Популярната стратегия за сигурност решава различен проблем

През последното десетилетие концепцията Zero Trust се превърна в доминираща стратегия в киберсигурността. Основните ѝ принципи – никога не се доверявай, винаги проверявай, приемай, че компрометиране вече е възможно, и минимални привилегии – трансформираха начина, по който организациите управляват идентичности, достъп и движение на атакуващите в корпоративните мрежи.

В класическите IT среди този модел носи реални резултати:

• по-силна идентификационна защита

• по-строг контрол на достъпа

• значително намаляване на имплицитното доверие между системите

Но когато същият модел се прилага директно към IoT и индустриални OT системи, ефектът често е ограничен. Архитектурите изглеждат правилни, контролите са внедрени, но въпреки това се случват инциденти – често чрез системи, които изобщо не са били включени в модела на доверие.

Причината е фундаментална:
Zero Trust е създаден да управлява решения за достъп, докато повечето критични инциденти в OT се разпространяват чрез наследено доверие и споделени контролни механизми.

Фундаментален проблем: несъвместимост на моделите

Моделът Zero Trust предполага три ключови условия:

1. доверието е изрично дефинирано

2. сигурността е центрирана около идентичността

3. контролът може да бъде непрекъснато прилаган

IoT и OT системите нарушават и трите предпоставки още по дизайн.

В резултат на това защитата често се фокусира върху неправилните повърхности, докато най-критичните пътища за атака остават извън модела.

Сляпото петно на IoT и OT средите

Индустриалните и IoT инфраструктури имат три характерни особености, които създават постоянни пропуски в сигурността.

1. Ограничена видимост

В много случаи устройствата не се внедряват от екипите по сигурност, а от:

• инженери

• facility екипи

• външни интегратори

Инвентаризацията на активите почти винаги изостава от реалността. Освен това:

• телеметрията е ограничена или собственическа

• устройствата комуникират само при определени оперативни състояния

• дългите периоди на „тишина“ се интерпретират като нормална работа

CISA многократно предупреждава, че неконтролирани устройства, липса на видимост и остарели индустриални протоколи са сред най-честите слабости в IoT и OT средите.

2. Мрежите са плоски, дори когато изглеждат сегментирани

В индустриалните системи изолацията често е само на архитектурна диаграма.

Протоколи за откриване на устройства, споделени шлюзове и централизирани контролери създават скрити зависимости между системите. Така устройства, които никога не комуникират директно, могат да влияят едно на друго чрез обща инфраструктура.

3. Доверието е имплицитно и дълготрайно

Типични примери:

• устройства се доверяват на контролери, защото „винаги са го правили“

• контролери се доверяват на управляващи платформи, защото са „оторизирани“

• облачни услуги се доверяват на идентичности, записани във firmware

Тези отношения почти никога не се документират или преоценяват след внедряване.

Докато Zero Trust предполага, че доверието трябва постоянно да се проверява, OT системите са изградени върху предположението, че доверието остава валидно, докато нещо не се счупи.

Защо топологията не е достатъчен модел за сигурност

Екипите по сигурност традиционно анализират риска чрез мрежова топология:

• подсети

• firewall правила

• зони

• достъпни пътища

Този подход работи в класически IT среди, но се проваля при индустриални системи, защото компрометирането не се разпространява основно чрез маршрутизирани мрежови пътища.

За решаване на този проблем е предложен моделът Unified Linkage Model.

Той анализира риска чрез:

• функционални зависимости

• съседство между системите

• наследяване на компоненти

• разпространение на доверие

Две системи могат да бъдат напълно изолирани на мрежово ниво, но да бъдат функционално неразделни чрез:

• общ контролер

• протоколен шлюз

• централизирана платформа за управление.

Къде реално се движат атаките

Повечето атаки срещу IoT и OT системи не се развиват чрез кражба на идентичности или пробив на сегментация.

Те се разпространяват чрез:

• споделени контролери

• firmware

• механизми за обновяване

• платформи за управление

NIST от години предупреждава, че firmware, update услуги и споделена инфраструктура са основни източници на наследен риск.

След като бъдат компрометирани, тези компоненти автоматично разпространяват доверие в архитектурата, без да е необходимо странично придвижване или нови креденшъли.

Затова много инциденти започват от:

• системи за сградна автоматизация

• интерфейси за поддръжка

• услуги управлявани от доставчици.

От Zero Trust към картографиране на доверието

Zero Trust отговаря на въпроса:

„Кой има право да комуникира с коя система?“

Моделът Unified Linkage Model задава различен въпрос:

„Какво ще се промени, ако този компонент бъде компрометиран?“

ULM анализира три ключови типа връзки:

Съседство (Adjacency)
споделени контролери, шлюзове и протоколни преводачи.

Наследяване (Inheritance)
firmware, SDK библиотеки, update услуги и доставчици.

Разпространение на доверие (Trust propagation)
делегирано управление, имплицитна авторизация и дълготрайни идентичности.

Друг проблем: централизация на контрола

В OT системите прилагането на политики рядко се случва на всяко устройство.

Причината е, че индустриалните системи са оптимизирани за:

• детерминираност

• наличност

• безопасност

Контролните цикли не могат да чакат проверка на политики или повторна автентикация. Затова контролът се изнася към:

• gateway устройства

• платформи за управление

• облачни услуги.

Тези компоненти се превръщат в критични choke points. Ако бъдат компрометирани, те заобикалят всички downstream Zero Trust механизми.

Какво трябва да направят организациите

Това не означава, че Zero Trust трябва да бъде изоставен.

Означава, че той трябва да бъде прилаган в правилния контекст.

Организациите трябва да:

• картографират функционалните зависимости между системите

• идентифицират компонентите, които разпространяват доверие

• защитят приоритетно management planes и update механизмите

• оценяват доставчиците според това колко доверие наследяват в архитектурата

Истинският риск е това, което не се моделира

Zero Trust е ефективен модел за контрол на достъпа.

Но той не обяснява как се разпространява компрометирането след като доверието вече съществува.

В OT средите именно тази разлика често определя мащаба на инцидента.

Модели като Unified Linkage Model добавят липсващия слой анализ, като правят видими:

• функционалните зависимости

• наследеното доверие

• невидимата архитектура на индустриалните системи.

Проблемите със сигурността в IoT и OT не продължават, защото липсват технологии.

Те продължават, защото много защитни модели вече не отразяват реалната архитектура на индустриалните системи.