Hvordan AI kan holde industrilyset til at lyse

Sponsoreret funktion Internetforbindelse har ændret alt, inklusive old-school industrielle miljøer. Efterhånden som virksomheder moderniserer deres drift, forbinder de mere af deres maskiner til internettet. Det er en situation, der skaber klare og aktuelle sikkerhedsproblemer, og industrien har brug for nye tilgange til at håndtere dem.

Indførelsen af ​​Industrial Internet of Things (IIoT) skrider frem. Forskning fra Inmarsat fandt, at 77 procent af de adspurgte organisationer fuldt ud har implementeret mindst ét ​​IIoT-projekt, hvor 41 procent af dem har gjort det mellem andet kvartal af 2020 og 2021.

Den samme undersøgelse advarede også om, at sikkerhed var en primær bekymring for virksomheder, der går i gang med IIoT-implementeringer, hvor 54 procent af de adspurgte klager over, at det stoppede dem med at bruge deres data effektivt. Halvdelen nævnte også risikoen for eksterne cyberangreb som et problem.

IIoT-løsninger er afgørende for konvergensen mellem IT og OT (operationel teknologi). OT-platforme, ofte industrielle kontrolsystemer (ICS), hjælper virksomheder med at styre deres fysiske enheder som presser og transportbånd, der driver fremstillingsproduktion eller ventiler og pumper, der holder kommunalt vand til at strømme.

Ved at gøre det genererer de enorme mængder data, der er nyttige til analyseformål. Men at få den information ind i de relevante virksomhedsværktøjer betyder at bygge bro mellem IT og OT.

Operatører ønsker også, at disse OT-systemer skal være tilgængelige eksternt. Ved at give konventionelle it-applikationer muligheden for at styre disse enheder, betyder det, at de kan forbindes med de samme back-end-processer, der er defineret i it-systemer. Og at muliggøre fjernadgang for teknikere, der ikke kan eller ikke vil tage en tur-retur på flere kilometer blot for at foretage en driftsændring, kan også spare tid og penge.

Dette behov for fjernadgang blev skærpet under COVID-19-krisen, da social distancering og rejserestriktioner forhindrede teknikere i overhovedet at foretage besøg på stedet. Inmarsat fandt for eksempel ud af, at pandemien var en grundlæggende årsag til accelereret IIoT-adoption, hvor 84 procent rapporterede, at de har eller vil accelerere deres projekter som en direkte reaktion på pandemien.

Så for mange er konvergensen mellem IT og OT mere end blot bekvem; det er vigtigt. Men det har også skabt en perfekt storm for sikkerhedsteams. Et eksternt tilgængeligt ICS-system, der er tilgængeligt, øger angrebsoverfladen for hackere.

ICS-angreb i aktion 

Nogle gange kan den IT/OT-konvergens være så simpel som at nogen installerer fjernadgangssoftware på en pc på en facilitet. Det er det opsætning, der tilladt hackere til adgangskontrolsystemer via en installation af et fjernadgangsværktøj på det kommunale vandværk i Oldsmar, Florida i 2021, før de forsøgte at forgifte lokale beboere med natriumhydroxid. Den pc, som angriberen kompromitterede, havde adgang til OT-udstyret på anlægget. Byens sherif rapporterede, at den usynlige ubuden gæst havde trukket musemarkøren rundt foran en af ​​dens arbejdere.

Det er ikke klart, hvad der fik hackere til at forsøge at forgifte uskyldige Floridianere, men nogle angreb har økonomiske motiver. Et eksempel er EKANS ransomware-angrebet ramte Honda i juni 2020, hvorved produktionsaktiviteterne i Storbritannien, USA og Tyrkiet lukkes ned.

Angribere brugte EKANS ransomware til at målrette interne servere hos virksomheden, hvilket forårsagede store forstyrrelser på dets fabrikker. I en analyse af angrebet forklarede cybersikkerhedsfirmaet Darktrace, at EKANS var en ny type ransomware. Ransomware-systemer, der er målrettet mod OT-netværk, gør det normalt ved først at ramme it-udstyr og derefter dreje. EKANS er relativt sjældent, da det er rettet direkte mod ICS-infrastruktur. Det kan målrette op til 64 specifikke ICS-systemer i sin dræbningskæde.

Eksperter mener, at andre ICS-angreb er statssponsorerede. Triton-malwaren, der først blev rettet mod petrokemiske anlæg i 2017, er stadig en trussel ifølge FBI, der tilskriver angreb statsstøttede russiske grupper. Denne malware er især grim, ifølge Bureauet, fordi den tillod fysisk skade, miljøpåvirkning og tab af menneskeliv.

Standardsikkerhedsløsninger fungerer ikke her

Traditionelle cybersikkerhedstilgange er ikke effektive til at løse disse OT-sårbarheder. Virksomheder kunne bruge endpoint-sikkerhedsværktøjer inklusive anti-malware til at beskytte deres pc'er. Men hvad nu hvis endepunktet var en programmerbar logisk controller, et AI-aktiveret videokamera eller en pære? Disse enheder har ikke ofte kapacitet til at køre softwareagenter, der kan kontrollere deres interne processer. Nogle har muligvis ikke CPU'er eller datalagringsfaciliteter.

Selv hvis en IIoT-enhed havde behandlingsbåndbredden og strømkapaciteten til at understøtte en indbygget sikkerhedsagent, ville de brugerdefinerede operativsystemer, de bruger, sandsynligvis ikke understøtte generiske løsninger. IIoT-miljøer bruger ofte flere typer enheder fra forskellige leverandører, hvilket skaber en mangfoldig portefølje af ikke-standardiserede systemer.

