Cybersäkerhet i industriella nätverk

Industriell nätverkssäkerhet är en balansgång mellan säkerhet och enkelhet vid underhåll. För att ett nätverk ska vara perfekt säkert skulle det vara omöjligt att modifiera, men detta är inte en realistisk lösning eftersom åtkomst för underhållsteamet är ovärderligt för att säkerställa drift dygnet runt. En erfaren ingenjör förstår att något oväntat kommer att gå fel eller att en lösning behövs som ligger utanför specifikationen, åtminstone på kort sikt. Det är här termen "osäkert enligt design" kommer från. Industriella styrsystem är utformade på ett sätt som tillåter modifiering.

Typer av säkerhet

Säkerhet genom obskuritet
Den mest använda tekniken för produktionssäkerhet är säkerhet genom obskuritet. Det innebär att om en arkitektur är tillräckligt obskyr är det mindre sannolikt att en illvillig aktör kan förstå den. Det centrala problemet med detta är att om någon lyckas lista ut hur enheten är designad kan någon annan också förstå hur den fungerar. Tidigare var detta effektivt eftersom det krävdes år av erfarenhet och utbildning för att förstå hur en enhet eller ett nätverk fungerade. Numera körs de flesta industriella nätverk via ethernet eftersom det har hög bandbredd, är pålitligt, lättillgängligt och IT-team är bekväma med det, och de industriella styrenheterna har alla programmeringshandledningar online.

Den senaste stora attacken som skapade stora rubriker var Stuxnet-attacken. Denna attack modifierade direkt parametrarna på PLC:erna (industriella styrenheter) på ett sätt som gjorde att centrifugerna som användes i Irans nukleära anrikningsprocess snurrade med hastigheter precis tillräckligt höga för att orsaka skada, men inte tillräckligt höga för att det skulle vara uppenbart. Detta var möjligt på grund av den nätverksanslutna naturen hos moderna industriella system och visade att styrenheterna själva kunde bli komprometterade.

Fysisk separation
Man säger att det enda säkra nätverket är ett som inte är online. Det rekommenderas att minska attackytan så mycket som möjligt. Därför är det kritiskt att driva ett separat användar- och produktionsnätverk. Det finns ingen rimlig anledning för en operatör att kunna kolla sin e-post på en DCS-klient.

Därför är en idealisk design en där separata switchar används för varje nätverk. En enkel lösning är att använda VLAN för att separera enheterna. Jag förespråkar ett steg ovanför det när det är möjligt. Den säkrare versionen skulle vara att fysiskt separera nätverksswitchar. Lägg till nya switchar i befintliga nätverksrum, anslut endast produktionsnätenheter till dessa och dra ny fiber.

Det finns alltid skäl att exponera produktionsnätverket för internet, exempelvis för att kunna övervaka fabrikens tillstånd när man är borta från kontoret. En lösning skulle vara att binda samman nätverken med en brandvägg. Ett IT-team skulle använda kända tekniker för att begränsa åtkomsten till den enheten, endast för de personer som behöver det, och hålla den uppdaterad med alla de senaste säkerhetsfixarna. Även om det inte är perfekt är det mycket effektivt eftersom det kraftigt minskar attackytan.

Cellbaserad design
Problem uppstår hela tiden, särskilt på dygnet runt-anläggningar där underhåll får mindre prioritet än att hålla tidsplanen, och då har intressanta problem en tendens att inträffa. Anläggningens design bör alltid försöka undvika enskilda felpunkter. Om en sådan är oundviklig bör det finnas en snabbt implementerbar kontingensering.

Varje slutenvhet bör vara en del av en cell som kan självhantera och slutföra sin uppgift utan behov av ett övergripande styrsystem. Om huvudstyrsystemet går ner bör det vara möjligt att köra enheterna i manuell eller semi-automatiskt läge, och det bör vara enkelt att komma åt det läget. Detta innebär att säkerställa att enheter från olika tillverkare kommunicerar med enheten framför och bakom på produktionslinjen, helst utan att behöva gå genom en central felpunkt, såsom en PC som satts upp av enhetens tillverkare för att knyta deras grupp av enheter till husnätverket, vilket enligt min erfarenhet vanligtvis är den svagaste länken. Det är bäst att realtidsenheter interagerar med realtidsenheter; åtminstone bör produktionsnätverket vara självförsörjande. Detta kräver att den ursprungliga systemarkitekturen är korrekt utformad, eftersom det är mycket mer utmanande att eftermontera dessa funktioner.

Det är inte alltid ett externt hot som påverkar produktionen. Kanske svängde en truckförare undan för att undvika någon och körde in i ett kontrollskåp. Möjligen laddades en enhet av misstag med fel kod och stötte bort rätt enhet från nätverket. Sådana saker händer, och att ge underhållsteamet tid att lösa det är avgörande. Ett manuellt läge måste finnas på varje maskin och en operatör bör kunna hoppa in för att hålla viss produktion igång oavsett externa omständigheter. I fallet med pipeline-cyberattacken bör det vara möjligt att hålla råoljan flödande med en nödlösning även om effektiviteten minskas.

Kontinuerlig övervakning
När det är möjligt är det logiskt att övervaka enheter för att säkerställa att de fungerar korrekt. Man bör anta att det kommer att uppstå komprometterade situationer och vidta åtgärder för att se till att om något går fel fångas det upp och korrigeras snabbt.

Jag förespråkar starkt historikersystem som loggar nyckeldata och kan visa dessa data som historiska trender; Wonderware systemplattform kommer att tänka på, men det finns många andra i IoT:s big data-infosfär, vilket är användbart när det gäller förebyggande underhåll. Ett steg vidare är att övervaka de industriella styrenheterna för att säkerställa att de kör rätt kod med hjälp av ett verktyg som FactoryTalk AssetCentre; detta är nödvändigt eftersom det är möjligt att fel kod laddas in på en styrenhet av en tekniker, och bäst att upptäcka det så snart som möjligt. Det krävs inte att använda sådana högt prisade program eftersom det är möjligt att använda Python för att interagera med styrenheterna genom befintliga bibliotek och ha ett enkelt skript som övervakar viktiga variabler.

Det är också logiskt att övervaka intrång i nätverket. Ett exempel på detta skulle vara om någon försöker ansluta till en PLC och använder ett standardlösenord; detta bör flaggas och ett larm utlösas. Detta gör det möjligt för rätt personer att informeras innan det uppstår ett problem.

DevSecOps
DevSecOps innebär att tänka på säkerhet från början. Exponera endast de punkter som behövs för läsning och skrivning, och använd inte standardlösenord. Begränsa systemet till vad det behöver för att fungera eftersom allt annat är en potentiell risk.

Under designstadierna av ett projekt kan systemarkitekten åstadkomma detta med några musklick. När man arbetar med befintliga installationer, där det är vanligt att se hårdvara som används långt bortom sitt bäst före-datum, blir säkerheten mer utmanande.

Detta betyder också att säkerställa att ingenjörer och tekniker har möjlighet att utföra sitt jobb. Det krävs en arkitekt med erfarenhet av produktens hela livscykel för att förstå behoven hos teknik- och underhållsteamen.

Att ha ett mycket säkert nätverk betyder inte att det är ogenomträngligt. Det är som att ha ett larm på ditt hus; med tillräckligt med tid och ansträngning kan vilken lås eller alarm som helst överlistas. Poängen är att vara en tillräckligt svår måltavla där angriparen bestämmer sig för att det inte är värt det och söker mindre säkra mål.