Je nesporným faktem, že průmyslový internet věcí se bude v praxi stále více rozšiřovat a že čím dál tím více zařízení bude možné snadno připojit k síti.
Hnací silou tohoto trendu jsou vlastníci systémů, kteří mají silný zájem na zvýšení provozní efektivity. Nicméně to s sebou v praxi přináší také řadu úskalí a vlastníci jsou nuceni vážně přemýšlet o nebezpečích, která přichází ve formě kybernetických hrozeb.
Každé zařízení, které se stává součástí sítě, je potenciálním slabým článkem nebo zranitelným místem, protože nabízí útočníkům vstupní bod do sítě. Těžko se dá slovy vyjádřit důraz, jaký společnosti nebo dokonce státní úřady kladou na kybernetickou bezpečnost. V červenci 2016 vydal Evropský parlament směrnice jak předcházet kybernetickým útokům. Vlastníci systému jednotně požadují řešení, které jim umožní bezpečně nasadit zařízení a používat sítě v průmyslových provozech.
Co je předmětem normy IEC 62443?
Norma IEC 62443 se neustále vyvíjí tak, aby poskytovala aktuální směrnice a nejlepší řešení pro různé části sítě. Také obsahuje doporučení pro ty, kteří mají síti více úrovní odpovědnosti. Dokáže tak bránit únikům bezpečnostních dat i nečekaným útokům. Cílem této normy je posílit zabezpečení sítí a vylepšit bezpečnost konfigurací zařízení v průmyslové automatizaci. V současnosti požaduje mnoho systémových integrátorů po svých dodavatelích, aby odebírané komponenty splňovaly IEC 62443-4-2, pododdíl normy IEC 62443, který se týká bezpečnosti koncových zařízení. Tento oddíl je kompilací základních požadavků, včetně stanovení identifikace, autentifikace a užívání a dále také integrity, důvěrnosti a zálohování dat.
Pochopení bezpečnostních rizik
Mezi bezpečnostními experty panuje shoda, že existuje šest hlavních druhů hrozeb, které mohou ovlivňovat interní sítě – neoprávněný přístup, nezabezpečený přenos dat, nezašifrovaná klíčová data, neúplné logy událostí, nedostatečný monitoring zabezpečení a lidský faktor při konfiguraci. Nejzásadnější je, aby síťoví technici těmto hrozbám rozuměli a dokázali nasadit zařízení, která budou obsahovat adekvátní bezpečnostní prvky a jejich sítě tak byly v bezpečí před interními i externími hrozbami. Nyní se budeme věnovat jak situacím, ve kterých se tato bezpečnostní rizika mohou vyskytnout, tak některým možnostem, jak potenciální hrozby úspěšně zneškodnit.
Předcházení útokům a narušením
Prvním krokem, jak zamezit neoprávněnému přístupu k zařízením v sítí, je implementace hesel. Politika nastavování hesel je do určitě míry účinná, ovšem s rostoucím počtem uživatelů a zařízení v síti se úměrně zvyšuje pravděpodobnost jejího narušení. Často se zmiňuje, že jedním z největších bezpečnostních rizik představuje uživatel, který získá neoprávněný přístup ke správě sítě a následně příležitosti využije. Strategie silných hesel je jednoznačně dobrý výchozí bod k zamezení útokům hrubou silou, ale pro zvýšení bezpečnosti existují ještě další techniky, které by se měly uplatnit v kombinaci s hesly.
Ještě vyšší bezpečnosti v síti je možné dosáhnout pomocí víceparametrové identifikace uživatelů. Tyto parametry zajistí, že dané účty mohou využívat skutečně jen uživatelé, pro které byly vytvořeny a také se připojí pouze do těch částí sítě, které potřebuji k výkonu své pracovní funkce. Dále by zařízení, která jsou v síti instalována, měla být schopna odhlásit uživatelé z účtů, ke kterým by neměli mít přístup a zároveň upozornit správce sítě o všech takových porušeních. Tím se dále sníží pravděpodobnost, že neoprávněná osoba získá přístup k sítí či zařízením.
Ochránění citlivých dat
Všechna zařízení v sítí musí podporovat a vynucovat šifrování dat při jejich přenosu. Tím se téměř vyloučí možnost jejich zachycení a zneužití. Důvod, proč je integrita dat tak podstatná, je ten, že se zajistí jejich přesnost, a mohou tedy být spolehlivě získána a zpracována, když je to nutné. Pokud integrita dat není zajištěna, uživatelé sítě si nemohou ověřit, zda pracují s přesnými informacemi. Když tento scénář nastane, data se stávají pro uživatele sítě nepoužitelnými. Ještě znepokojivější je situace, pokud lze s daty manipulovat, aby vykazovala nepravdivé údaje. Účastníci na síti zareagují změnou nastavení nebo špatným rozhodnutím, čímž síti ještě více uškodí. Kromě dat sebraných zařízeními, je na sítích průmyslového internetu věcí uložena další podstatná skupina dat - konfigurační. Nastavení síťových zařízení v průmyslových řídících sítích je vysoce důležité. Pokud jsou konfigurační data nepřesná nebo změnitelná, může dojít k ochromení funkčnosti sítě.
