Navigálás az ICS és a OT hálózatok kiberbiztonsági tájképében: Meglátások és megoldások

A kiberbiztonsági fenyegetések legújabb mintái aggasztó támadási tendenciát mutatnak: az államilag támogatott csoportok elkezdtek specializálódni az ICS-re, mint például a Sandworm (Oroszország) és a Volt Typhoon (Kína), míg a kiberbűnözők tisztában vannak az ipari rendszerek elleni hatás súlyosságával. A biztonsági erők mindenhol felismerik ezeknek a fenyegetéseknek a fontosságát az összes iparági ágazat számára, ami közös jelentések és kampányok kiadásához vezetett, amelyek célja az ICS biztonságának megerősítése.

Felismerve a speciális figyelem szükségességét, a MITRE vállalat kifejlesztett egy ICS-specifikus ATT&CK mátrixot, hogy közös nyelvet biztosítson az ágazatok közötti kommunikációhoz, és hogy az alulreprezentált ágazatok számára lehetővé tegye a leképezések felhasználását, elősegítve a kockázatokról és fenyegetésekről szóló értelmes kommunikációt. A viszonylag új változatot továbbra is aprólékosan frissítik, a legutóbbi változatot éppen a múlt hónapban adták ki.

Az OPSWAT MetaDefender Aether – miközben folyamatosan nyomon követi ezeket a frissítéseket – kiemeli az IT és az OT közötti szerves kapcsolatot, mivel az IT-eszközök a Purdue-modell minden szintjén jelen vannak, és nem csupán a legfelső szinten.

Az ICS-hez kapcsolódó kibertámadások teljes spektrumában a rosszindulatú fájlok jelenléte állandó tényező, függetlenül a behatolási vektortól – legyen szó akár IT-, akár OT-rendszerekről. Éppen ittAether képbe az olyan megoldások, mint a MetaDefender Aether . Az ilyen eszközöket arra tervezték, hogy alaposan átvizsgálják a szervezet hálózatának meghatározott határain áthaladó fájlokat, és az optimális teljesítmény érdekében különböző környezetekhez igazítják őket, beleértve air-gapped is.

OPSWAT Adaptive Sandbox saját fejlesztésű elemző eszközök és más, széles körben ismert eszközök – például a Yara-szabályok – segítségével ötvözi a különböző fenyegetési indikátor-készleteket. A korábban említett, a Volt Typhoon és a Sandworm támadások egyaránt nagymértékben támaszkodtak a „Living-Off-the-Land” bináris fájlokra (LOLBINS), amelyekre vonatkozóan MetaDefender Aether számos indikátortAether . A legkorábbi támadás azonban – a rendelkezésre álló mintáknak köszönhetően – jó példát nyújt az indikátorok kombinálására. Az elsőként jelentett hasznos teher egy batch szkript, amely egy base64-kódolású Powershell-parancsot tartalmaz, amely többek között két, ebben az esetben érdekes indikátort vált ki.