Отчёт CISA: Препятствия на пути к безопасной аутентификации в системах OT

CISA исследует препятствия для безопасной аутентификации в системах OT

Агентство по кибербезопасности и защите инфраструктуры США (CISA) опубликовало новое руководство под названием «Barriers to Secure OT Communication: Why Johnny Can’t Authenticate» (Препятствия для безопасной связи в OT: почему Джонни не может аутентифицироваться). В документе рассматриваются устойчивые проблемы обеспечения безопасности устаревших протоколов операционных технологий (OT). Отчёт подготовлен при участии производителей оборудования OT и организаций по стандартизации и анализирует причины недостаточного использования передовых технологий аутентификации в промышленных средах, несмотря на известные риски безопасности.

Технический контекст и ключевые выводы

В руководстве основное внимание уделяется устаревшим протоколам OT, изначально небезопасным по дизайну, которые разрабатывались без современных механизмов защиты, таких как шифрование или аутентификация. Исследование CISA, основанное на интервью с владельцами и операторами активов OT, выявляет системные барьеры, препятствующие широкому внедрению безопасных альтернатив, включая:

• Зависимость от устаревших систем: Многие системы промышленного управления (ICS) полагаются на устаревшие протоколы (например, Modbus, DNP3), которые не имеют встроенных механизмов аутентификации.
• Операционные ограничения: Простой для обновлений часто неприемлем в критически важных инфраструктурных секторах, таких как энергетика, водоснабжение и производство.
• Проблемы совместимости: Безопасные протоколы могут не интегрироваться бесшовно с существующей инфраструктурой OT, создавая пробелы в совместимости.
• Затраты и сложность: Внедрение аутентификации в устаревшие системы может потребовать значительных инвестиций в оборудование, программное обеспечение и обучение персонала.

Влияние на безопасность промышленных систем

В отчёте подчёркивается расширение поверхности атак в средах OT, где неаутентифицированные протоколы могут быть использованы для:

• Несанкционированного выполнения команд: Злоумышленники могут манипулировать промышленными процессами, отправляя поддельные команды.
• Латерального перемещения: Слабая аутентификация позволяет атакующим перемещаться из IT-сетей в OT-сети.
• Подмены данных: Незащищённые коммуникации могут быть перехвачены или изменены, что ставит под угрозу целостность процессов.

Выводы CISA подчёркивают необходимость приоритизации рисков при устранении уязвимостей в системах OT, особенно в секторах, где преобладают устаревшие системы.

Рекомендации для заинтересованных сторон

В руководстве предлагается владельцам активов OT, вендорам и организациям по стандартизации:

• Переходить на протоколы с безопасностью по умолчанию: Использовать современные стандарты (например, IEC 62351, OPC UA) со встроенной аутентификацией и шифрованием.
• Внедрять компенсирующие меры: Применять сегментацию сети, системы обнаружения вторжений (IDS) и непрерывный мониторинг для снижения рисков в устаревших средах.
• Сотрудничать в разработке стандартов: Взаимодействовать с отраслевыми группами (например, ISA, IEC) для создания совместимых рамок безопасности для OT.
• Инвестировать в обучение персонала: Развивать экспертизу в области безопасного развёртывания OT и реагирования на инциденты.

Отчёт CISA служит призывом к действию для промышленного сообщества устранить системные барьеры на пути внедрения аутентификации, балансируя между операционной устойчивостью и требованиями кибербезопасности.

Подробнее ознакомиться с руководством можно здесь.