Výrobní stroje, řídicí jednotky, senzory, kamery, přístupové systémy nebo technologie budov jsou připojené k síti stejně jako počítače a servery. Jejich správa však bývá složitější. Často na ně nelze instalovat bezpečnostního agenta, aktualizace závisí na výrobci a jejich odstavení může přerušit provoz.
V praxi nejde jen o IoT. Stejný problém se týká průmyslových zařízení, provozních technologií OT, systémů budov i zdravotnických přístrojů. Spojuje je přímá vazba na fyzický provoz firmy a dlouhý životní cyklus zařízení.
1. Zařízení, o kterých firma neví
Nová kamera se připojila při rekonstrukci areálu. Servisní firma doplnila komunikační bránu k chlazení. Součástí výrobního stroje je průmyslový počítač, který se nikdy nedostal do centrální evidence.
Zařízení funguje, ale chybí v inventáři. Není jasné, kdo za něj odpovídá, jaký používá firmware ani s čím komunikuje. Při bezpečnostním incidentu se nejprve musí zjistit, kde se nachází, co ovládá a zda jej lze odpojit.
NIST proto řadí jednoznačnou identifikaci zařízení mezi základní bezpečnostní schopnosti. Bez spolehlivé evidence se obtížně navazuje správa zranitelností, řízení přístupů i monitoring sítě. (nvlpubs.nist.gov)
2. Zastaralé systémy bez dostupné opravy
Notebook lze po několika letech vyměnit. Výrobní stroj, laboratorní přístroj nebo řídicí systém budovy může fungovat deset i více let. Operační systém uvnitř přitom ztratí podporu mnohem dříve.
Patch nemusí existovat. Jindy jeho instalaci podmiňuje souhlas výrobce nebo odstávka navazujícího procesu. NIST sice považuje bezpečný mechanismus aktualizace za jednu ze základních schopností IoT zařízení, ne každá starší technologie jej ale nabízí. (nvlpubs.nist.gov)
Co se zařízením, které nelze aktualizovat? Riziko se musí omezit jiným způsobem. Pomůže oddělení do samostatné síťové zóny, povolení pouze nezbytné komunikace, zpřísnění přístupu a podrobnější dohled. Zařízení pak může zůstat v provozu do plánované opravy nebo výměny.
3. Výchozí hesla a nevhodná konfigurace
Řada problémů vzniká už při instalaci. Výchozí účet zůstane aktivní, nepotřebná služba dál naslouchá v síti nebo zařízení skončí ve stejné VLAN jako kancelářské počítače.
Takové nastavení může fungovat roky bez viditelného problému. Riziko se projeví až ve chvíli, kdy někdo zneužije známé přihlašovací údaje nebo otevřené rozhraní.
Případová studie kanadských zdravotnických organizací PHSA a FHA popisuje zařízení umístěná v nesegmentovaných nebo nezabezpečených VLAN. U nového objektu dětské nemocnice vzniklo 28 doporučení – od změny výchozích hesel po zavedení patch managementu. Všechna byla schválena. (Claroty)
4. Plochá síť usnadňující šíření útoku
Síťová infrastruktura se mění postupně. Výrobní systém potřebuje data z podnikového serveru, systém budovy komunikuje s cloudem a dodavatel vyžaduje vzdálený přístup. Starší pravidla přitom často zůstávají aktivní i poté, co už nejsou potřeba.
Kompromitované zařízení pak nemusí zůstat izolovaným problémem. Útočník může přes kameru, servisní bránu nebo řídicí jednotku hledat cestu k dalším systémům.
Segmentace musí vycházet ze skutečné komunikace, nikoli jen ze staré dokumentace. Claroty mapuje vazby mezi zařízeními a poskytuje podklady pro pravidla, která lze prosazovat pomocí stávajících firewallů, switchů nebo NAC řešení. (Claroty)
5. Vzdálený servis bez jasných hranic
Výrobci a servisní partneři potřebují přístup k technologiím kvůli diagnostice a údržbě. Problém vzniká, když technik dostane přes VPN přístup k celé provozní síti, používá sdílený účet nebo jeho oprávnění zůstane aktivní i po skončení práce.
Bez auditní stopy je navíc obtížné zjistit, kdo se připojil, ke kterému zařízení a co během relace změnil.
Bezpečný vzdálený přístup má být omezený na konkrétního uživatele, zařízení, čas a účel. Claroty Secure Access je určený právě pro kontrolu přístupů třetích stran k provozním technologiím. (Claroty)
6. Nedostatek dat a pozdní odhalení incidentu
Na běžném počítači sleduje EDR procesy, soubory a změny konfigurace. Na PLC, senzoru, kameře nebo analyzátoru takového agenta často nainstalovat nelze.
Zařízení může dál plnit svou funkci, i když začalo komunikovat s neznámou adresou nebo se změnil způsob jeho přístupu do sítě. Bezpečnostní tým se o problému dozví až podle následků.
NIST proto mezi základní schopnosti zahrnuje také přehled o kybernetickém stavu zařízení. Tyto informace pomáhají při detekci incidentů, vyšetřování kompromitace i řešení provozních problémů. (nvlpubs.nist.gov)
Claroty sleduje komunikaci zařízení a doplňuje upozornění o informace, o jakou technologii jde a jakou má vazbu na okolní systémy.
7. Ruční evidence a roztříštěná odpovědnost
Provozní zařízení často nemá jediného vlastníka. Technologii pořídil provoz, k síti ji připojilo IT, aktualizaci schvaluje výrobce a servis zajišťuje externí partner.
