Navigálás az ICS és a OT hálózatok kiberbiztonsági tájképében: Meglátások és megoldások

A kiberbiztonsági fenyegetések legújabb mintái aggasztó támadási tendenciát mutatnak: az államilag támogatott csoportok elkezdtek specializálódni az ICS-re, mint például a Sandworm (Oroszország) és a Volt Typhoon (Kína), míg a kiberbűnözők tisztában vannak az ipari rendszerek elleni hatás súlyosságával. A biztonsági erők mindenhol felismerik ezeknek a fenyegetéseknek a fontosságát az összes iparági ágazat számára, ami közös jelentések és kampányok kiadásához vezetett, amelyek célja az ICS biztonságának megerősítése.

Felismerve a speciális figyelem szükségességét, a MITRE vállalat kifejlesztett egy ICS-specifikus ATT&CK mátrixot, hogy közös nyelvet biztosítson az ágazatok közötti kommunikációhoz, és hogy az alulreprezentált ágazatok számára lehetővé tegye a leképezések felhasználását, elősegítve a kockázatokról és fenyegetésekről szóló értelmes kommunikációt. A viszonylag új változatot továbbra is aprólékosan frissítik, a legutóbbi változatot éppen a múlt hónapban adták ki.

Az OPSWAT MetaDefender csapata, miközben lépést tart ezekkel a frissítésekkel, kiemeli az IT és az OT közötti szerves kapcsolatot, mivel az IT-eszközök a Purdue-modell minden szintjén jelen vannak, és nem csupán a legfelső szinten.

Az ICS-hez kapcsolódó kibertámadások teljes spektrumában a rosszindulatú fájlok jelenléte állandó tényező, függetlenül a behatolási vektortól – legyen szó akár IT-, akár OT-rendszerekről. Éppen itt jönnek képbe az olyan megoldások, mint a MetaDefender . Az ilyen eszközöket arra tervezték, hogy alaposan átvizsgálják a szervezet hálózatának meghatározott határain áthaladó fájlokat, és az optimális teljesítmény érdekében különböző környezetekhez igazodnak, beleértve az air-gapped környezetet is.

OPSWAT Adaptive Sandbox saját fejlesztésű elemzőket és más, széles körben elterjedt eszközöket – például a Yara-szabályokat – használva ötvözi a különböző fenyegetésjelző-készleteket. A korábban említett, a Volt Typhoon és a Sandworm támadások mindegyike nagymértékben támaszkodott a „Living-Off-the-Land” bináris fájlokra (LOLBINS), amelyekre vonatkozóan MetaDefender számos jelzőt implementál. A legkorábbi támadás azonban – a rendelkezésre álló mintáknak köszönhetően – jó példát nyújt a jelzők kombinált használatára. Az első jelentett hasznos teher egy batch szkript, amely egy base64-kódolt Powershell parancsot tartalmaz, amely többek között két érdekes indikátort vált ki ebben az esetben.