Dlaczego sieć stała się ostatnią linią obrony dla technologii operacyjnych (OT), Internetu rzeczy (IoT) i sprzętu medycznego
Gdzieś w Twojej sieci znajduje się urządzenie z systemem operacyjnym, którego wsparcie techniczne wygasło, zanim niektórzy z Twoich współpracowników ukończyli szkołę. Może to być aparat ultrasonograficzny, sterownik systemu zarządzania budynkiem, czytnik identyfikatorów, interfejs HMI na linii produkcyjnej lub analizator laboratoryjny, który kosztował więcej niż samochód służbowy. Wiesz, że stanowi to zagrożenie. Zwracałeś na to uwagę. I wielokrotnie, w uprzejmy sposób, słyszałeś, że nie da się zainstalować na nim aktualizacji.
Ta odpowiedź jest zazwyczaj prawidłowa. Producent nie certyfikował tej aktualizacji. Zatwierdzenie przez organy regulacyjne dotyczy konkretnej wersji oprogramowania, a ponowna walidacja mogłaby zająć miesiące. Umowa serwisowa traci ważność w przypadku modyfikacji obrazu systemu. Urządzenie działa nieprzerwanie w środowisku klinicznym lub produkcyjnym, gdzie ponowne uruchomienie wymaga zaplanowania, a nie jest prostą czynnością wykonywaną jednym kliknięciem. Albo firma, która je wyprodukowała, już nie istnieje.
Zatem uczciwym punktem wyjścia dla każdego, kto obecnie zarządza siecią przedsiębiorstwa, jest następująca konstatacja: znaczna część urządzeń w sieci nigdy nie otrzyma aktualizacji zabezpieczeń, nigdy nie będzie korzystać z agenta końcowego i nie zostanie wymieniona w ramach obecnego horyzontu planowania. Każdy mechanizm zabezpieczeń, który zakłada coś innego – zasięg rozwiązania EDR, oparte na agentach sprawdzanie stanu bezpieczeństwa, automatyczne zapewnianie zgodności z aktualizacjami – ma martwy punkt właśnie tam, gdzie znajduje się sprzęt o największym znaczeniu operacyjnym.
Jeśli punkt końcowy nie jest w stanie sam się obronić, musi to zrobić za niego sieć.
Dlaczego tradycyjne rozwiązanie przestało działać
Klasycznym rozwiązaniem było umieszczenie tych urządzeń w oddzielnej sieci. VLAN dla urządzeń medycznych. VLAN dla instalacji budynkowych. VLAN dla kamer. Odizolowanie ich za pomocą zapory sieciowej od reszty sieci i gotowe.
Działa to tak długo, dopóki nie przestanie się skalować. Trzy czynniki powodują, że przestaje działać:
Liczba urządzeń. Podział na kategorie był wykonalny, gdy liczba urządzeń wynosiła kilkaset. Obecnie w kampusach zintegrowanych znajdują się tysiące urządzeń, a nowe pojawiają się nieustannie. Często są one instalowane przez wykonawcę odpowiedzialnego za infrastrukturę lub zespół inżynierii klinicznej, którzy – co jest całkiem zrozumiałe – nie zgłosili prośby o zmianę do zespołu sieciowego.
Problem statycznych list kontroli dostępu (ACL). Każdy wyjątek – tunel wsparcia technicznego partnera usługowego, serwer monitorujący, który musi mieć dostęp do każdej podsieci, nowa integracja z systemem dokumentacji pacjentów – staje się kolejną regułą. Po kilku latach nikt nie może już z całą pewnością niczego usunąć, więc zbiór reguł tylko się powiększa. Segmentacja istnieje tylko na papierze, podczas gdy faktyczna polityka po cichu przekształciła się w podejście „głównie zezwalaj”.
Fizyczna lokalizacja nie jest już zgodna z zasadami. Sieć VLAN jest powiązana z miejscem, w którym podłączone jest urządzenie. Urządzenia przemieszczają się między działami, piętrami i budynkami. Urządzenia bezprzewodowe przemieszczają się nieustannie. Zasady powiązane z portem przełącznika lub identyfikatorem SSID tracą sens w momencie zmiany rozmieszczenia fizycznego, a jedynym rozwiązaniem jest zawsze rozszerzenie sieci VLAN.
