OT Patch Management dành cho môi trường cách ly mạng: Quy trình vá lỗi ngoại tuyến toàn diện

• Quản lý bản vá trong lĩnh vực OT không phải là việc kéo dài thời gian thực hiện so với quản lý bản vá trong lĩnh vực CNTT. Các yếu tố phụ thuộc về an toàn , cấu hình được chứng nhận của nhà cung cấp, vòng đời tài sản dài và mức độ khoan dung gần như bằng không đối với việc khởi động lại hệ thống ngoài kế hoạch đã làm thay đổi gần như mọi bước trong quy trình này.
• Các mạng được cách ly hoàn toàn (air-gapped) sẽ mất khả năng cập nhật tự động, nhưng không vì thế mà không còn cần đến tính năng này. Các thiết bị đầu cuối không thể kết nối về máy chủ sẽ biến mất khỏi các dịch vụ quét và cập nhật dựa trên đám mây, trừ khi có một kho lưu trữ ngoại tuyến và hệ thống quản lý tại chỗ giúp khôi phục khả năng theo dõi đó trong khu vực bị cách ly.
• Không bao giờ nên chỉ dựa vào mức độ nghiêm trọng theo thang điểm CVSS để xác định mức độ ưu tiên vá lỗi OT. Các yếu tố như mức độ phát triển của lỗ hổng , khả năng tiếp cận mạng, mức độ quan trọng của tài sản và hậu quả đối với an ninh vận hành cần được xem xét cùng với điểm số; nếu không, hai lỗ hổng có mức đánh giá tương tự có thể nhận được phản ứng không phù hợp.
• Phương tiện lưu trữ di động là một điểm kiểm soát, chứ không phải là một tiện ích. Mỗi gói bản vá và thiết bị chứa gói đó cần được coi là không đáng tin cậy cho đến khi quá trình xác minh nguồn gốc, kiểm tra chữ ký và băm, cũng như kiểm tra phần mềm độc hại xác nhận rằng chúng an toàn để chuyển giao.
• MetaDefender Endpoint™ triển khai quản lý lỗ hổng bảo mật và bản vá, bảo vệ phương tiện lưu trữ di động, cũng như cơ chế phòng thủ chống BadUSB thông qua một trình đại lý trên thiết bị đầu cuối duy nhất, với khả năng giám sát tập trung từ My OPSWAT™ Central Management, tuy nhiên, việc quản trị, kiểm thử và phê duyệt nhà cung cấp vẫn thuộc trách nhiệm của tổ chức.

Các thiết bị đầu cuối không thể kết nối với internet sẽ bị loại khỏi quy trình quét lỗ hổng dựa trên đám mây, kho cập nhật và đồng bộ hóa chính sách; điều này có nghĩa là chúng cũng sẽ biến mất khỏi báo cáo tuân thủ, trừ khi có biện pháp nào đó khôi phục phạm vi phủ sóng đó tại chỗ. Việc vá lỗi thủ công dựa trên bảng tính có thể thay thế trong một thời gian, nhưng phương pháp này sẽ không hiệu quả khi áp dụng trên quy mô lớn: các giao dịch chuyển giao “ USB ” không chính thức không được ghi chép, kết quả triển khai không được lưu lại, và mỗi cuộc kiểm toán đều trở thành một quá trình tái dựng lại từ đầu.

Kho bản vá ngoại tuyến, hệ thống quản lý tập trung tại chỗ và đường dẫn truyền tải được kiểm soát giúp tái tạo phạm vi bảo vệ mà tự động hóa đám mây mang lại trong môi trường kết nối, mà không cần thiết lập kết nối trực tiếp – điều có thể làm suy yếu chính “khoảng cách không khí” đó.