Informace jsou rozdělené mezi CMDB, tabulky, projektovou dokumentaci a zkušenosti několika zaměstnanců. Změna umístění nebo vyřazení zařízení se nemusí promítnout do všech evidencí.
PHSA a FHA před nasazením automatizovaného zjišťování vedly záznamy ručně. Claroty následně pomohla dohledat přehlédnuté infuzní pumpy a opravit nesrovnalosti u zařízení vedených jako vyřazená nebo přesunutá. (Claroty)
Společný inventář automaticky nevyřeší odpovědnosti, ale poskytne IT, bezpečnosti a provozu stejný obraz prostředí.
8. Technický problém s přímým dopadem na byznys
Výpadek řídicí jednotky může zastavit výrobní linku. Narušení skladové automatizace zpomalí expedici. Problém s chlazením ohrozí provoz datového centra. Nedostupnost zdravotnického přístroje může ovlivnit poskytování péče.
Kdy se technická zranitelnost mění v obchodní riziko? Ve chvíli, kdy kompromitace zařízení zasáhne dostupnost služby, bezpečnost lidí, kvalitu výroby nebo schopnost firmy plnit závazky.
Do rozhodování proto nestačí zahrnout pouze skóre CVE. Důležitá je síťová dostupnost zařízení, možnost zneužití, jeho komunikační vazby a význam pro provoz. Claroty Exposure Management tato data propojuje a doporučuje konkrétní postup nápravy. (Claroty)
Proč jsme do portfolia zařadili Claroty
Popsaná rizika nelze vyřešit jedním skenerem ani statickým seznamem zařízení. Firma potřebuje průběžný inventář, znalost síťové komunikace, hodnocení expozic a kontrolu vzdálených přístupů.
Proto jsme do portfolia System4u zařadili platformu Claroty. Doplňuje naše zkušenosti se správou zařízení a kybernetickou bezpečností tam, kde běžný endpoint management nestačí.
Platforma spojuje několik oblastí:
Přehled o prostředí
Claroty identifikuje zařízení a doplňuje dostupné informace o výrobci, modelu, operačním systému, firmwaru a komunikaci. Používá více metod zjišťování, aby se přizpůsobila různým typům sítí a citlivosti provozu. (Claroty)
Priority podle skutečného dopadu
Nalezené zranitelnosti propojuje s konkrétním zařízením, cestami útoku a provozním kontextem. Tým tak vidí, co lze opravit aktualizací, kde pomůže změna konfigurace a které zařízení je potřeba oddělit nebo plánovat k výměně. (Claroty)
Segmentace a ochrana zařízení bez patche
Mapa komunikace ukáže, které vazby jsou pro provoz nutné a které představují zbytečné riziko. Na těchto datech lze postavit segmentaci i kompenzační opatření pro zařízení, která zatím nelze aktualizovat.
Monitoring a řízený přístup
Claroty sleduje změny v komunikaci, doplňuje alerty o kontext zařízení a umožňuje řídit přístup servisních partnerů. Informace lze zapojit do stávajících bezpečnostních procesů a nástrojů. (Claroty)
Claroty v praxi
PHSA a FHA: přesnější evidence a lepší segmentace
Provincial Health Services Authority a Fraser Health Authority spravují rozsáhlé prostředí zahrnující 127 klinických lokalit a téměř 300 integrovaných pracovišť.
Ruční evidence vedla k nesrovnalostem a vládní audit upozornil na nedostatky ve sledování zdravotnických zařízení a segmentaci sítě. Claroty pomohla dohledat chybějící zařízení, opravit rozdíly v evidenci a odhalit systémy umístěné v nevhodných VLAN. Získaná data organizace využily při auditu i dalším projektu mikrosegmentace. (Claroty)
Případ ukazuje, že inventář není cílový stav. Hodnotu má až ve chvíli, kdy vede ke změně hesla, úpravě síťového pravidla nebo přesunutí zařízení do bezpečnější zóny.
Ohio State: méně ruční práce, rychlejší náprava
Ohio State University Wexner Medical Center řešilo backlog 11 000 CVE a stovky hodin ruční inventarizace a ad hoc patchování.
Cybersecurity Engineering Lead David Brown popsal přínos platformy stručně:
“Claroty’s ability to automatically identify and classify medical devices on our network has been a valuable feature.” (Claroty)
Po nasazení Claroty organizace podle případové studie:
- zkrátila čas věnovaný ruční inventarizaci o 70 %,
- snížila čas na řízení rizik a reakci u IoMT o 60 %,
- zvýšila nápravu CVE během roku o 76 %,
- identifikovala zařízení s odhadovanými náklady na výměnu 13 milionů USD.
Tým navíc snížil počet pracovníků věnujících se patchování ze tří na jednoho. Claroty uvádí odhadovanou roční úsporu přibližně 250 000 USD. (Claroty)
Kde se správa IoT uplatní
Ve výrobě pomáhá chránit PLC, HMI, průmyslové počítače a robotická pracoviště. V logistice se týká dopravníků, třídiček nebo automatických zakladačů. V budovách pokrývá HVAC, kamery, přístupové systémy či energetický management. Ve zdravotnictví a laboratořích přidává potřebný přehled o přístrojích, které nelze spravovat stejně jako běžný počítač.
Společným cílem není jen vyšší informační bezpečnost. Firma získává lepší kontrolu nad zařízeními, na kterých závisí její každodenní provoz.
Pomocí platformy Claroty navrhujeme a implementujeme řešení pro firmy, které chtějí získat kontrolu nad zařízeními ovlivňujícími jejich každodenní provoz.