Aby se snížilo riziko změny konfiguračních dat, je zásadní, aby zařízení podporovala a vynucovala šifrování konfigurace.
Schopnost zpětné kontroly událostí
Sítě musí být pod neustálým dohledem, a každá událost, ke které na síti dojde, by měla být zaznamenána pro eventuální analýzu. Ačkoli se dá implementovat několik bezpečnostních opatření, v případě úspěšného útoku je obtížné jej odhalit v reálném čase. S využitím dat z logů mohou správci sítě zpětně vysledovat, co se před incidentem odehrálo a následně mohou data zanalyzovat a účinně tak celý problém řešit. Cenné informace, které logy poskytují, hrají důležitou roli při následném vylepšování návrhu a bezpečnosti dané sítě a do budoucna zabrání podobným problémům. Další bezpečnostní opatření zahrnují možnost odhlášení uživatele, vymazání účtu a restartování zařízení.
Vizualizace stavu sítě
Software, který umí graficky znázornit stav sítě, umožňuje správcům sítě monitorovat jakékoli abnormální nebo potenciálně škodlivé činnosti, které se na sítí odehrávají. Kromě toho může takový program problémům předejít ještě předtím, než k nim dojde, protože technici z něj umí letmým pohledem rychle vyvodit, zda jsou všechna zařízení správně nastavena. Pokud zařízení není tak zabezpečené, jak by mělo být, správce dokáže identifikovat problém a snížit tak rizika, které vyvstávají z napadnutelných míst. Často využívaná bezpečnostní opatření zahrnují pravidla pro tvorbu hesel, šifrování, přihlašovací údaje a integritu dat.
Správná konfigurace
Lidské chyby většinou vznikají nedopatřením, když správci sítě zvolí nesprávné nastavení. To může potenciálně způsobit celou řadu problémů, od nesprávného fungování sítě, ztráty dat až po vznik napadnutelných míst. Když je síť nesprávně nastavená, vzniklé trhliny mohou být zneužity interním personálem i nepovolanými osobami zvenčí, které získaly neoprávněný přístup. Napadení, která projdou kvůli lidské chybě, mohou být obzvlášť nebezpečná a ničivá, protože správce si často dlouho není vůbec vědom, že je síť ohrožena. Lidský faktor je nejběžnější příčinou, která umožní napadení sítě.
Z toho důvodu by se mělo dbát zvýšené obezřetnosti k zamezení tohoto druhu útoku.
Řešení od Moxy
Pro výše zmíněných šest bezpečnostních hrozeb existuje společný jmenovatel, který způsobuje, že správci ztratí nad sítí kontrolu. Stejně jako mnoho odborníků na bezpečnost průmyslové automatizace, i Moxa považuje za nejlepší způsob, jak zvýšit celkovou bezpečnost sítí, začít u přepínačů a zařízení pro převod komunikace ze sériové linky na ethernet. Jako reakci na bezpečnostní rizika, kterým správci sítě čelí, začala společnost Moxa vyvíjet řešení, která odpovídají technickým požadavků normy
IEC 62443-4-2, stupeň 2.
- Průmyslové ethernetové switche Moxa obsahují nový firmware Turbo Pack 3, který vyhovuje bezpečnostním technickým požadavkům normy IEC 62443-4-2, stupeň 2 a také podporují ověřování koncových zařízení podle MAC adresy nebo pomocí RADIUS serveru.
- Nové bezpečnostní úpravy dle standardu IEC 62443-4-2 jsou implementovány v převodnícich sériové linky na ethernet: zabezpečené průmyslové terminálové servery řady NPort a průmyslové ethernetové komunikační brány řady MGate
- Software pro správu a konfiguraci průmyslových sítí Moxa MXstudio obsahuje nové funkce, které umožňují uživatelům graficky zobrazit bezpečnostní stav jejich sítě, monitorovat události a provádět hromadnou konfiguraci.
Pokud jsou na síti zavedeny prvky, které tento článek popisuje, a bezpečnostní zásady jsou správně implementovány, znatelně se tím snižuje možnost interních a externích rizik. Pro více informací jak Moxa posiluje bezpečnost zařízení, prosím navštivte: www.moxa.com/Event/IES/Security.
Dodavatelem ethernetových přepínačů, komunikačních převodníků a softwaru pro správu sítí v průmyslové automatizaci od společnosti Moxa a dalších zařízení pro průmyslovou drátovou i bezdrátovou komunikaci je společnost ELVAC a.s. Podrobnější informace můžete najít na internetových stránkách www.moxa.cz.