• Quá trình thu thập và xác thực ban đầu diễn ra bên ngoài môi trường sản xuất, trong một vùng có kết nối internet để tải về các bản cập nhật từ nhà cung cấp và thực hiện các kiểm tra chữ ký và băm lần đầu.
• Kho bản vá ngoại tuyến quản lý các bản cập nhật đã được phê duyệt cho hệ điều hành và ứng dụng của bên thứ ba, đồng thời duy trì các bản ghi về kiểm soát phiên bản, theo dõi các bản cập nhật thay thế và đồng bộ hóa bên trong mạng được cách ly.
• Quản lý tập trung tại chỗ thực hiện việc phân phối chính sách, lên lịch triển khai, thu thập trạng thái thiết bị đầu cuối và tạo báo cáo mà không phụ thuộc vào các dịch vụ đám mây, các nhà cung cấp nhận dạng bên ngoài hay cơ chế cấp phép “call-home”.
• Việc thực thi và triển khai chính sách cuối cùng vẫn nằm dưới sự kiểm soát của OT tại địa phương, do đó một nguồn bên ngoài bị xâm nhập hoặc gặp trục trặc không bao giờ có thể đẩy một thay đổi trực tiếp vào môi trường sản xuất.

Một quy trình vá lỗi ngoại tuyến có thể lặp lại được chia thành sáu giai đoạn, mỗi giai đoạn đều tạo ra một quyết định, sản phẩm đầu ra và hồ sơ phê duyệt cụ thể, nhờ đó quy trình này luôn có thể được kiểm toán từ đầu đến cuối.

1. Rà soát và phát hiện. Quản lý danh mục tài sản bao gồm các phiên bản phần cứng và phần mềm, vùng mạng, chức năng bảo mật và tình trạng hỗ trợ, sau đó đối chiếu với các thông báo khuyến cáo của nhà cung cấp và kết quả quét lỗ hổng bảo mật ngoại tuyến để xác định các bản cập nhật cần áp dụng.

2. Xếp hạng mức độ rủi ro theo thứ tự ưu tiên. Đánh giá từng bản vá tiềm năng dựa trên khả năng bị khai thác, mức độ phơi nhiễm, mức độ quan trọng của tài sản và hậu quả đối với an toàn — chứ không chỉ dựa vào điểm mức độ nghiêm trọng — đồng thời xác nhận tính tương thích với phần mềm nhúng, hệ điều hành và hỗ trợ từ nhà cung cấp trước khi đưa bản vá đó vào quy trình xử lý.

3. Xác thực và phê duyệt gói phần mềm. Kiểm tra tính xác thực của nguồn, chữ ký số và hàm băm mật mã, quét phần mềm độc hại trong môi trường thử nghiệm cách ly, đồng thời thực hiện các bài kiểm thử đại diện trước khi chính thức phê duyệt thay đổi.

4. Chuyển giao và chuẩn bị. Chuyển gói phần mềm đã được phê duyệt qua phương tiện lưu trữ di động được kiểm soát, xác minh lại sau khi chuyển giao và chuẩn bị sẵn tại địa phương trước khoảng thời gian triển khai.

5. Triển khai theo từng giai đoạn. Triển khai bản vá trong khung thời gian bảo trì đã được phê duyệt, với các tiêu chí nhắm mục tiêu thiết bị đầu cuối cụ thể, cài đặt cài đặt tự động (nếu được hỗ trợ), kiểm soát việc khởi động lại và các điều kiện dừng.

6. Kiểm tra, khôi phục và báo cáo. Xác nhận tình trạng cài đặt, tình trạng hoạt động của dịch vụ và hoạt động của các chức năng an toàn; thực hiện khôi phục theo quy trình đã được kiểm thử nếu không đáp ứng các tiêu chí chấp nhận; đồng thời ghi lại kết quả, các trường hợp ngoại lệ và bằng chứng để phục vụ cho việc kiểm toán.

Ma trận ưu tiên, trong đó cân nhắc giữa khả năng xảy ra sự cố mạng và hậu quả đối với hoạt động, giúp các nhóm có một phương pháp nhất quán để đưa ra quyết định, thay vì xử lý mọi phát hiện có mức độ nghiêm trọng cao theo cùng một cách.

Khi một bản vá bị hoãn lại thay vì được áp dụng, trường hợp ngoại lệ đó cần phải có người chịu trách nhiệm, lý do kỹ thuật, thời hạn hiệu lực và các biện pháp kiểm soát bù đắp, đồng thời phải được rà soát lại mỗi khi có thay đổi về hoạt động khai thác lỗ hổng hoặc hướng dẫn từ nhà cung cấp. Các trường hợp ngoại lệ vĩnh viễn mà không được rà soát lại chính là lỗ hổng đầu tiên mà các kiểm toán viên phát hiện ra.