Wynik jest dobrze znany: sieć, która w dokumencie projektowym jest podzielona na segmenty, ale w praktyce ma strukturę płaską. A właśnie taka płaska struktura jest tym, czego potrzebuje oprogramowanie ransomware.
Punktem wyjścia rzadko jest urządzenie, na którym nie da się zainstalować poprawki; zazwyczaj jest to konto użytkownika przejęte w wyniku ataku phishingowego. To właśnie urządzenie, na którym nie da się zainstalować poprawki, decyduje o tym, czy incydent dotknie tylko jeden oddział, czy też cały szpital.
Trzy czynniki, które faktycznie wpływają na wynik
Bądź na bieżąco z tym, co się tam znajduje. Nie chodzi o roczny arkusz kalkulacyjny z wykazem zasobów. Wykorzystaj profilowanie pasywne do identyfikacji urządzeń na podstawie ich zachowania w sieci – odcisków DHCP, wykorzystania protokołów, wzorców ruchu oraz przypisania adresów MAC – i oznaczaj wszystko, co wydaje się nieoczekiwane.
W niemal każdym procesie identyfikacji liczba podłączonych urządzeń przewyższa liczbę zarejestrowaną w bazie danych CMDB. Właśnie w tej rozbieżności tkwi ryzyko.
Skala tej luki jest nieustannie niedoceniana. W opublikowanym studium przypadku firmy runZero Uniwersytet w Yorku, którego kampus liczy 54 000 studentów, uzyskał wgląd w 25 000 zasobów – czyli około dwa i pół razy więcej niż udało mu się wcześniej zidentyfikować. Warto zwrócić uwagę na wyjaśnienie dyrektora ds. bezpieczeństwa informacji (CISO): narzędzia do zarządzania siecią dobrze radziły sobie z zarządzaniem siecią, ale nie pozwalały na wykrycie podłączonych do niej urządzeń.
Są to dwie różne funkcje, a większość organizacji dysponuje jedynie pierwszą z nich.
Zdecyduj, z jakimi urządzeniami każde z nich może się łączyć. Pompa infuzyjna musi łączyć się z trzema serwerami. Kamera musi łączyć się z sieciowym rejestratorem wideo. Sterownik drzwi musi łączyć się ze swoim serwerem kontroli dostępu. Żadne z tych urządzeń nie potrzebuje połączenia z Internetem, serwerem plików ani żadnym innym urządzeniem.
Najpierw należy ustalić poziom bazowy rzeczywistego ruchu, a następnie opracować zasady w oparciu o własne obserwacje, a nie o informacje zawarte w dokumentacji dostawcy. Architektura referencyjna jest prawie zawsze bardziej liberalna niż faktyczne wymagania środowiska.
Należy egzekwować zasady w momencie nawiązania połączenia. To właśnie sprawia, że model ten działa. Zasady powinny być powiązane z tożsamością urządzenia i stosowane na warstwie dostępowej – czyli na porcie lub punkcie dostępowym, z którym urządzenie się łączy – a nie na zaporze sieciowej oddalonej o trzy przeskoki.
Gdy mechanizm egzekwowania podąża za urządzeniem, przeniesienie go między budynkami nie zmienia sytuacji. Ruch poprzeczny między dwoma urządzeniami podłączonymi do tego samego przełącznika jest blokowany, a nie pozostawiany niewidoczny.
Jak to zrobić bez zakłócania działalności firmy
Powodem, dla którego projekty te utknęły w martwym punkcie, jest strach, a strach ten jest uzasadniony: nikt nie chce być osobą, której polityka segmentacji spowodowała przerwanie procedury. Sekwencjonowanie rozwiązuje większość tych problemów.
- Zanim zaczniesz cokolwiek egzekwować, najpierw zbierz informacje w sposób pasywny. Trwa to tygodnie, a nie dni. W tej fazie w sieci nic się nie zmienia, więc nie ma żadnego ryzyka związanego z negocjacjami.
- Przetestuj politykę w trybie monitorowania. Uruchom przewidziane reguły i zarejestruj w dzienniku dane, które zostałyby zablokowane. Dzięki temu dyskusja na temat ryzyka zamienia się w analizę raportu, co zazwyczaj pozwala wykryć dwa lub trzy uzasadnione przepływy danych, których nikt wcześniej nie udokumentował.
