Американската Агенция за национална сигурност (NSA) публикува насоки за укрепване на защитата на военни OT среди, включително наследени индустриални системи, които не поддържат съвременни механизми за сигурност. Документът поставя акцент върху 26 дейности с високо въздействие, чрез които организациите могат да ограничат неоторизирания достъп, да подобрят видимостта върху активите и да намалят риска от кибератаки, без да извършват мащабни хардуерни промени или да застрашават непрекъснатостта на критичните процеси.

В информационния документ Hardening Department of War Critical Operational Technology Environments with Zero Trust Principles NSA представя практически подход за прилагане на принципите на Zero Trust (ZT) в оперативните технологии (OT). Насоките са предназначени за среди на Министерството на войната на САЩ (DoW), но описаните подходи имат значение и за други оператори на критична инфраструктура, особено когато използват остаряло оборудване с ограничени възможности за защита.

Основното предизвикателство е, че индустриалните системи често работят в продължение на десетилетия. Те може да не поддържат съвременни защитни агенти, а актуализациите и активните тестове могат да доведат до прекъсвания или да засегнат безопасността. Затова NSA препоръчва наследените активи да бъдат защитавани чрез външни механизми за контрол, сегментация, наблюдение и непрекъсната проверка на достъпа.

26 дейности като практически път към Zero Trust

Рамката Zero Trust на Министерството на отбраната на САЩ включва седем основни стълба и 45 способности, които определят необходимите технически функции и изисквания за изграждане на архитектура с нулево доверие. Новите насоки на NSA определят 26 дейности с високо въздействие, които превеждат тези изисквания в конкретни действия за намаляване на риска в наследени OT среди.

Приоритетите обхващат управлението на потребителите и устройствата, защитата на данните, мрежовата сигурност, приложенията и работните натоварвания, както и видимостта и анализа на събитията.

Сред основните направления са:

• ограничаване и защита на отдалечения достъп;
• защита на OT данните и криптиране на комуникациите;
• поддържане на точен инвентар на индустриалните активи;
• непрекъснато наблюдение на мрежовите връзки и подобряване на видимостта;
• използване на разузнавателна информация за киберзаплахи;
• укрепване на интелигентните контролери;
• сегментация и наблюдение на мрежи, системи и устройства;
• защита на инженерните работни станции и интерфейсите човек-машина;
• укрепване на Active Directory и контролерите на домейни;
• безопасна проверка и оценка на приложените Zero Trust механизми.

Целта е критичните активи да бъдат поставени в защитени сегменти или среди, чиито правила за достъп и комуникация се контролират независимо от възможностите на самото наследено оборудване.

Отдалеченият достъп е сред първите приоритети

NSA препоръчва премахване на директните интернет връзки към OT средите, когато това е възможно. Когато отдалеченият достъп е необходим за поддръжка или управление, той трябва да бъде ограничен до предварително одобрени потребители, устройства и конкретни задачи.

Сред препоръчаните мерки са многофакторна автентикация, устойчива на фишинг, принципът на най-малките привилегии и управление на привилегирования достъп. Особено внимание трябва да се отделя на връзките на външни доставчици и сервизни организации, които често изискват достъп до индустриални системи за диагностика, конфигуриране и ремонт.

Принципът Zero Trust означава, че самоличността на потребителя или устройството не е достатъчно основание за доверие само защото връзката идва от вътрешната мрежа. Всеки опит за достъп трябва да бъде оценяван според самоличността, състоянието на устройството, предоставените привилегии и контекста на заявката.

Когато наследените устройства не могат да изпълняват съвременни агенти за проверка на състоянието, могат да се използват междинни защитни шлюзове и прокси механизми. Така контролът се реализира на ниво мрежа и достъп, без да се налага промяна на хардуера или софтуера на самия индустриален актив.

Видимостта започва с точен инвентар на активите

Не може да бъде изградена надеждна политика за достъп, ако организацията не знае кои устройства присъстват в средата, каква функция изпълняват и с кои системи комуникират.

NSA препоръчва поддържане на актуален инвентар, който включва функцията, критичността, изискванията за сигурност и комуникационните зависимости на всеки актив. Трябва да бъдат определени отговорни лица за поддържането му, а информацията да се съхранява в защитено и авторитетно хранилище – централизирано или федеративно.

Последователните правила за именуване и документирането на зависимостите между системите са важни за изграждането на работещи политики Zero Trust. Те позволяват да се установи дали дадена комуникация е необходима за индустриалния процес, или представлява отклонение от нормалното поведение.

Постоянното наблюдение трябва да се използва за установяване на базови модели на комуникация и откриване на необичайна активност. NSA препоръчва също включване на подходяща информация за заплахите в системи за управление на събитията и информацията за сигурността (SIEM), а при приложимост – интегриране с платформи за оркестрация, автоматизация и реакция при инциденти (SOAR).

Интелигентните контролери изискват външна защита

Програмируемите и интелигентните контролери са ключовата връзка между цифровата среда и физическите процеси. Компрометирането им може да доведе до промяна на технологични параметри, прекъсване на производството или опасни отклонения в работата на оборудването.

Проблемът е, че много наследени контролери не разполагат с вградени механизми за сигурност, сравними със съвременните решения в корпоративните ИТ среди. NSA препоръчва използване на външни Zero Trust контроли, които ограничават кой и при какви условия може да комуникира с тях.

Първите стъпки включват активиране на наличните защитни функции, проверка на конфигурациите спрямо одобрената функционалност и логика на процеса, промяна на фабричните пароли и изключване на несигурните услуги, когато това е възможно.

Достъпът за промяна на конфигурацията трябва да бъде ограничен, а режимът само за четене да се използва, когато е достатъчен за конкретната задача. Промените в настройките трябва да се записват и наблюдават, а неизползваната логика и функции да бъдат изключвани, когато това не застрашава процеса.

