Olası Güvenlik Sorunları
Sistem düzeyinde, PLC ve DCS savunmasız hedeflerdir ve her ikisi de kendi otomasyon süreçlerinde çalışan temel mantığı kontrol eden yazılımı çalıştırdığı için potansiyel olarak kötü niyetli saldırıların hedefidir. Kötü niyetli bir saldırgan, yazılımın kontrolünü ele geçirmek ve sistemleri kapatmak veya başka tür tahribatlar elde etmek isteyebilir.
Endüstriyel sistemler, BT sistemlerine kıyasla dış saldırılardan nispeten etkilenmemiş olsa da, bu endişe verici bir yükseliş eğilimidir. Gerçekten de, endüstriyel hedeflere yönelik bildirilen saldırıların sayısı son birkaç yılda önemli ölçüde arttı. ISC-CERT, 2010’dan beri saldırı ortamını izliyor ve beş yıl içinde açıklardan yararlanma, güvenlik açıkları ve diğer güvenlik endişeleriyle ilgili yaklaşık 800 tavsiye bildirdi.
Bu, elbette, örneğin Android mobil cihazlarını veya PC’lerde ve sunucularda Windows işletim sistemini hedef alan açıklardan yararlanma düzeyiyle ilgilidir. Ancak, nükleer enerji santrali, petrol sondaj kulesi veya petrokimya rafinerisi gibi bir endüstriyel komplekse yönelik kötü niyetli bir saldırının potansiyel sonuçları, feci can kayıplarıyla yıkıcı olabileceğinden, kesinlikle göz ardı edilebilecek bir şey değildir.
ICS-CERT, yalnızca 2014 yılında 245 şüpheli güvenlik açığıyla ilgilendi; ancak bunlar yalnızca bildirilen sorunlardır ve endişe verici bir şekilde, istismarın temel nedeninin belirlenemediğini, dolayısıyla güvenlik açıklarından şüphelenildiğini tespit ettiler.
ICS-CERT’nin saldırı vektörünü veya saldırının kaynağını belirleyememesinin nedeni, güvenliği ihlal edildiğinden şüphelenilen OT sistemlerinin genellikle algılama ve loglama yeteneklerine sahip olmamasıdır.
Bir OT ağındaki tüm OT ve ICS sistemleri, tasarımlarının özünde erişim kurallarını belirleme, kimlik doğrulama, yetkilendirme ve uygulama yeteneklerine sahip değildir. Satıcılar bu sorunları en son ürünlerinde ele almaktadır, ancak halihazırda dağıtılan ürünlerin uzun yaşam döngüsünü unutmayın.
Ancak, neyi koruduğunuzu bildiğiniz herhangi bir ağın güvenliğini sağlamak çok önemlidir. Örneğin, bir üretim tesisinde ağdaki her sensörü veya düğümü tanımlayabilmeli ve yönetebilmelisiniz. Benzer şekilde, akıllı şehir ağınızdaki her düğümün veya sensörün, bir davetsiz misafir tarafından yerleştirilmiş bir rouge cihazı değil, sizinkilerden biri olmasını nasıl sağlayabilirsiniz? Ağı korumak için ağdaki her düğümü tanımlayabilmeli, doğrulayabilmeli ve yönetebilmeliyiz ve bunun için IAM’ye (tanımlama ve erişim yönetimi) ihtiyacımız var.
Kimlik Erişim Yönetimi
Kurumsal BT’de, BYOD (kendi cihazını getir) gibi girişimler tarafından teşvik edilen tüketici cihazlarının işyerine yayılması nedeniyle IAM (kimlik Erişim Yönetimi) gereksinimi bir öncelik haline geldi. BYOD’nin büyük tepkisi ve alımı ile birdenbire, ağlarına erişen tüm bu çalışan cihazlarını, akıllı telefonları, tabletleri, dizüstü bilgisayarları ve hatta giyilebilir IoT cihazlarını tanımlayamadıkları için BT’nin elinde gerçek bir sorun oluştu.
Ancak BT, politika ve güvenlik şablonlarını belirlemek ve Google arama, haritalar ve hatta Facebook gibi web ölçekli uygulamalar ve platformlar gibi devasa çevrimiçi sosyal medya sistemlerine uygulamak için cep telefonu teknolojisini kullandı.
Önceki örnekte, güvenliğin havacılık, nükleer enerji, elektrik şebekeleri, sağlık hizmetleri ve araç otomasyonu gibi diğer endüstri akışlarını etkilediği sayısız endüstriyel örnekten üretim yapmayı düşündük.
Devasa yolcu uçağı Airbus A380’in gelişimini, finansal açıdan en donanımlı üretim projesinin bile protokolleri ve standartları karıştırmaya ve eşleştirmeye nasıl zorlanabileceğinin bir örneği olarak düşünün.
