Ngăn chặn sự chuyển dịch ngang từ IT sang OT bằng cách sử dụng các điốt dữ liệu

Phân tách tuyệt đối giữa IT và OT là điều cần thiết vì mạng hội tụ cho phép các mối đe dọa bắt nguồn từ môi trường IT lan truyền theo chiều ngang vào các hệ thống công nghệ vận hành. Industrial Các hệ thống điều khiển không được thiết kế để chống lại các mối đe dọa mạng hiện đại, do đó phân vùng là biện pháp kiểm soát chính để ngăn ngừa gián đoạn hoạt động.

Phân đoạn không đầy đủ làm lộ ra cơ sở hạ tầng trọng yếu Từ mã độc tống tiền, mất tính toàn vẹn quy trình, rủi ro an toàn đến vi phạm quy định. Khi khả năng kết nối giữa các hệ thống doanh nghiệp và công nghiệp ngày càng tăng, các tổ chức phải áp dụng các phương pháp phân đoạn nhằm ngăn chặn, chứ không chỉ phát hiện, truy cập trái phép qua ranh giới IT/OT.

Tấn công chuyển hướng từ hệ thống IT sang hệ thống OT xảy ra khi kẻ tấn công chuyển hướng từ các hệ thống IT bị xâm nhập sang mạng OT thông qua kết nối dùng chung. Tấn công lừa đảo, lạm dụng truy cập từ xa và tái sử dụng thông tin đăng nhập là những điểm xâm nhập phổ biến cho phép kẻ tấn công di chuyển qua các môi trường phẳng hoặc phân vùng yếu.

Sau khi xâm nhập vào mạng OT, kẻ tấn công có thể làm gián đoạn hoạt động, thao túng logic điều khiển hoặc vô hiệu hóa các hệ thống an toàn. Các sự cố thực tế ảnh hưởng đến các ngành năng lượng, sản xuất và cấp nước cho thấy rằng di chuyển ngang hiện là một vectơ tấn công chính. cơ sở hạ tầng trọng yếu .

Các khuôn khổ pháp lý như NERC CIP, IEC 62443 và ISO 27001 yêu cầu hoặc khuyến nghị mạnh mẽ việc tách biệt giữa mạng doanh nghiệp và mạng công nghiệp. Các tiêu chuẩn này nhấn mạnh việc hạn chế đường truyền thông tin, thực thi ranh giới vùng và giảm thiểu rủi ro đối với các tài sản quan trọng. 

Các kiểm toán viên ngày càng kỳ vọng vào các biện pháp kiểm soát phân đoạn có thể chứng minh và xác thực được. Việc phân tách logic đơn thuần thường không đủ, đòi hỏi các tổ chức phải cung cấp bằng chứng cho thấy các đường dẫn liên lạc trái phép, đặc biệt là các đường dẫn từ IT sang OT, là không thể thực hiện được về mặt kỹ thuật. 

Các điốt dữ liệu đảm bảo lưu lượng một chiều bằng cách sử dụng phần cứng cho phép dữ liệu chỉ truyền theo một hướng. Thiết kế này đảm bảo thông tin có thể di chuyển từ OT sang IT trong khi hoàn toàn chặn mọi giao tiếp ngược chiều.

Bằng cách loại bỏ kênh ngược, các điốt dữ liệu ngăn chặn kẻ tấn công đưa ra lệnh, khai thác lỗ hổng hoặc chuyển hướng sang mạng OT, ngay cả khi hệ thống IT bị xâm phạm hoàn toàn.

Điốt dữ liệu là một thiết bị bảo mật được thực thi bằng phần cứng, cho phép truyền dữ liệu một chiều giữa các mạng có mức độ tin cậy khác nhau. Nó sử dụng các cơ chế ở lớp vật lý, chẳng hạn như các thành phần quang học một chiều, để đảm bảo dữ liệu chỉ truyền theo một hướng. 

Khác với các cơ chế điều khiển dựa trên phần mềm, diode dữ liệu không dựa vào bảng định tuyến, logic phần mềm nhúng hay việc thực thi chính sách để chặn lưu lượng truy cập. Việc không có đường dẫn trở lại vật lý chính là điều đảm bảo sự cô lập. 