Cả gói bản vá và phương tiện lưu trữ di động chứa gói bản vá đó đều phải được coi là không đáng tin cậy cho đến khi chính sách xác minh chúng. Quy trình kiểm soát nguồn gốc ưu tiên kiểm tra sẽ xác định nguồn gốc, tính toàn vẹn và độ an toàn của nội dung trước khi tệp tin đó có thể được truy cập bên trong mạng OT.

• Xác minh nguồn. Chỉ tải các bản cập nhật từ các cổng thông tin của nhà cung cấp hoặc các kênh phân phối đã được xác thực, đồng thời ghi lại nguồn, thời gian tải về, phiên bản gói phần mềm và danh tính của người đã tải về.
• Xác thực chữ ký và hàm băm. Kiểm tra chữ ký số, tính hợp lệ của chứng chỉ và các hàm băm mật mã do nhà cung cấp công bố trước khi chuyển giao. Một chữ ký hợp lệ chứng minh tính xác thực; tuy nhiên, bản thân nó không chứng minh rằng gói phần mềm đó an toàn cho một môi trường OT cụ thể.
• Kiểm tra phần mềm độc hại. Quét toàn bộ gói phần mềm, bao gồm các tệp lưu trữ lồng nhau, trình cài đặt, tập lệnh và trình điều khiển, trong một môi trường thử nghiệm cách ly, với các hành động cách ly và từ chối đã được xác định trước đối với các kết quả kiểm tra nghi ngờ.
• Bảo vệ chống lại các thiết bị lưu trữ di động và BadUSB. Yêu cầu xác thực thiết bị và quét trước khi truy cập để chặn các ổ đĩa bị nhiễm mã độc và các thiết bị giả mạo — bao gồm cả các cuộc tấn công BadUSB giả mạo bàn phím — trước khi chúng có thể thực thi bất kỳ hành động nào trên thiết bị đầu cuối OT.
• Hồ sơ chuỗi lưu giữ. Ghi lại thông tin nhận dạng phương tiện lưu trữ, người quản lý, mã băm, kết quả kiểm tra, các phê duyệt, thời gian chuyển giao và điểm đến để có thể tái tạo lại mọi lần chuyển giao trong quá trình kiểm toán.

Việc triển khai một bản vá đã được xác thực vẫn là một thay đổi về mặt vận hành, và việc triển khai thành công phải đảm bảo duy trì khả năng kiểm soát quy trình, an toàn và khả năng khôi phục không kém gì việc khắc phục lỗ hổng bảo mật.

• Xây dựng một môi trường thử nghiệm có tính đại diện. Tái tạo các phần cứng, phiên bản hệ điều hành, ứng dụng và hệ thống liên lạc quan trọng trong phạm vi khả thi, đồng thời ghi chép lại những điểm khác biệt không thể tránh khỏi giữa môi trường thử nghiệm và môi trường sản xuất.
• Xác nhận tính tương thích trước khi triển khai. Kiểm tra hướng dẫn của nhà cung cấp thiết bị, chứng nhận ứng dụng và các yêu cầu về trình điều khiển; đồng thời yêu cầu phê duyệt bổ sung khi bản vá nằm ngoài cấu hình được nhà cung cấp hỗ trợ.
• Triển khai theo từng giai đoạn. Bắt đầu với các tài sản có tính đại diện và mức độ rủi ro thấp, đánh giá kết quả, rồi mở rộng dần dần thay vì triển khai đồng loạt trên toàn bộ môi trường, đồng thời phải xác định rõ các tiêu chí tạm dừng và quyền hạn dừng khẩn cấp.
• Kiểm soát quá trình cài đặt và khởi động lại hệ thống. Sử dụng phương thức cài đặt không gây xao nhãng khi được hỗ trợ, đồng thời hạn chế hoặc điều phối các lần khởi động lại theo hướng dẫn của nhà cung cấp, thiết kế dự phòng và sự chấp thuận của nhà máy.
• Kiểm tra tình trạng hoạt động, sau đó hoàn tất quy trình. Kiểm tra quá trình khởi động dịch vụ, logic điều khiển, các cảnh báo và các chức năng an toàn dựa trên các tiêu chí chấp nhận có thể đo lường được, đồng thời chuẩn bị sẵn một kế hoạch khôi phục đã được kiểm thử — bao gồm các bản sao lưu cấu hình và phương tiện khôi phục — trước khi bắt đầu triển khai.