Airbus A380 örneği, proje bütçesinin milyarlarca ABD doları olması ve tek bir uçağın fiyatının 428 milyon dolar olması nedeniyle önemlidir. Yine de, burada garip olan şey şudur – tasarımcılar, muhtemelen tasarlamak ve ileriyi planlamak için yıllarca uğraşan ve belki de gerekli bileşenleri yeniden tasarlamak veya yeniden tasarlamak için sözleşmeler yapmak için yeterli bütçeye sahip olan tasarımcılar, yine de birden fazla ağa sahip bir uçak fırlatmayı başardılar.
A380, video, müzik ve uçak içi Wi-Fi için IP ve Ethernet’i desteklediği kadar son teknoloji bilgi-eğlence sistemleriyle piyasaya sürüldü. Bununla birlikte, uçuş kontrol sistemleri için, endüstride kanıtlanmış olduğu için fiziksel topoloji olarak geleneksel CAN veri yolu ile kaldı, ortak bir arayüz ve iletişim verimi 125-500Kbps ile sınırlı olmasına rağmen, performans belirleyici olduğu için yeterliydi.
Bununla birlikte, A380’de ayrıca VHF telsiz ekipmanını desteklemek için kokpite kurulu eski bir veri yolu ağı vardı. Bunun nedeni, tüm VHF telsiz ekipmanlarının standart VHF arayüzleri ile gelmesiydi; tıpkı IT ekipmanlarının ortak Ethernet bağlantılarıyla gelmesi gibi. Sonuç olarak Airbus tasarımcıları, bakım karmaşıklığını artırabilecek olsa da, standart ekipman ve arayüzleri kullanmak için pragmatik bir karar verdiler, kesinlikle daha az maliyetli olacak ve geliştirmeyi hızlandıracaktı.
A380’deki ve yüksek performanslı otomobiller ve uçaklardaki bir başka ilginç tasarım öğesi, insan makine arayüzünün neredeyse her zaman analog olması ve gösterge panolarının doğru dijital sayısal ekranlar yerine kadranlar ve iğneler olarak görüntülenen belirsiz okumaları kullanarak bilgileri göstermesidir.
Bunun nedeni, insanların analog dünyayı dijital dünyadan daha hızlı anlamalarıdır. Bir sürücü veya pilot, belki de düzinelerce kadranı olan bir gösterge paneline bakabilir ve bir kadranın kırmızı renkte, sınırının en uç noktasını gösterdiğini hemen fark edebilir.
Dijital ekranlarla, sürücü veya pilotun dijital bilgileri, örneğin yağ basıncı okuması ve hesaplaması ve ardından bu verileri zihinsel olarak girmesi ve zaman ve bilgi gerektiren güvenli limitler konusundaki anlayışıyla karşılaştırması gerekir.
Sonuç olarak, insan makine arayüzlerindeki verilerin görselleştirilmesi, analog ekranları taklit eden grafiksel olarak, daha az doğru ancak daha hızlı özümsenecek analog formatta gösterilme eğilimindedir.
Her ikisi de onlarca yıldır çok iyi hizmet veren denenmiş ve test edilmiş CAN veri yolu yerine IP ve Ethernet’i benimseyen uçaklar ve yüksek değerli arabalar, gelişmiş kötü amaçlı yazılımlara ve açıklardan yararlanmaya karşı savunmasız olma sorununa da sahiptir.
Örnek olarak, Modbus, Devicenet, Profibus, CAN bus ve diğer endüstriyel ağ topolojileri, erişilemezlikleri (uzaktan İnternet bağlantısı ve benzersiz protokoller olmaması) nedeniyle çoğu modern kötü amaçlı yazılıma karşı nispeten bağışıktır, dolayısıyla bu seri veri yolu teknolojilerine siber saldırılar Nadir.
Ancak, Ethernet ve IP ile durum böyle değil. Bazıları, Ethernet ve IP özellikli kontrol sistemlerinin, yirmi yıl boyunca bilgisayar saldırılarının oluşturduğu geniş bir bilgi birikimi avantajına sahip olduğunu ve veritabanlarının kaydedilmiş güvenlik açıkları, bilinen açıklardan yararlanma, kusurlar ve azaltma teknikleriyle dolu olduğunu iddia edecek olsa da, bunlar kabul edilir.
Bununla birlikte, bu her iki şekilde de çalışır: Son teknoloji ürünü olmayan veya özenli güvenlik önlemleriyle korunan Ethernet ve IP sistemleri, uzun yıllar boyunca geliştirilmiş ve test edilmiş çok sayıda açıktan yararlanma ve saldırıya açıktır. OT ortamlarının, basitçe bilinmeyen veya işletmede arkaik kabul edilen protokoller ve teknolojiler içereceğini unutmamak önemlidir.
Bunun nedeni kısmen endüstriyel varlıkların uzun kullanım ömrü, kablolama varlık maliyetinin azaltılması, verimlilik ve basitlik ve hiç de küçük olmayan bir şekilde kötü amaçlı yazılım gibi yaygın İnternet tehditlerine karşı göreceli bağışıklıktır. Sonuç olarak, Ethernet ve IP, OT ortamlarına nüfuz ediyor olsa da, iletişim protokolleri söz konusu olduğunda, field bus teknolojileri hala endüstriyel ortama hakimdir ve bunu uzun yıllar boyunca sürdürecektir.