Hogyan tudja a mesterséges intelligencia világítani az ipari lámpákat?

Szponzorált funkció Internet connectivity has changed everything, including old-school industrial environments. As companies modernise their operations, they’re connecting more of their machinery to the web. It’s a situation that’s creating clear and present security concerns, and the industry needs new approaches to dealing with them.

Az ipari tárgyak internete (IIoT) bevezetése felgyorsul. Kutatás Az Inmarsat azt találta, hogy a megkérdezett szervezetek 77 százaléka már teljesen bevezetett legalább egy IIoT-projektet, 41 százalékuk pedig 2020 és 2021 második negyedéve között.

Ugyanez a kutatás arra is felhívta a figyelmet, hogy a biztonság az elsődleges szempont az IIoT bevezetését megkezdő vállalatok számára, a válaszadók 54 százaléka panaszkodott, hogy ez megakadályozta adataik hatékony felhasználását. Fele a külső kibertámadások kockázatát is megemlítette problémaként.

Az IIoT-megoldások kulcsfontosságúak az IT és az OT (operációs technológia) konvergenciája szempontjából. Az OT platformok, gyakran ipari vezérlőrendszerek (ICS), segítik a vállalatokat olyan fizikai eszközeik kezelésében, mint a prések és szállítószalagok, amelyek a gyártási termelést hajtják, vagy a szelepek és szivattyúk, amelyek biztosítják a települési víz áramlását.

Ennek során hatalmas mennyiségű adatot generálnak, amelyek hasznosak elemzési célokra. De ezeknek az információknak a megfelelő vállalati eszközökbe való eljuttatása azt jelenti, hogy áthidaljuk az IT és az OT közötti szakadékot.

Az üzemeltetők azt is szeretnék, hogy ezek az OT-rendszerek távolról is elérhetőek legyenek. Ha a hagyományos IT-alkalmazások lehetővé teszik ezen eszközök vezérlését, azt jelenti, hogy összekapcsolhatók az IT-rendszerekben meghatározott háttérfolyamatokkal. Időt és pénzt takaríthat meg, ha lehetővé teszi a távoli hozzáférést azoknak a technikusoknak, akik nem tudnak vagy nem akarnak több kilométeres körutat megtenni pusztán a működés megváltoztatása érdekében.

A távoli hozzáférés iránti igény a COVID-19-válság idején éleződött fel, amikor a társadalmi távolságtartás és az utazási korlátozások miatt a technikusok egyáltalán nem tehetnek helyszíni látogatást. Az Inmarsat megállapította, hogy például a világjárvány volt a kiváltó oka a IIoT felgyorsult átvételének, és 84 százalékuk számolt be arról, hogy a világjárványra adott közvetlen válaszként felgyorsítják vagy fel fogják gyorsítani projektjeit.

So for many, the convergence of IT and OT is more than just convenient; it’s essential. But it has also created a perfect storm for security teams. An externally accessible ICS system accessible increases the attack surface for hackers.

ICS támadások működés közben 

Sometimes that IT/OT convergence can be as simple as someone installing remote access software on a PC at a facility. That’s the set up which megengedett hackers to access control systems via an installation of a remote access tool at the municipal water plant in Oldsmar, Florida in 2021 before trying to poison local residents with sodium hydroxide. The PC that the attacker compromised had access to the OT equipment at the plant. The town’s sheriff reported that the invisible intruder had dragged the mouse cursor around in front of one of its workers.

It isn’t clear what caused hackers to try and poison innocent Floridians, but some attacks have financial motives. One example is the EKANS ransomware attack that eltalálta a Hondát 2020 júniusában leállítják a gyártási műveleteket az Egyesült Királyságban, az Egyesült Államokban és Törökországban.

A támadók az EKANS ransomware-t használták a vállalat belső szervereinek megcélzására, jelentős fennakadásokat okozva az üzemekben. Egy elemzés A támadásról a Darktrace kiberbiztonsági vállalat kifejtette, hogy az EKANS egy új típusú zsarolóvírus. Az OT-hálózatokat célzó zsarolóvírus-rendszerek általában úgy teszik ezt, hogy először megütik az informatikai eszközöket, majd elforgatják. Az EKANS viszonylag ritka, mivel közvetlenül az ICS infrastruktúrát célozza meg. Legfeljebb 64 specifikus ICS-rendszert képes megcélozni a tiltóláncában.

A szakértők úgy vélik, hogy a többi ICS-támadást államilag támogatják. A Triton kártevő, amelyet először 2017-ben irányítottak a petrolkémiai üzemekre, az még mindig fenyegetés az FBI szerint, amely a támadásokat államilag támogatott orosz csoportoknak tulajdonítja. Ez a rosszindulatú program az Iroda szerint különösen csúnya, mert fizikai károkat, környezeti hatásokat és emberéleteket engedett meg.

Standard security solutions won’t work here

Traditional cyber security approaches aren’t effective in solving these OT vulnerabilities. Companies could use endpoint security tools including anti-malware to protect their PCs. But what if the endpoint was a programmable logic controller, an AI-enabled video camera, or a light bulb? These devices don’t often have the capacity to run software agents that can check over their internal processes. Some might not have CPUs or data storage facilities.

