Se trabalha na área da segurança, sabe como é: a visibilidade é imprescindível.
Isto está em conformidade com os «3.º Controles Críticos para ICS – Visibilidade e Monitorização de Redes» da SANS, bem como com as normas NIST CSF e ISA/IEC 62443, que definem especificamente os requisitos de visibilidade.
No entanto, é um desafio integrar com segurança a visibilidade da rede nos ambientes OT e ICS para todas as equipas que dela necessitam:
- As equipas de segurança de TI e OT precisam de registos para monitorizar os eventos.
- Os responsáveis pela resposta a incidentes precisam de dados para tomar decisões informadas durante os ataques.
- Os analistas forenses precisam de dados para compreender como ocorreu um ataque no ambiente OT e a cronologia dos acontecimentos.
- Até as equipas de conformidade precisam de registos para comprovar que cumpriram o dever de diligência.
Não se trata de saber «como» conceder acesso OT a estas equipas; trata-se de conceder acesso sem, inadvertidamente, deixar a porta aberta a invasores.
É aqui queNetWall o OPSWAT MetaDefender NetWall .
Em vez de permitir que cada uma destas equipas aceda ao ambiente OT, umdiodo de dados unidirecional MetaDefender NetWall transmite os registos do OT para o IT, permitindo que as equipas vejam o que se passa sem abrir a porta a ameaças.
Quem precisa de registos de horas extraordinárias (e por que razão não basta simplesmente «registar-se»)
Estruturas como os 3.º Conjuntos de Controlos Críticos da SANS para ICS, o NIST CSF e a norma ISA/IEC 62443 estabelecem regras claras em matéria de visibilidade.
Os controlos de visibilidade são essenciais para identificar ativos, detetar vulnerabilidades e monitorizar ameaças em tempo real, sem perturbar processos industriais críticos e sensíveis.
Existem várias equipas dentro de uma organização para as quais o acesso a dados OT em tempo real é imprescindível.
Analistas do SOC (Centro de Operações de Segurança)
Os analistas do SOC são responsáveis por monitorizar, detetar, investigar e responder a alertas de segurança.
Em suma, a sua função consiste em identificar ameaças antes que estas se transformem em catástrofes. Para tal, necessitam de registos OT em tempo real para detetar intrusões, malware ou tráfego anómalo.
No entanto, se um invasor conseguir acesso direto ao ambiente de TI, poderá rapidamente alargar o seu ataque aos sistemas OT, criando um risco grave de violação da segurança dos sistemas OT.
Por esse motivo, as equipas de SOC não podem basear-se em métodos de início de sessão simples para aceder a dados OT em tempo real para fins de monitorização.
Se o sistema SOC fosse comprometido, um invasor poderia explorar essa ligação como uma via de acesso ao ambiente OT.
Equipas de OT Security
As equipas de segurança OT protegem os sistemas de controlo industrial e a tecnologia OT, como SCADA, PLCs e robôs de fabrico, que gerem a infraestrutura física.
Estas equipas necessitam de registos de segurança para fins de análise forense e deteção de anomalias.
Permitir que sistemas do ambiente de TI, equipados com ferramentas de segurança específicas para ICS e OT, tenham acesso ao ambiente OT também não é uma boa ideia.
À semelhança do que acontece com o SOC, se esses sistemas de TI forem comprometidos, poderão proporcionar aos atacantes uma via direta de acesso às operações de OT.
Equipas de resposta a incidentes e análise forense
Se for detetada uma anomalia ou uma violação, as equipas de resposta a incidentes e de análise forense são chamadas para investigar e resolver a situação.
Precisam de registos para identificar, conter e eliminar ataques a sistemas OT, abrindo caminho para a prevenção e a redução da recorrência de incidentes.
No entanto, estas equipas são normalmente chamadas a intervir depois de já ter sido confirmada uma violação de segurança, altura em que os riscos são ainda maiores.
Se as ferramentas de resposta ou as credenciais forem comprometidas, um caminho de acesso ao OT daria aos atacantes exatamente o que eles precisam.
Por conseguinte, as equipas de resposta a incidentes e forenses não devem ter acesso direto, através de credenciais de início de sessão, ao ambiente OT.
Equipas de Conformidade e Auditoria
Se não houver registos, as normas de conformidade não são cumpridas.
As equipas de conformidade e auditoria necessitam de um armazenamento de registos a longo prazo e de um acompanhamento fiável dos eventos para cumprir os requisitos regulamentares e de prestação de contas.
No entanto, conceder aos auditores acesso direto ao ambiente OT não é necessário nem aconselhável.
É muito mais seguro e controlável fornecer-lhes os registos e relatórios necessários externamente, em vez de abrir uma via de acesso direto aos sistemas OT.
Porquê um diodo de dados? Porque o acesso de entrada é um pesadelo
Neste momento, é evidente que permitir que os sistemas empresariais consultem diretamente os registos de OT acarreta riscos de segurança elevados.
Uma ligação mal protegida é tudo o que um invasor precisa para:
- Mudar da área de TI para a área de OT.
- Exfiltrar dados confidenciais de ambientes OT e ICS, incluindo informações sobre sistemas de controlo, tais como marcas e modelos de PLC, valores de processo e muito mais.
- Alteram os registos para apagar os vestígios.
Netwall MetaDefender Netwall elimina esses riscos ao impor, a nível de hardware, um fluxo de dados unidirecional.
Os registos são enviados, mas nada volta.
As nossas equipas obtêm os dados de que necessitam, e o OT permanece protegido e seguro.
Como funciona
A instância do Splunk OT recolhe registos de segurança de todo o ambiente OT.
- A coleção inclui registos de firewall,IPS , registos de eventos do Windows e até eventos de PLC.
Em vez de permitir que os utilizadores ou sistemas empresariais acedam à OT,NetWall OPSWAT NetWall transfere os registosNetWall a partir do coletor Splunk da OT.
A instância empresarial do Splunk recebe então uma cópia desses eventos de um Splunk para outro.
Assim, as equipas de segurança e conformidade obtêm a visibilidade de que necessitam, sem criar vias de acesso de entrada que possam expor o ambiente OT a riscos.
Considerações finais: Segurança sem compromissos
Se as equipas de segurança da sua empresa estiverem a solicitar registos de OT, não lhes feche a porta com um «não» categórico.
Pode conceder-lhes o acesso de que necessitam, mas não de uma forma que exponha todo o ambiente.
O diodo de dados OPSWAT Netwall proporciona-lhes a visibilidade de que necessitam, mantendo simultaneamentea segurançada OT.
Sem acesso de entrada, não há risco de comprometimento.
NetWall OPSWAT NetWall os dados certos cheguem às mãos certas, da forma correta.
Não é preciso escolher entre visibilidade e segurança.
Com um díodo de dados, pode ter as duas coisas.
Entre em contacto connosco e descubra comoNetWall OPSWAT NetWall as suas equipas de segurança produtivas e o seu ambiente OT protegido e seguro.