Các hệ thống vẫn còn được sử dụng lâu dài với phiên bản hệ điều hành cũ và các ứng dụng kỹ thuật chuyên dụng thường nằm ngoài phạm vi hỗ trợ của các công cụ vá lỗi CNTT thông dụng, do đó chúng cần có một phương án xử lý riêng thay vì bị loại trừ hoàn toàn khỏi chương trình.

• Các thiết bị đầu cuối chạy hệ điều hành cũ cần có danh sách kiểm kê chi tiết về phiên bản, kiến trúc và cấu hình cơ sở được nhà cung cấp phê duyệt trước khi lựa chọn bất kỳ bản cập nhật nào, đồng thời quy trình này phải tích hợp sẵn tính năng hỗ trợ gói cài đặt ngoại tuyến và khả năng khôi phục về phiên bản trước.
• Các ứng dụng của bên thứ ba như trình duyệt, môi trường chạy và công cụ truy cập từ xa thường nằm ngoài các kênh cập nhật gốc của hệ điều hành và cần có cơ chế phát hiện phiên bản, giải quyết phụ thuộc cũng như hỗ trợ trình cài đặt ngoại tuyến riêng.
• Các hệ thống không thể vá lỗi vẫn cần có tài liệu hướng dẫn: lý do tại sao việc vá lỗi không khả thi hoặc không an toàn, người chịu trách nhiệm, ngày rà soát, và lộ trình thay thế hoặc chuyển đổi.
• Các biện pháp kiểm soát bù đắp như phân đoạn mạng, danh sách cho phép ứng dụng và hạn chế phương tiện lưu trữ di động giúp giảm thiểu rủi ro đối với các tài sản không thể cập nhật bản vá, nhưng chúng không loại bỏ được lỗ hổng cơ bản và cần được rà soát định kỳ khi tình hình mối đe dọa thay đổi.

Việc thu thập bằng chứng tập trung giúp biến việc lập báo cáo tuân thủ thành một công đoạn định kỳ trong quy trình triển khai bản vá, thay vì phải tiến hành tái lập thủ công mỗi khi có lịch kiểm toán.

• Các bản ghi cần lưu giữ: phạm vi tài sản , trạng thái lỗ hổng, các phê duyệt, mã băm tệp, kết quả kiểm tra chữ ký, kết luận kiểm tra, hoạt động trên phương tiện truyền thông, kết quả triển khai, các trường hợp ngoại lệ và các sự kiện khôi phục, tất cả đều kèm theo dấu thời gian có thể xác định nguồn gốc.
• Các chỉ số về phạm vi bao phủ: theo dõi phạm vi bao phủ của kho, tỷ lệ triển khai bản vá, các biện pháp khắc phục quá hạn và các trường hợp ngoại lệ, được phân chia theo địa điểm và mức độ quan trọng của tài sản để các tỷ lệ phần trăm tổng hợp không che lấp những lỗ hổng có hậu quả nghiêm trọng.
• Các chỉ số giảm thiểu rủi ro: so sánh thời gian triển khai bản vá và khoảng thời gian tiếp xúc với rủi ro với tỷ lệ khôi phục phiên bản cũ và thời gian ngừng hoạt động ngoài kế hoạch, để việc triển khai bản vá nhanh hơn không bao giờ được coi là thành công nếu điều đó gây ra sự bất ổn.
• Sự phù hợp với khung tiêu chuẩn: đối chiếu danh mục tài sản, đánh giá rủi ro, kiểm soát thay đổi và các biện pháp giám sát với các mục tiêu có liên quan trong tiêu chuẩn IEC 62443 và NIST SP 800-82 Bản sửa đổi 3 – tài liệu hướng dẫn hiện hành về an ninh hệ thống công nghiệp (OT). Sự phù hợp với khung tiêu chuẩn hỗ trợ quá trình kiểm toán; tuy nhiên, nó không thể thay thế cho việc cấp chứng nhận hoặc tự nó đảm bảo sự tuân thủ.