Các điốt dữ liệu ngăn chặn sự di chuyển ngang từ IT sang OT bằng cách làm cho việc giao tiếp ngược trở nên bất khả thi về mặt vật lý. Ngay cả khi phần mềm độc hại giành được quyền kiểm soát hoàn toàn các hệ thống phía IT, nó cũng không thể truyền các gói dữ liệu, tín hiệu hoặc lệnh trở lại mạng OT. 

Điều này phá vỡ chuỗi tấn công mạng ngay tại ranh giới mạng. Không có đường dẫn phản hồi, kẻ tấn công không thể thực hiện trinh sát, phân phối phần mềm độc hại hoặc thiết lập các kênh điều khiển và kiểm soát vào môi trường OT. 

Cả điốt dữ liệu và tường lửa đều hỗ trợ phân đoạn mạng, nhưng chúng mang lại kết quả bảo mật khác nhau về cơ bản. Tường lửa quản lý lưu lượng truy cập, trong khi điốt dữ liệu loại bỏ toàn bộ hướng truyền thông.

Hiểu rõ những khác biệt này giúp các kiến ​​trúc sư lựa chọn các biện pháp kiểm soát phù hợp với mô hình mối đe dọa, nghĩa vụ tuân thủ và mức độ chấp nhận rủi ro vận hành.

Tường lửa là các thiết bị dựa trên phần mềm, cho phép hoặc từ chối lưu lượng truy cập dựa trên các quy tắc, cho phép giao tiếp hai chiều theo mặc định. Cấu hình sai, lỗ hổng bảo mật hoặc việc xâm phạm thông tin đăng nhập có thể mở lại các đường dẫn bị cấm. 

Các điốt dữ liệu đảm bảo phân đoạn ở lớp vật lý. Từ góc độ tuân thủ quy định, chúng cung cấp bằng chứng về sự cô lập sẵn sàng cho cơ quan quản lý vì về mặt kỹ thuật, việc truyền thông ngược là không thể. 

Bộ tách dữ liệu (data diode) thích hợp khi rủi ro xâm phạm giữa IT và OT là không thể chấp nhận được hoặc khi các quy định yêu cầu sự tách biệt nghiêm ngặt. Các môi trường có tác động lớn như sản xuất điện, xử lý nước và các cơ sở chính phủ thường đáp ứng các tiêu chí này. 

Tường lửa vẫn có thể phù hợp với các khu vực có rủi ro thấp hơn hoặc nơi cần thiết phải có sự giao tiếp hai chiều và được kiểm soát chặt chẽ về mặt vận hành. 

Việc triển khai bộ chuyển mạch dữ liệu hiệu quả đòi hỏi sự cân nhắc kỹ lưỡng về vị trí đặt, lập kế hoạch giao thức và sự đồng bộ hóa hoạt động. Các quyết định về kiến ​​trúc quyết định cả độ mạnh về bảo mật và khả năng sử dụng dữ liệu.

Các giải pháp được thiết kế tốt giúp duy trì khả năng quan sát hệ thống vận hành (OT) đồng thời đảm bảo sự cô lập mạng nghiêm ngặt.

Các điốt dữ liệu thường được đặt giữa mạng OT và khu phi quân sự công nghiệp hoặc trực tiếp giữa các điểm tập trung OT và IT. Vị trí này giúp hạn chế rủi ro trong khi vẫn cho phép xuất dữ liệu có kiểm soát.

Việc bố trí phải phù hợp với các mô hình vùng và đường ống hiện có được xác định trong IEC 62443 và các khung pháp lý tương tự.

Quá trình triển khai bắt đầu bằng việc xác định các luồng dữ liệu được cho phép và đánh giá các yêu cầu vận hành. Sau đó, các kiến ​​trúc sư sẽ lựa chọn giao thức, thiết kế tính dự phòng và xác nhận nhu cầu về thông lượng. 

Việc cài đặt bao gồm bố trí vật lý, cấu hình dịch vụ sao chép hoặc proxy, và kiểm tra để xác nhận việc thực thi một chiều và tính toàn vẹn dữ liệu. 

Các điốt dữ liệu mang lại giá trị tối đa khi được tích hợp vào quy trình giám sát, phát hiện và tuân thủ. Kiến trúc một chiều vẫn có thể hỗ trợ khả năng hiển thị thời gian thực và phân tích tập trung.