Még ha egy IIoT-eszköz rendelkezik is a feldolgozási sávszélességgel és az energiaellátási képességekkel egy beépített biztonsági ügynök támogatásához, az általuk használt egyedi operációs rendszerek valószínűleg nem támogatnák az általános megoldásokat. Az IIoT-környezetek gyakran használnak különböző gyártók többféle eszközét, így a nem szabványos rendszerek változatos portfólióját hoznak létre.

Then there’s the question of scale and distribution. Administrators and security professionals used to dealing with thousands of standard PCs on a network will find an IIoT environment, where sensors may number hundreds of thousands, very different. They may also spread over a wide area, especially as edge computing environments gain traction. They might limit their connections to the network in some more remote environments to conserve power.

A hagyományos ICS védelmi keretrendszerek értékelése

If conventional IT security configurations can’t handle these challenges, then perhaps OT-centric alternatives can? The go-to standard model is the Purdue cybersecurity model. Created at Purdue University and adopted by the International Society of Automation as part of its ISA 99 standard, it defines multiple levels describing the IT and ICS environment.

Level zero deals with the physical machines – the lathes, industrial presses, valves, and pumps that get things done. The next level up involves the intelligent devices that manipulate those machines. These are the sensors that relay information from the physical machines and the actuators that drive them. Then we find the supervisory control and data acquisition (SCADA) systems that oversee those machines, such as programmable logic controllers.

Ezek az eszközök a következő szinten feljebb lévő gyártási műveletirányítási rendszerekhez csatlakoznak, amelyek ipari munkafolyamatokat hajtanak végre. Ezek a gépek biztosítják az üzem optimális működését, és rögzítik az üzemi adatokat.

A Purdue-modell felső szintjein azok a vállalati rendszerek találhatók, amelyek egyértelműen az IT birodalmába tartoznak. Az első szint itt a termelés-specifikus alkalmazásokat tartalmazza, például a vállalati erőforrás-tervezést, amely a termelési logisztikát kezeli. Ezután a legfelső szinten az informatikai hálózat található, amely adatokat gyűjt az ICS-rendszerekből az üzleti jelentéskészítés és a döntéshozatal elősegítése érdekében.

A régi időkben, amikor semmi sem szólt semmihez a hálózaton kívül, egyszerűbb volt ezzel a megközelítéssel kezelni az ICS-környezeteket, mivel az adminisztrátorok szegmentálhatták a hálózatot annak határai mentén.

Egy demilitarizált zóna (DMZ) réteg szándékosan került hozzáadásra az ilyen típusú szegmentálás támogatására, amely a két vállalati réteg és a veremben lejjebb lévő ICS rétegek között helyezkedik el. Légrésként működik a vállalat és az ICS-tartományok között, és biztonsági berendezéseket, például tűzfalakat használ a közöttük folyó forgalom szabályozására.

Nem minden IT/OT környezetben lesz ez a réteg, mivel az ISA csak nemrég vezette be. Még azok is, akik kihívásokkal néznek szembe.

Today’s operating environments are different to those in the 1990s, when the Purdue model first evolved and the cloud as we know it didn’t exist. Engineers want to log directly into on-prem management operations or SCADA systems. Vendors might want to monitor their intelligent devices at customer sites directly from the Internet. Some companies yearn to forklift their entire SCADA layer into the cloud, as Severn Trent Water határozott tenni 2020-ban.

Az ICS szolgáltatásként (ICSaaS) harmadik felek által kezelt fejlődése tovább sárosította az IT/OT konvergenciával küzdő biztonsági csapatok vizét. Mindezek a tényezők azt kockáztatják, hogy több lyukat nyitnak a környezetben, és megkerülnek minden korábbi szegmentációs erőfeszítést.

Átvágva az egész kusza összevisszaságon 

Instead, some companies are adopting new approaches that venture beyond segmentation. Rather than relying on fast-disappearing network boundaries, they examine traffic at the device level in real time. This isn’t far off the original de-perimeterization proposals advanced by the Open Group’s Jericho Forum in the early noughties, but analysing traffic at so many different points in the network then was difficult. Today, defenders are better able to keep a watchful eye thanks to the advent of AI.

A Darktrace az alkalmazó some of these concepts within its Industrial Immune System. Instead of watching for known malicious signatures at the borders of network segments, it begins by learning what’s normal everywhere in the IT and OT environment, including any parts of that environment hosted in the cloud.

A normalitás változó alapvonalát létrehozva a szolgáltatás elemzi az összes forgalmat azon tevékenységek szempontjából, amelyek azon kívül esnek. Figyelmeztetheti a rendszergazdákat és a biztonsági elemzőket ezekre a problémákra tett egy európai gyártó ügyfél számára.

The service is also autonomous. When a customer trusts its decisions enough to flip the switch, the Immune System can move from merely alerting to taking proportional action. This might mean blocking certain forms of traffic, enforcing a device’s normal behavior, or in severe cases quarantining systems altogether, including equipment in the OT/ICS layers.

Darktrace’s executives hope that this move to a more granular model of constant, ubiquitous traffic analysis, combined with real-time assessment against known normal behaviour, will help to thwart the rising tide of ICS cyberattacks. It will hopefully also enable companies to become more agile, supporting remote access and cloud-based ICS initiatives. In the future, you won’t have to risk someone turning the lights out in your quest to keep the lights on.

A Darktrace szponzora