Brandväggen skyddar inte OT

”Vi har en brandvägg mot internet, så OT är skyddat.” Tanken är trygg. Den är också fel: brandväggen behövs, men den skyddar sällan det man tror att den skyddar.

Var problemet sitter

En brandvägg vaktar gränsen mot internet. Men de flesta allvarliga incidenter i styrsystem börjar inte med ett direkt angrepp utifrån mot OT. De börjar på IT-sidan: ett mejl, en läckt inloggning, en sårbar server. Därifrån tar de sig vidare, och om nätet är platt finns det inget som hindrar dem.

Tre saker gör det värre:

• Ett platt nät. Den som tagit sig in på ett ställe kan nå nästan allt annat. Brandväggen mot internet gör ingenting åt rörelsen på insidan.
• IT och OT hänger ihop mer än ritningen visar. En bortglömd koppling, en delad server, en fjärråtkomst som en leverantör fick för länge sedan.
• OT tål inte att stängas av. Ett styrsystem kan sällan uppdateras eller startas om som en vanlig server, så gamla svagheter blir kvar länge.

Brandväggen är väggen runt huset. När någon väl är inne är det dörrarna på insidan som avgör hur långt de kommer.

Det som skyddar OT

Svaret är segmentering. Att dela in nätet i zoner och kontrollera varje övergång mellan dem, så att ett intrång på IT-sidan stannar vid gränsen i stället för att nå processen. Det är grunden i IEC 62443, den internationella standarden för OT-säkerhet: dela in i zoner och tillåt bara styrda förbindelser mellan dem (så kallade conduits).

I praktiken:

• Kartlägg var IT och OT faktiskt möts. Nästan alltid fler ställen än man tror.
• Dela in i zoner och kontrollera varje övergång. Bara det som ska passera får passera.
• Håll koll på fjärråtkomst, särskilt leverantörers, och logga den.
• Kontrollera att segmenteringen håller i praktiken, inte bara på papperet.

En sak till: OT rör man inte med aktiv skanning. Vi validerar segmenteringen passivt, genom att observera om trafiken faktiskt hålls isär, utan att röra de känsliga systemen.

Så tänker vi

En brandvägg är nödvändig, men den är början, inte skyddet. Vi hjälper er se om IT och OT är åtskilda, och belägga det, utan att störa driften.

Vill ni veta om er segmentering håller? Hör av er.

Ramverk: IEC 62443 (zoner och conduits).