Актуализациите остават важни, но изискват специален подход. NSA препоръчва използване на тестови среди, планиране на прозорци за поддръжка с ниско въздействие и приоритетно коригиране на най-изложените контролери. Когато незабавното инсталиране на корекция не е възможно, трябва да се прилагат компенсиращи мерки, като сегментация, ограничаване на достъпа и засилено наблюдение.

Инженерните станции и интерфейсите човек-машина също са критични

Инженерните работни станции се използват за програмиране, конфигуриране и диагностика на индустриалното оборудване. Интерфейсите човек-машина (HMI) позволяват на операторите да наблюдават процесите и да управляват свързаните системи.

Компрометирането на тези компоненти може да даде на нападателя възможност да променя конфигурации или да получи достъп до контролери, без да атакува директно самия контролер.

Затова NSA поставя акцент върху ограничаването на привилегиите, разрешаването на достъп само за одобрени потребители и непрекъснатото наблюдение на дейностите. Защитата трябва да обхваща не само самите работни станции, но и техните комуникационни пътища към контролерите, сървърите и останалите OT компоненти.

Укрепването на Active Directory и контролерите на домейни е друг важен елемент, особено в хибридни среди, където корпоративната ИТ инфраструктура и индустриалните системи споделят механизми за идентичност и удостоверяване.

Сегментацията ограничава разпространението на атаките

NSA разглежда мрежовата сегментация като основен механизъм за ограничаване на въздействието при компрометиране. Системите трябва да бъдат разделени според функцията, критичността и необходимите комуникационни зависимости, така че пробив в един сегмент да не предоставя автоматичен достъп до останалите.

Този подход може да се приложи чрез защитни шлюзове, специализирани мрежови устройства, микро-сегментация и контролирани комуникационни тунели. Когато индустриалните протоколи не поддържат криптиране, чувствителните данни трябва да бъдат защитени чрез подходящи междинни механизми, включително защитени шлюзове или изолирани среди.

Мерките са особено важни при атаки, насочени към водоснабдителни и канализационни системи и енергийни съоръжения. Според документа някои нападатели са използвали неправилно конфигуриран отдалечен достъп, слабости в наследени устройства и фабрични пароли, за да достигнат до програмируеми логически контролери (PLC).

В насоките се посочват и действия на свързани с Иран участници, насочени към PLC устройства в сектора на водоснабдяването и отпадъчните води. Подобни случаи показват как недостатъчно защитени устройства, изложени директно в интернет, могат да създадат риск за физическите процеси, които управляват.

ИИ може да ускори атаките срещу индустриалните системи

NSA предупреждава, че развитието на усъвършенствани системи с ИИ може да увеличи скоростта и мащаба на атаките срещу OT среди. Според документа напреднали модели биха могли да подпомагат автоматизираното откриване на неизвестни уязвимости, разработването на експлойти, създаването на убедителни фишинг кампании и оптимизирането на пътищата за проникване през сложни цифрови и физически свързани среди.

Това е оценка за развиващ се риск, а не доказателство, че всяка от тези способности вече се използва широко в реални атаки срещу индустриални системи. Практическото значение обаче е ясно: защитата не може да разчита само на предварително известни индикатори за компрометиране или на периодични проверки.

Непрекъснатата проверка на потребители, устройства, приложения и автоматизирани процеси, съчетана с наблюдение и политики за достъп, може да ограничи възможностите на нападателите да запазват достъп и да се придвижват между системите.

Проверки без риск за производството

Едно от важните предупреждения в документа е, че активното тестване може да наруши работата на чувствителни индустриални системи. Сканиране, промяна на настройки или изпращане на тестови команди към контролер може да доведе до непредвидимо поведение, ако оборудването не е проектирано да обработва подобни действия.

Поради това NSA препоръчва да се дават предимство на пасивните методи за оценка – одити на конфигурации, анализ на журналите и наблюдение на мрежовия трафик. Активните тестове трябва да се извършват само когато са необходими, след предварително одобрение и в планирани прозорци за поддръжка.

Документът предлага и пример за военна база, в която достъпът се предоставя след удостоверяване на персонала и устройствата, а състоянието на устройствата се проверява чрез механизми от типа Comply to Connect. Привилегиите се предоставят за ограничен период и конкретна задача, а сегментацията и поведенческият анализ подпомагат откриването на необичайни действия. Например поведение, което се отклонява съществено от обичайния модел на работа на даден потребител, може да задейства допълнителна проверка или отнемане на достъпа.

Тези примери илюстрират принципа, че доверието не се предоставя безусловно и не остава постоянно само защото даден потребител или актив вече е бил удостоверен.

Zero Trust трябва да бъде съобразен с оперативния риск

Насоките на NSA показват, че Zero Trust може да бъде приложен и в среди, които не могат да бъдат модернизирани по начина, използван в корпоративните ИТ системи. За целта са необходими съчетание от технически контроли, ясна отговорност, оценка на риска и координация между специалистите по сигурност и операторите на процесите.

Ключовият принцип е наследеното оборудване да не бъде оставяно незащитено само защото не поддържа съвременни механизми за сигурност. Външните защитни шлюзове, сегментацията, контролирането на достъпа и непрекъснатото наблюдение могат да намалят риска, без да се налага незабавна подмяна на всички компоненти.

За операторите на критична инфраструктура практическата задача е да определят кои функции са най-важни за безопасността и непрекъснатостта на дейността, да установят най-уязвимите активи и да приложат защитните мерки в правилната последователност. Така Zero Trust се превръща не просто в технологична архитектура, а в начин за управление на достъпа и риска, съобразен с реалните ограничения на индустриалната среда.