsel brengen om diverse redenen te maken met robuuste industriële systeemcontrole, maar ook verbeterde cyberdreiging-beveiliging voor hoogwaardige industriële activa."

Cybersecurity voor industriële en infrastructuur-activa gebruikt veel van dezelfde netwerkbeveiligingsmaatregelen die al jaren gangbaar zijn in IT-systemen, merkte Ramirez op. "Het kritische verschil is dat dreigingen voor kritieke infrastructuur en apparatuur significante real-life gevolgen kunnen hebben voor personeel, openbare veiligheid, of hoogwaardige activa. Om die reden moeten de beste cybersecurity-maatregelen vertrouwen op een team-gebaseerde benadering die niet alleen IT-personeel omvat, maar ook besturingingenieurs, operators, on-site managementvertegenwoordigers, en on-site fysieke beveiligingspersoneel als minimum." Hij voegde toe dat de National Institute of Standards and Technology (NIST) publicatie 800-82, "Guide to Industrial Control Systems (ICS) Security," een goede referentie is.

Sommige automatiseringsleveranciers lijken hun zwaarden te hedgen op cloud-systemen, misschien met goede reden. In september lanceerde Rockwell Automation Inc. (Milwaukee) een nieuwe on-premises threat detection-service gericht op het helpen van bedrijven detecteren en herstellen van inbraken. Het bevat technologie van OT-applicatieontwikkelaar Claroty (New York) die erop gericht is om "helderheid" te bieden aan de OT-ruimte.

De threat detection-service is een passieve, non-intrusieve beveiligingsoplossing, en neemt een product-agnostische benadering om een asset-inventaris te creëren over zowel IT- als OT-systemen in een industriële operatie, volgens Umair Masud, Rockwell consulting services portfolio manager. Het systeem gaat diep in industriële netwerkprotocollen en gebruikt threat detection-software om de eindgebruiker's netwerkassets en hoe ze met elkaar communiceren te mappen.

"Er is nog steeds, misschien terecht, terughoudendheid om OT-omgevingen direct met de cloud te verbinden," zei Masud. "Dit is een gedisciplineerde en verantwoorde on-prem-benadering."

Het Claroty-systeem, onder pilot voor ongeveer drie jaar, wordt nu uitgerold, zei Masud. Naast Rockwell, wordt het systeem ook gebruikt door Schneider Electric en andere automatiseringsleveranciers.

"We willen klanten helpen zich te verdedigen," zei Masud. "In een aanvalscontinuüm, zit er wat je doet voor, tijdens en na een aanval. Je moet je bewust zijn van wat je hebt en tegenmaatregels bedenken om het te beschermen, met dingen zoals zone-firewalls en two-factor of two-stap authenticatie. En na een aanval moet je ervoor zorgen dat je bronnen en de betrokken mensen kunnen herstellen door de juiste backup- en hersteltools op hun plaats te hebben."