Những sự tích hợp này giúp tăng cường cả hoạt động bảo mật và khả năng sẵn sàng kiểm toán.

Nhật ký OT và dữ liệu đo từ xa có thể được chuyển tiếp qua các bộ chuyển đổi dữ liệu đến các bộ thu thập dữ liệu phía IT hoặc nền tảng SIEM. Các máy chủ tổng hợp thường chuẩn hóa và chuyển tiếp dữ liệu mà không gây ra rủi ro đầu vào. 

Kiến trúc này cho phép các nhóm SOC giám sát hoạt động OT bằng các công cụ cấp doanh nghiệp mà không ảnh hưởng đến việc phân vùng. 

Các điốt dữ liệu hỗ trợ việc tuân thủ bằng cách thực thi các biện pháp kiểm soát tách biệt mạng theo yêu cầu của IEC 62443, NERC CIP và ISO 27001. Tính đơn hướng vật lý cung cấp bằng chứng rõ ràng và có thể bảo vệ được. 

Tài liệu cần bao gồm sơ đồ kiến ​​trúc, định nghĩa luồng, kết quả kiểm định và cấu hình cơ bản phục vụ mục đích kiểm toán. 

Bảo mật OT mạnh mẽ kết hợp phân vùng nghiêm ngặt với các lớp kiểm soát kỹ thuật và quy trình. Các điốt dữ liệu đóng vai trò là yếu tố nền tảng trong chiến lược này.

Khả năng phục hồi bền vững phụ thuộc vào việc liên tục kiểm chứng và thích ứng.

Bảo mật đa lớp kết hợp phân đoạn, giám sát, kiểm soát truy cập và bảo vệ điểm cuối. Các điốt dữ liệu giảm sự phụ thuộc vào các biện pháp kiểm soát phần mềm tại các ranh giới quan trọng.

Các lớp khác phát hiện các bất thường, thực thi quyền truy cập tối thiểu và giới hạn phạm vi ảnh hưởng nếu xảy ra sự xâm nhập ở nơi khác.

Việc chuyển dữ liệu từ hệ thống OT sang IT một cách an toàn đòi hỏi các tập dữ liệu được xác định rõ ràng, thực thi một chiều và ghi nhật ký hoạt động chuyển dữ liệu. Nhật ký kiểm toán cần thể hiện cả mục đích và việc thực thi kỹ thuật. 

Hardware - Việc chuyển giao một chiều bắt buộc giúp đơn giản hóa quá trình đảm bảo bằng cách loại bỏ toàn bộ các loại lỗi. 

Việc lựa chọn một thiết bị truyền dữ liệu cần phải đánh giá khả năng kỹ thuật, sự phù hợp về mặt vận hành và sự tuân thủ các quy định. Không phải tất cả các giải pháp đều cung cấp sự đảm bảo tương đương.

Các kiến ​​trúc sư nên tập trung vào các kết quả bảo mật mang tính xác định hơn là chỉ chú trọng đến phạm vi tính năng.

Các tiêu chí quan trọng bao gồm thông lượng, độ trễ, khả năng hoạt động an toàn khi xảy ra lỗi, phương pháp thực thi vật lý, chứng nhận và hỗ trợ giao thức. Khả năng quản lý và tích hợp giám sát cũng ảnh hưởng đến tính khả thi lâu dài.

Tổng chi phí sở hữu (TCO) cần bao gồm chi phí triển khai, bảo trì và hỗ trợ kiểm toán.

Những người ra quyết định nên đặt câu hỏi về việc làm thế nào để đảm bảo việc thực thi một chiều, cách xử lý các lỗi và những giao thức nào được hỗ trợ nguyên bản. Mô hình hỗ trợ và quản lý vòng đời cũng rất quan trọng.

Kinh nghiệm của nhà cung cấp trong cơ sở hạ tầng trọng yếu Môi trường là một yếu tố rủi ro quan trọng.

Các tổ chức triển khai phân vùng dựa trên phần cứng thường được hưởng lợi từ hướng dẫn kiến ​​trúc chuyên môn. Vị trí đặt máy chủ chính xác, thiết kế giao thức và xác thực là rất cần thiết để đạt được cả mục tiêu bảo mật và tuân thủ quy định.