Védekezés a növekvő kiberbiztonsági fenyegetések ellen
Történelmileg az OT-biztonság a víziközmű-szolgáltatók számára más ágazatokhoz képest alacsonyabb prioritást jelentett. A kormányzati hírszerzés azonban - az AWWA (American Water Works Association) jelentése szerint - nemrégiben megerősítette, hogy a víz- és szennyvízágazat a külföldi kormányok behatolási kampányainak, a bűnözőknek és más fenyegető csoportoknak a fő célpontjává vált.
Az ivóvíz védelme érdekében az amerikai EPA (Environmental Protection Agency) 2024 májusában végrehajtási riasztást adott ki, amelyben értesítette a közösségi vízrendszereket a kiberbiztonsági sebezhetőségekről, amelyekkel foglalkozni kell. A legfontosabb aggályok közé tartoztak:
- Korlátozott hálózati átláthatóság, ami megnehezíti a szivattyúk, szelepek és a vegyi kezelési folyamatok rendellenességeinek észlelését.
- Gyenge szegmentáció az OT és az IT környezetek között, ami növeli a kibertámadók oldalirányú mozgásának kockázatát.
- Biztonságtalan harmadik fél általi hozzáférés, ami a kritikus rendszereket sebezhetővé tette a külső eszközökről érkező fenyegetésekkel szemben.
- Olyan kiberbiztonsági megoldások iránti igény, amelyek szünetmentes és biztonságos működést garantálnak anélkül, hogy leállást okoznának.
A régebbi rendszerek kiberbiztonsági hiányosságai
A közműszolgáltató egyik legnagyobb kihívása az elavult rendszerek voltak. A javítatlan sebezhetőségekkel rendelkező, elavult OT-rendszerek jelentős biztonsági réseket hoztak létre, amelyeket a rosszindulatú szereplők kihasználhattak. Ezek a sebezhetőségek nemcsak a rendszerleállás kockázatát jelentették, hanem a kritikus rendszerek fizikai károsodásához is vezethettek. A közműszolgáltató felismerte, hogy a hálózati szegmentáció és a robusztus hozzáférés-ellenőrzés bevezetése kulcsfontosságú e kockázatok mérsékléséhez, miközben biztosítja a folyamatos működést.
A bennfentes fenyegetések kezelése és a Secure hozzáférés-ellenőrzés
A bennfentes fenyegetések egy másik jelentős kockázatot jelentettek a véletlen félrekonfigurálások, a visszaélések vagy a szándékos rendszermódosítások révén. Az OT-környezetekhez hozzáféréssel rendelkező alkalmazottak és vállalkozók akaratlanul megzavarhatják a működést, vagy ritka esetekben rosszindulatúan megváltoztathatják a kritikus rendszereket.
Ugyanakkor a biztonságos hozzáférést mind a belső személyzet, mind a külső, harmadik féltől származó beszállítók számára biztosítani kell. A jogosulatlan hozzáférés - legyen szó akár kompromittált hitelesítő adatokról, túlzott adminisztrátori jogosultságokról vagy nem felügyelt távoli munkamenetekről - sebezhetővé teheti a kritikus infrastruktúrát.
Dokumentáció és megfelelés
A helyszíni értékelésünk kritikus hiányosságokat tárt fel a telepített helyszíni berendezésekkel kapcsolatos dokumentációban, ami jelentős megfelelési kockázatot jelent. Az egyik legnagyobb probléma a pontos eszközleltár és -osztályozás hiánya volt, mivel sok szervezet még mindig kézi, elavult nyilvántartási módszerekre támaszkodik. Strukturált eszközkezelési rendszer nélkül nehézkessé válik az eszközök nyomon követése, a kiberkockázatok értékelése és a biztonsági ellenőrzések végrehajtása, ami veszélyezteti a NERC CIP, az IEC 62443 és a NIST 800-82 szabványoknak való megfelelést.
Az eszközgazdálkodáson túl a kiberkockázat-értékelések, a hozzáférés-ellenőrzési irányelvek és az incidensekre adott válaszlépések tervei hiányosak vagy nem léteztek. Ezek a hiányosságok miatt a biztonsági csapatok nem rendelkeztek egyértelmű iránymutatásokkal a fenyegetések kezelésére, a jogosulatlan hozzáférés korlátozására vagy a biztonsági incidensekre való szabványos és megfelelő reagálásra.
E kihívásokat súlyosbította, hogy a megépített hálózati ábrák pontatlansága akadályozta a jelenlegi hálózati topológia feltérképezését és a biztonsági konfigurációk érvényesítését, növelve a hibás konfigurációk és a biztonsági hiányosságok kockázatát.
A vízügyi műveletek biztosítása a MetaDefender OT & CPS platformmal
Amikor ügyfelünk egy sor, a SCADA-rendszereiket célzó kiberincidenssel szembesült, a CISO tudta, hogy a vízügyi infrastruktúrájuk védelméhez szilárdabb megközelítésre van szükségük.
