I dette blogindlæg vil vi undersøge nødvendigheden af ​​hvidlister for sikkerheden i industrielle produktionsfaciliteter og de betingelser, der kræves for deres implementering.

Hvorfor er sikkerheden af ​​industrielt udstyr et problem?

Hurtige teknologiske fremskridt har altid utilsigtede konsekvenser. Begrebet "computer" rækker her ud over simple stationære computere og omfatter alle enheder – såsom mobiltelefoner, hæveautomater og produktionsudstyr – der bruger elektroniske kredsløb til at udføre højhastighedsberegninger, automatiseret styring og databehandling. Efterhånden som disse enheder er blevet introduceret i industrielle miljøer, er sikkerhedsproblemer blevet stadig mere alvorlige.
Især fabriksautomationsudstyr har traditionelt været betragtet som relativt sikkert, fordi det ofte drives på lukkede netværk isoleret fra internettet. Efter opdagelsen af ​​malware som Stuxnet – som specifikt var designet til at målrette industrielle systemer – gælder den konventionelle opfattelse af, at "lukkede netværk = sikkerhed" ikke længere. Denne hændelse vakte en voksende interesse for proaktive sikkerhedssystemer.

Traditionel tilgang: Begrænsninger ved sortlistning (reaktiv respons)

Den traditionelle tilgang, der anvendes i mange systemer til dato, er en reaktiv metode, der involverer registrering af detekterede angrebsmønstre og blokering af dem i overensstemmelse hermed. Denne tilgang, også kendt som signaturbaseret detektion, involverer forudprogrammering af mønstre for kendte trusler og blokering af dem, når de detekteres.
Selvom denne metode kan reagere hurtigt på kendte vira, er den magtesløs over for nye angrebsmønstre eller zero-day-sårbarheder. Desuden tager det typisk 24 til 72 timer at identificere malware og udvikle og implementere en antivirus-patch; de tab, som en virksomhed pådrager sig i løbet af denne tid, kan være katastrofale.

Hvad er en hvidliste?

En hvidliste er en proaktiv tilgang, der kun tillader autoriserede programmer at køre. Ligesom metaforen om at "skrive verificerede elementer på et blankt ark papir" tillader den kun forhåndsverificeret software og blokerer alle andre kørselsprocesser.
Da industrielt udstyr typisk kun udfører specifikke funktioner, er de programmer, der kræves til drift, begrænsede. Derfor forhindrer et system, der kun tillader autoriserede programmer, udførelse af unødvendig software ved kilden, hvilket reducerer risikoen for systemnedetid forårsaget af ukendte angreb betydeligt. Derudover, da det kun tillader et begrænset udførelsesomfang, er ressourceforbruget og driftsomkostningerne typisk lave.
Det er dog ikke nok blot at "køre et begrænset antal programmer" for at få en god hvidliste. For effektiv implementering skal flere betingelser være opfyldt.

Betingelser for en effektiv hvidliste

For det første skal en liste over godkendte ansøgninger indsamles automatisk og være tilgængelig for alle. Manuel registrering af ansøgninger én efter én er tidskrævende og kan føre til udeladelser på grund af menneskelige fejl.
For det andet, selvom centraliseret administration af hvidlisten bør muliggøre nem implementering og administration på tværs af enheder via netværket, skal den også være i stand til uafhængig implementering og drift på enheder, der ikke er forbundet til netværket. Det er afgørende, at individuelle enheder opretholder normal drift, selvom den centrale enhed svigter.
For det tredje bør hvidlisten ikke udelukkende baseres på en statisk liste, men skal genereres og vedligeholdes dynamisk. Hvis nye programmer skal tillades for at sikre normal drift af udstyr, bør de automatisk integreres eller effektivt godkendes af en administrator.
For det fjerde skal overheadomkostningerne være lave for at fungere problemfrit, selv på simpelt fabriksudstyr. Med andre ord må selve sikkerhedsfunktionen ikke forbruge for mange ressourcer eller forstyrre systemdriften.

Fremtidige udfordringer og anbefalinger

Selvom hvidlistning er en yderst nyttig tilgang til sikkerhed i industrielle faciliteter, må vi ikke glemme, at angreb udvikler sig også i takt med at sikkerhedsteknologierne udvikler sig. Derfor er vi nødt til at gå ud over blot at anvende hvidlister og stræbe efter løbende forbedringer og forfining.
Mulige forbedringstiltag omfatter etablering af et cloudbaseret system til deling af trusselsinformation, implementering af big data-teknikker til analyse af angrebsmønstre og implementering af sikre synkroniserings- og nedlukningsforanstaltninger mellem centrale systemer og endpoints. Parallel implementering af disse tiltag vil bringe os et skridt tættere på at sikre uafbrudt drift af produktionsfaciliteterne.
Afslutningsvis har det klare begrænsninger at udelukkende stole på reaktive foranstaltninger, når det kommer til sikkerheden i produktionsfaciliteterne. Praktiske forebyggende effekter kan kun opnås, når en veludformet hvidliste kombineres med en understøttende operationel og ledelsesmæssig ramme, og når kontinuerlig overvågning og informationsdeling sikrer stabil langsigtet drift.