- Zacznij od grupy urządzeń o wysokim ryzyku i niewielkim zasięgu bocznym. Kamery i instalacje budynkowe są idealnymi kandydatami na początek: korzyści w zakresie bezpieczeństwa są realne, a ryzyko operacyjne jest mniejsze niż w przypadku sprzętu medycznego lub produkcyjnego.
- Włącz do procesu właścicieli urządzeń na wczesnym etapie. Dział inżynierii klinicznej, dział infrastruktury, dział inżynierii sali operacyjnej. Wiedzą oni rzeczy, których nie dowiesz się z sieci – że analizator przesyła dane do producenta w nocy, że dostawca łączy się co kwartał w celu kalibracji. Mają też nieformalne prawo weta: gdy po raz pierwszy za problem operacyjny obwinia się politykę, zostaje ona zniesiona, a po zniesieniu rzadko wraca. Polityka narzucona bez ich udziału przetrwa tylko do pierwszego incydentu. Polityka uzgodniona z nimi przetrwa go.
- Rozwiń według grup, z ścieżką cofania dla każdej grupy. Każdy krok powinien dać się cofnąć niezależnie.
Warto z góry uzgodnić konkretne wskaźniki, ponieważ argument „jesteśmy bezpieczniejsi” nie wytrzyma dyskusji budżetowej. Przydatne wskaźniki to: czas potrzebny na zidentyfikowanie nieznanego urządzenia w sieci, odsetek portów dostępowych objętych dynamiczną polityką oraz liczba miejsc docelowych, do których mogłoby dotrzeć zainfekowane urządzenie w każdej grupie – czyli zasięg jego oddziaływania; a obserwowanie, jak liczba tych miejsc maleje, jest najwyraźniejszym dowodem na to, że program działa.
Kwestia zgodności z przepisami – w skrócie
Jeśli prowadzisz działalność jako podmiot o znaczeniu kluczowym lub istotnym w rozumieniu dyrektywy NIS2, trudno jest skutecznie spełnić wymogi dotyczące zarządzania zasobami, kontroli dostępu i wykrywania incydentów bez tej funkcji. Nie da się zgłosić incydentu w wymaganym terminie, jeśli ustalenie, czym jest dane urządzenie, gdzie jest podłączone i z jakimi systemami się komunikowało, zajmuje kilka dni.
Norma ISO/IEC 27001 oraz wytyczne techniczne ENISA podkreślają znaczenie tych zdolności, natomiast krajowe ramy wdrażające dyrektywę NIS2 w państwach członkowskich przekładają je na lokalne wymagania. Dla wielu organizacji oznacza to, że prace związane z segmentacją sieci, które dotychczas odkładały ze względów bezpieczeństwa, stają się teraz również priorytetem w zakresie zgodności z przepisami. Z praktycznego punktu widzenia często właśnie to pozwala w końcu na uwolnienie środków budżetowych.
Gdzie Damovo ma swoje miejsce
Projektujemy i obsługujemy sieci kampusowe, w których model ten stanowi standard, a nie rozwiązanie wprowadzane z mocą wsteczną — profilowanie urządzeń i egzekwowanie zasad są wbudowane w warstwę dostępową przy użyciu platform, z których już korzystają nasi klienci, w tym Cisco Identity Services Engine oraz architektury Extreme Networks i uniwersalnej polityki ZTNA, a także runZero do bezagentowego wykrywania zasobów w obszarach IT, OT i IoT. Fazy wykrywania i monitorowania realizujemy w ramach ustrukturyzowanego projektu, dzięki czemu przed podjęciem decyzji o egzekwowaniu zasad klienci mogą zapoznać się z rzeczywistym stanem zasobów sprzętowych oraz rzeczywistym poziomem ruchu sieciowego, a my możemy zarządzać cyklem życia zasad w ramach usługi zarządzanej, gdy wewnętrzny zespół nie ma możliwości samodzielnego zajęcia się tym zadaniem.
Jeśli chcesz się dowiedzieć, ile urządzeń faktycznie znajduje się w Twojej sieci, to właśnie od tego warto zacząć rozmowę.