Minden este azon aggódtam, hogy mi történhet, ha valaki átveszi az irányítást a kezelési folyamatok felett. Mivel több mint 2,5 millió lakos biztonságos vízzel való ellátása a feladatunk, a tét nem is lehetne nagyobb.
NévtelenCISO
Több ipari kiberbiztonsági megoldás értékelése után a közműszolgáltató az OPSWAT MetaDefender for OT & CPS Protection, köztük a MetaDefender OT Security, MetaDefender Industrial Firewall, MetaDefender OT Access és MetaDefender Optical Diode megoldásokat választotta, mivel azok képesek megfelelni a vízipar speciális igényeinek.
Érzékelés és javítás
MetaDefender OT Security folyamatosan vizsgálta az OT-hálózatokat az illetéktelen eszközök, az anomális tevékenységek és a potenciális fenyegetések észlelése érdekében. Emellett értékelte az OT-eszközök javítási állapotát, azonosította az elavult firmware-t és a kihasználható, javítatlan sebezhetőségeket, biztosítva, hogy a kritikus rendszerek naprakészek és ellenállóak maradjanak a kiberfenyegetésekkel szemben.
Megelőzés
MetaDefender Industrial Firewall szigorú hálózati szegmentációt hajtott végre, blokkolva az illetéktelen forgalmat és elszigetelve a kritikus rendszereket a fenyegetések megelőzése érdekében. A kulcsfontosságú vízügyi SCADA protokollokra, például a Modbusra, a DNP3-ra és az IEC 104-re jellemző protokollszűrést biztosított, biztosítva, hogy csak az érvényes forgalom férhessen hozzá az operatív rendszerekhez.
Hozzáférés-ellenőrzés
MetaDefender OT Access lehetővé tette az időben korlátozott, irányelvekkel kikényszerített távoli hozzáférést, és teljes ellenőrzési nyomvonalat biztosított minden egyes hozzáférési munkamenetről, lehetővé téve az átfogó felügyeletet és a gyors reagálást az incidensekre.
Biztonsági átjáró
MetaDefender Optical Diode biztosította az egyirányú adatáramlást - vagyis az adatok csak egy irányba, az egyik hálózatból a másikba haladhatnak, anélkül, hogy a fordított kommunikációt lehetővé tennék. Lényegében "adatkapuként" működött két rendszer között, elválasztva a hálózatokat anélkül, hogy a sebezhetőbb OT-rendszereket külső fenyegetéseknek tette volna ki.
A frontvonalbeli OT-megoldásaink átfogó protokolltámogatást nyújtottak, beleértve a DNP3 (Distributed Network Protocol 3) protokollt is, biztosítva a kezelő- és elosztórendszerek zökkenőmentes védelmét. A közműszolgáltató emellett teljes átláthatóságot szerzett az összes szivattyútelepen és terepi eszközön, például a tisztítóművekben, lehetővé téve a zónákra és vezetékekre való pontos szegmentálást a granuláris kommunikációs vezérléshez. Ezenkívül az OPSWAT biztonságos utakat biztosított a szállítók számára, lehetővé téve a karbantartási tevékenységek elvégzését anélkül, hogy a kritikus infrastruktúrát illetéktelen hozzáférésnek vagy potenciális kiberfenyegetéseknek tennék ki. Végrehajtási csapatunk szorosan együttműködött az üzem üzemeltetőivel a megoldásnak a kritikus műveletek megszakítása nélküli bevezetése érdekében, és olyan biztonsági architektúrát hozott létre, amely mind a régebbi rendszereket, mind az újabb digitális infrastruktúrát védte. Ez a szakaszos megközelítés lehetővé tette a közműszolgáltató számára, hogy megerősítse védelmét, miközben fenntartja a közösségek folyamatos vízszolgáltatását.
A távoli hozzáférés volt a legnagyobb biztonsági hiányosságunk. A MetaDefender for OT & CPS Protection segítségével biztonságos, házirend-alapú ellenőrzést kaptunk az összes távoli kapcsolat felett - ezzel bezárva egy fontos támadási vektort és megerősítve általános kiberbiztonsági helyzetünket."
NévtelenCISO
A biztonságon túl: Energiatakarékosság és üzemeltetési előnyök
Bár a kiberbiztonság volt az elsődleges motiváció, a közműszolgáltató további működési előnyöket is felfedezett. A vezérlőrendszereik átfogó átláthatósága segített azonosítani a szivattyúzási műveletek hatékonysági hiányosságait, ami az elosztóhálózatukban mintegy 14%-os energiamegtakarítást eredményezett.
A MetaDefender a vízrendszerek védelmére vezettük be, de az általa nyújtott működési betekintés segített optimalizálni folyamatainkat is. Most már pontosan látjuk, hogyan teljesítenek a rendszereink, és olyan kiigazításokat tudunk végrehajtani, amelyek mind a biztonságot, mind a hatékonyságot javítják.