Các yêu cầu không phụ thuộc vào nhà cung cấp nên là yếu tố định hướng cho quá trình đánh giá trước khi bất kỳ sản phẩm cụ thể nào được đưa vào xem xét: khả năng hoạt động ngoại tuyến thực sự, quản lý tập trung tại chỗ, phạm vi bảo vệ rộng rãi đối với các thiết bị đầu cuối và ứng dụng, bảo vệ phương tiện lưu trữ ngoại vi, cùng với hệ thống báo cáo tập trung tạo ra bằng chứng sẵn sàng cho việc kiểm toán mà không phụ thuộc vào đám mây.

• Khả năng hoạt động ngoại tuyến: đã được chứng minh, không chỉ là giả định. Cần có bản trình diễn trong môi trường cách ly hoàn toàn thay vì chỉ chấp nhận rằng một sản phẩm kết nối Internet sẽ hoạt động giống hệt như vậy khi ở chế độ ngoại tuyến.
• Endpoint và phạm vi hỗ trợ ứng dụng. Xác minh khả năng hỗ trợ thực tế đối với các hệ điều hành Windows, macOS, Linux và các hệ thống cũ đang được triển khai tại tổ chức, bao gồm các định dạng gói cài đặt ngoại tuyến và khả năng theo dõi quá trình khôi phục về phiên bản trước.
• Bảo vệ thiết bị ngoại vi. Hãy đảm bảo nền tảng này thực hiện xác thực thiết bị, quét tệp trước khi truy cập và phòng chống các mối đe dọa từ BadUSB, thay vì giao việc quản lý đường dẫn truyền dữ liệu cho một công cụ riêng biệt và không kết nối.
• Báo cáo và quản trị tập trung. Kiểm tra quyền truy cập dựa trên vai trò, trạng thái triển khai, quy trình xử lý ngoại lệ và việc xuất dữ liệu chứng cứ dựa trên các tình huống bao gồm cả các phương tiện bị từ chối và các trường hợp cài đặt thất bại, chứ không chỉ giới hạn ở các lần thực thi thành công.

MetaDefender Endpoint™ là giải pháp bảo vệ thiết bị đầu cuối tiên tiến củ OPSWAT, giúp bảo vệ các thiết bị đầu cuối khỏi các mối đe dọa lây lan qua phương tiện lưu trữ ngoại vi, giám sát mức độ tuân thủ của thiết bị, phát hiện lỗ hổng bảo mật và hỗ trợ cài đặt bản vá trong cả môi trường kết nối Internet lẫn môi trường cách ly mạng. Giải pháp này phát hiện lỗ hổng bảo mật trong hơn 980 ứng dụng và hệ điều hành, đồng thời hỗ trợ cài đặt bản vá tự động cho hơn 580 ứng dụng của bên thứ ba và các bản cập nhật hệ điều hành, với quy trình cài đặt bản vá không gây xao nhãng, giúp tránh làm gián đoạn màn hình của người vận hành trong khoảng thời gian bảo trì.

Tính năng bảo vệ phương tiện lưu trữ di động hoạt động dựa trên công nghệ Metascan™ Multiscanning và Deep CDR™: MetaDefender Endpoint tự động phát hiện và chặn quyền truy cập vào các ổ đĩa USB cho đến khi mọi tệp tin được quét và xác nhận là an toàn, đồng thời bảo vệ chống lại các cuộc tấn công BadUSB, rubber ducky và các hình thức giả mạo thiết bị khác mà không cần phải chạy tệp tin đó trên thiết bị đầu cuối trước.

Khả năng giám sát tập trung được cung cấp bởi nền tảng Quản lý Vận hành và Bảo mật ( My ) OPSWAT™ Central Management, có sẵn dưới dạng triển khai tại chỗ hoặc trên đám mây, giúp phân phối chính sách, thu thập trạng thái triển khai và tạo báo cáo trên các địa điểm mà không phụ thuộc vào kết nối internet; nhờ đó, đội ngũ bảo mật có thể thực hiện cùng một quy trình làm việc ngoại tuyến trên nhiều địa điểm OT bị cô lập từ một vị trí duy nhất.