Az OT-környezetekben történő fájlterjesztés rejtett kockázatai

A legtöbb OT-környezetben egy fájl kritikus rendszerbe való bejuttatása egy meghatározott lépéssorozatot követ. Az egész azzal kezdődik, hogy egy beszállító firmware-t hoz, egy alvállalkozó javítócsomagot szállít, vagy egy karbantartó csapat konfigurációs frissítéseket hajt végre. A fájlokat ellenőrzik, jóváhagyják, majd átadják. Azonban valahol ezeknek az eljárásoknak és annak a pillanatnak a között, amikor a fájl eléri a PLC-t (programozható logikai vezérlőt) vagy a HMI-t (ember-gép interfészt), a biztonsági csapatok teljesen szem elől tévesztik azt.

Számos módszert alkalmaznak ennek a kihívásnak a kezelésére. A hálózatalapú megoldások kezelik a fájlok átvitelét az IT- és az OT-rendszerek között, míg a kioszkalapú munkafolyamatok a beviteli ponton ellenőrzik a cserélhető adathordozókat. A probléma egy része azonban továbbra is megoldatlan marad. Ez pedig az, hogy mi történik egy fájllal az ellenőrzés után, miközben a kritikus rendszer felé tart.

A legtöbb OT-üzemeltető szilárd, beépített ellenőrzési munkafolyamatokkal rendelkezik. Általában a cserélhető adathordozókat és az átmeneti eszközöket az elszigetelt OT-környezetbe való belépés előtt átvizsgálják, és a jóváhagyásokat naplózzák. Ezek az ellenőrzések szükségesek, de van egy közös korlátjuk: csupán egyetlen pillanatnyi bizalmat teremtenek.

A régi OT-rendszereket nem úgy tervezték, hogy ellenőrizzék a hozzájuk érkező adatokat. A PLC-k, a HMI-k és a régi mérnöki munkaállomások általában nem képesek futtatni az EDR (Endpoint Detection and Response – rosszindulatú kód észlelése és reagálás) ügynököket, illetve ellenőrizni, hogy a beérkező fájlok megfelelnek-e az eredeti jóváhagyásoknak. Amikor egy eszközt csatlakoztatnak, a fájlok alapértelmezés szerint hozzáférhetővé válnak.

Ezek a korlátozások miatt egy kritikus rendszerben minden fájlterjesztés biztonsága attól függ, hogy minden operátor betartja-e a kézi ellenőrzési lépéseket. Az a feltételezés, hogy minden operátor minden telephelyen minden lépést betart, csupán egy folyamatbeli feltételezés, nem pedig biztonsági ellenőrzési intézkedés.

A kérdésnek most már nem az kell lennie, hogy „ez a fájl tiszta volt-e a vizsgálatkor?”, hanem az, hogy „meg tudjuk-e erősíteni, hogy ez még mindig ugyanaz a fájl, amikor a kritikus rendszerbe telepítik?”.

A szabályozott iparágakban elengedhetetlen annak ellenőrzése, hogy egy fájl a jóváhagyástól a bevezetésig nem változott-e. Amint egy fájl átmegy az ellenőrzési ponton, rendelkezésre kell állnia egy olyan mechanizmusnak, amely igazolja, hogy nem változott-e.

Az OT-környezetekben a probléma továbbra is megoldatlan marad, mivel a jelenlegi munkafolyamatok többségében hiányzik az a mechanizmus, amely az ellenőrzés utáni módosításokat felismerné. Ha egy fájlt az ellenőrzés után – akár hiba, akár szándékos manipuláció miatt – módosítanak, az OT-célrendszer ezt nem képes észlelni. A vizsgálati jegyzőkönyv érvényben marad, és a jóváhagyás továbbra is rögzítésre kerül. Egy olyan fájl, amelyet három nappal ezelőtt biztonságosnak minősítettek, de azóta módosítottak, külsőleg megkülönböztethetetlen attól a fájltól, amelyet három nappal ezelőtt szintén biztonságosnak minősítettek, de azóta nem módosítottak. A fájlt terjesztő operátornak nincs megbízható módja a kettő megkülönböztetésére.

Az ellenőrzés nem ér véget a MetaDefender Kiosk oldalon. Ha egy ellenőrzött fájlt a vizsgálat után és a telepítés előtt módosítanak, azt a rendszer automatikusan letiltja és elrejti. Ebben az esetben a fájlnak újra át kell esnie az ellenőrzésen, mielőtt hozzáférhetővé válna.

Ez a mechanizmus biztosítja a fájlok integritását, így a rendszergazdának nem kell ezt manuálisan elvégeznie. Ezáltal a biztonsági modell a „egyszeri ellenőrzés és terjesztés” elvéről a „folyamatos ellenőrzés a telepítésig” elvre vált át.