Så er der spørgsmålet om skala og fordeling. Administratorer og sikkerhedsprofessionelle, der er vant til at håndtere tusindvis af standard-pc'er på et netværk, vil finde et IIoT-miljø, hvor sensorer kan tælle flere hundrede tusinde, meget forskellige. De kan også spredes over et bredt område, især da edge computing-miljøer vinder trækkraft. De kan begrænse deres forbindelser til netværket i nogle mere fjerntliggende miljøer for at spare strøm.

Evaluering af traditionelle ICS-beskyttelsesrammer

Hvis konventionelle it-sikkerhedskonfigurationer ikke kan håndtere disse udfordringer, så kan OT-centrerede alternativer måske det? Go-to-standardmodellen er Purdue cybersikkerhedsmodellen. Oprettet på Purdue University og vedtaget af International Society of Automation som en del af sin ISA 99-standard, definerer den flere niveauer, der beskriver IT- og ICS-miljøet.

Niveau nul omhandler de fysiske maskiner - drejebænke, industripresser, ventiler og pumper, der får tingene gjort. Det næste niveau op involverer de intelligente enheder, der manipulerer disse maskiner. Det er de sensorer, der videresender information fra de fysiske maskiner og aktuatorerne, der driver dem. Derefter finder vi de overvågnings- og dataindsamlingssystemer (SCADA), der overvåger disse maskiner, såsom programmerbare logiske controllere.

Disse enheder forbindes til produktionsstyringssystemer på næste niveau, som udfører industrielle arbejdsgange. Disse maskiner sikrer, at anlægget fortsætter med at fungere optimalt og registrerer dets driftsdata.

På de øverste niveauer af Purdue-modellen er virksomhedens systemer, der hviler direkte i IT-området. Det første niveau her indeholder de produktionsspecifikke applikationer såsom virksomhedsressourceplanlægning, der håndterer produktionslogistik. Så på det øverste niveau er it-netværket, som høster data fra ICS-systemerne for at drive forretningsrapportering og beslutningstagning.

I gamle dage, hvor intet talte til noget uden for netværket, var det lettere at administrere ICS-miljøer ved hjælp af denne tilgang, fordi administratorer kunne segmentere netværket langs dets grænser.

Et demilitarized zone (DMZ) lag blev bevidst tilføjet for at understøtte denne type segmentering, der sidder mellem de to virksomhedslag og ICS-lagene længere nede i stakken. Det fungerer som et luftgab mellem virksomheden og ICS-domænerne, ved at bruge sikkerhedsudstyr såsom firewalls til at kontrollere trafikken mellem dem.

Ikke alle IT/OT-miljøer vil have dette lag, da ISA dog først for nylig introducerede det. Selv dem, der står over for udfordringer.

Dagens driftsmiljøer er anderledes end dem i 1990'erne, hvor Purdue-modellen først udviklede sig, og skyen, som vi kender den, eksisterede ikke. Ingeniører ønsker at logge direkte på on-prem management operationer eller SCADA-systemer. Leverandører ønsker måske at overvåge deres intelligente enheder på kundesteder direkte fra internettet. Nogle virksomheder længes efter at løfte hele deres SCADA-lag ind i skyen, som Severn Trent Water besluttede at lave i 2020.

Udviklingen af ​​ICS as a service (ICSaaS), der administreres af tredjeparter, har yderligere mudret vandene for sikkerhedsteams, der kæmper med IT/OT-konvergens. Alle disse faktorer risikerer at åbne flere huller i miljøet og omgå enhver tidligere segmenteringsindsats.

Skærer igennem hele det sammenfiltrede rod 

I stedet anvender nogle virksomheder nye tilgange, der går ud over segmentering. I stedet for at stole på hurtigt forsvindende netværksgrænser, undersøger de trafik på enhedsniveau i realtid. Dette er ikke langt fra de oprindelige de-perimeteriseringsforslag fremsat af Open Groups Jericho Forum i de tidlige noughties, men at analysere trafik på så mange forskellige punkter i netværket dengang var svært. I dag er forsvarere bedre i stand til at holde et vågent øje takket være fremkomsten af ​​AI.

Darktrace er anvender nogle af disse begreber inden for dets industrielle immunsystem. I stedet for at se efter kendte ondsindede signaturer ved grænserne af netværkssegmenter, begynder det med at lære, hvad der er normalt overalt i IT- og OT-miljøet, inklusive alle dele af det miljø, der er hostet i skyen.

Ved at etablere en voksende normalitetsgrundlinje analyserer tjenesten derefter al trafik for aktivitet, der falder uden for den. Det kan advare administratorer og sikkerhedsanalytikere om disse problemer, da det gjorde for en europæisk produktionskunde.

Tjenesten er også selvstændig. Når en kunde stoler nok på sine beslutninger til at skifte kontakten, kan immunsystemet gå fra blot at advare til at tage forholdsmæssig handling. Dette kan betyde blokering af visse former for trafik, håndhævelse af en enheds normale adfærd eller i alvorlige tilfælde helt at sætte systemer i karantæne, inklusive udstyr i OT/ICS-lagene.

Darktraces ledere håber, at dette skift til en mere detaljeret model af konstant, allestedsnærværende trafikanalyse, kombineret med realtidsvurdering i forhold til kendt normal adfærd, vil bidrage til at modarbejde den stigende bølge af ICS-cyberangreb. Det vil forhåbentlig også gøre det muligt for virksomheder at blive mere agile og understøtte fjernadgang og cloud-baserede ICS-initiativer. I fremtiden behøver du ikke risikere, at nogen slukker lyset i din søgen efter at holde lyset tændt.

Sponsoreret af Darktrace