NévtelenCISO
Szabályozási követelmények teljesítése
Mivel a vízbiztonságra vonatkozó szövetségi és állami előírások folyamatosan fejlődnek, a MetaDefender bevezetése minimális további erőfeszítéssel biztosította a megyei vízművek megfelelőségét.
A MetaDefender for OT & CPS Protection-nek köszönhetően könnyen megfeleltünk a vízrendszerekre vonatkozó új EPA kiberbiztonsági irányelveknek. Az átfogó dokumentáció és a láthatóság leegyszerűsítette a megfelelőségi jelentéskészítést.
NévtelenCISO
Eredmények: Fokozott biztonság és működési folyamatosság
Az OPSWATmegoldásainak elfogadásával a közműszolgáltató több kulcsfontosságú eredményt ért el:
Költséghatékony védelem skálázható árképzéssel
A hagyományos pontszerű megoldásokkal ellentétben, amelyek minden egyes biztonsági igényhez költséges egyedi árképzést igényelnek, az OPSWATplatformja vállalati szintű védelmet kínál skálázható árképzéssel.
Széleskörű protokolltámogatás a zökkenőmentes integrációhoz
Sok kiberbiztonsági megoldás korlátozottan kompatibilis az ipari protokollokkal, így a közművek kénytelenek harmadik féltől származó integrációkra támaszkodni. Ezzel szemben a MetaDefender for OT & CPS Protection támogatja az összes főbb OT protokollt, beleértve a Modbus, DNP3 és IEC 104 protokollt, így biztosítva a zökkenőmentes biztonsági implementációt a közművek változatos infrastruktúrájában.
Felhasználóbarát, OT-központú tervezés
A hagyományos IT-biztonsági eszközök gyakran nem használhatók jól OT-környezetekben, ami megnehezíti az operatív csapatok számára a hatékony kezelésüket. A MetaDefender OT megoldásokat kifejezetten OT felhasználók számára tervezték, intuitív vezérléssel és automatizálással, amelyek lehetővé teszik a mérnökök, az üzemek üzemeltetői és a kiberbiztonsági csapatok számára a kritikus infrastruktúra egyszerű felügyeletét és védelmét.
Erősebb biztonság, zéró működési zavarok
Teljes OT eszköz láthatóság
A biztonsági csapatok teljes valós idejű betekintést nyertek az összes csatlakoztatott eszközbe és hálózati tevékenységbe.
Proaktív fenyegetésérzékelés
Egy vállalkozói laptopra történő behatolási kísérletet észleltek és megakadályoztak, így elhárították a szolgáltatás esetleges megszakadását.
Automatizált biztonsági menedzsment
A fejlett jelentéskészítés és nyomon követés csökkentette a manuális erőfeszítéseket, miközben javította a jogszabályi megfelelést.
Jövőbiztos kiberbiztonság
A közműszolgáltató mostantól felkészült a fejlődő kiberfenyegetések elleni küzdelemre, miközben fenntartja a folyamatos és biztonságos vízügyi műveleteket.
A hálózati szegmentáció, a biztonságos adatátvitel, a valós idejű láthatóság és a biztonságos távoli hozzáférés harmadik féltől származó integrációkra való támaszkodás nélkül történő megvalósítása felbecsülhetetlen értékű volt. Ez egy teljes OT biztonsági csomag, és fejfájás nélkül biztosította számunkra a szükséges védelmet és folyamatosságot.
NévtelenCISO
Következtetés
Az OPSWAT MetaDefender OT & CPS védelmi megoldásainak bevezetése lehetővé tette, hogy ez a vízszolgáltató bezárja a kritikus biztonsági réseket, biztosítva az alapvető OT rendszerek védelmét, miközben a lakosok milliói számára zavartalan szolgáltatásokat nyújt. A valós idejű láthatósággal, a granuláris hálózati szegmentációval és a biztonságos távoli hozzáféréssel a közmű jelentősen megerősítette védelmét mind a belső, mind a külső kiberfenyegetésekkel szemben - anélkül, hogy harmadik féltől származó integrációkra támaszkodna.
Más megoldásokkal ellentétben, amelyek több gyártó darabos biztonsági eszközeit igénylik, OPSWAT a ma elérhető legkiterjedtebb OT biztonsági megoldáscsomagot kínálja, amely az ipari kiberbiztonság minden rétegét lefedi. A zökkenőmentes telepítésre tervezett OPSWAT egységesen működnek együtt a kritikus infrastruktúra megerősítése érdekében, páratlan védelmet, megfelelőséget és működési folyamatosságot biztosítva.
Ha többet szeretne megtudni arról, hogy MetaDefender for OT & CPS Protection hogyan védheti meg kritikus infrastruktúráját, forduljon még ma az OPSWAT szakértőjéhez.
