IT と OT のセキュリティを統合する、パート 2: BAS と Purdue モデル

ホーム » セキュリティ ブロガー ネットワーク » IT と OT セキュリティの統合、パート 2: BAS と Purdue モデル

思想的リーダーシップ

2023 年 6 月 6 日

この新しいブログ シリーズでは、統合 IT/OT 環境の進化とセキュリティ管理検証への影響について学びます。

オペレーショナル テクノロジー (OT) 環境での BAS の使用に関する最初の投稿では、典型的な統合型 IT/OT ネットワークの概要、産業資産所有者にとってサイバー リスクの増加を引き起こしている傾向、およびその方法についての概要を説明しました。 BAS は、統合環境全体の可視性と保護を向上させるのに役立ちます。 この更新では、これらのユースケースで BAS が提供する利点について説明し、パーデュー モデルを使用して、BAS が IT/OT 統合アーキテクチャのどこにどのように適合するかについて詳しく説明します。

Purdue モデルは、OT セキュリティをサポートする方法で産業用制御システム (ICS) ネットワーク アーキテクチャを構築するための標準として一般に受け入れられており、ネットワークの層を分離して層間のデータの階層的なフローを維持するため、 API 1164、ISA/IEC 62443、NIST 800-82 など、多くの産業用制御システム フレームワークのベースライン アーキテクチャ要件。

Purdue は、ICS アーキテクチャの典型的な要素がどのように相互接続し、ビジネス システム (IT ネットワーク) と産業用制御システム (OT ネットワーク) を含む 6 つのゾーンに分割するかを示しています。 正しく実装すると、ICS/OT システムと IT システムの間に「エア ギャップ」を確立し、それらを分離して、組織がビジネスを妨げることなく効果的なアクセス制御を実施できるようにします。 そうは言っても、パーデューは OT ネットワーク アーキテクチャの画一的な処方箋ではありません。 他のネットワークと同様に、どの環境でも各層に独自のデバイスの組み合わせが存在します。

図1：基本的なパーデューモデル

Purdue モデルは 6 つのネットワーク レベルで構成され、各レベルに存在するシステムとテクノロジによって定義されます。 IT システムは上位 2 レベルを占め、OT システムは下位 3 レベルを占め、それらの間には集中した「非武装地帯」が存在します。 それぞれについて詳しく見てみましょう。

レベル 5/4: エンタープライズおよびビジネス ネットワーク

従来のパーデュー モデルでは別々でしたが、これら 2 つのレベルは一緒に IT 環境を構成するため、上記の基本モデルでは簡素化するために結合されています。 レベル 4 と 5 は、Active Directory、人事および文書管理システム、顧客関係管理 (CRM) プラットフォーム、社内電子メール、セキュリティ オペレーション センター (SOC) などの企業全体のサービスで構成されます。 また、工場の生産スケジュール、資材の使用、出荷、在庫レベルを管理するエンタープライズ リソース プランニング (ERP) などのサイト固有のサービスも含まれています。

このレベルのデバイスは、標準の IT ハードウェア、クラウド プラットフォーム、Windows や Linux などの既製のオペレーティング システムを利用します。

レベル 3.5: IT/OT 非武装地帯 (DMZ)

IT ネットワークに配置された DMZ は企業ネットワークをインターネットから分離する役割を果たしますが、OT ネットワークに配置された DMZ は企業ネットワークから産業用ネットワークを分離する役割を果たします。 OT 側からのビジネス データに対する需要が増加し、その逆も同様であるため、管理者は DMZ を介してこれら 2 つのレベルを接続する必要がありました。

この層のデバイスは、標準の IT ハードウェア、クラウド、ソフトウェアも実行しています。

レベル 3: オペレーション システム

このレベルには、製造現場での生産ワークフローを管理するための監視、監督、運用サポートが含まれます。 これらには、製造運用管理/製造実行システム (MOMS/MES) を実行するエンジニアリングおよび運用ワークステーション、運用プロセス データを保存および分析するデータ ヒストリアンが含まれます。

この層は通常、標準の IT、クラウド、モバイルのハードウェアと OS 上で実行される特殊な運用管理アプリケーションで構成されます。

レベル 2: 監視システム

レベル 2 には、機能、タイプ、またはリスクに基づいてプロセスのグループを制御する監視制御およびデータ収集 (SCADA) システムが含まれています。 このレベルには、オペレータがコントローラと対話するためのヒューマン マシン インターフェイス (HMI) デバイスも含まれます。

この層は通常、標準のクラウドまたは OS プラットフォーム上で特殊なアプリケーションを実行する工業化された IT またはモバイル ハードウェアで構成されます。

レベル 1: プロセス制御システム

プロセス制御レベルには、分散制御システム (DCS)、プログラマブル ロジック コントローラー (PLC)、リモート ターミナル ユニット (RTU) などのデバイスと、運用プロセスを実行する物理デバイスを監視してコマンドを送信する安全システムが含まれます。

このレベルのハードウェアとオペレーティング システムは、より専門化されています。 独自のハードウェアとソフトウェアが一般的ですが、これらはソフトウェアの更新や変更に対して非常に敏感になる可能性があります。

レベル 0: 物理プロセス デバイス

この最下位レベルには、運用プロセスを実行するすべてのデバイスが含まれます。 これらには、アクチュエーター、バルブ、ポンプのほか、カメラやモーション センサーなどの IIoT デバイスが含まれる場合があります。

これらのデバイスは通常、特定のタスクに特化しており、フィールドバスなどのプロトコルを使用して命令を受け取り、データを送信するように設計されています。

IT/OT ブログ シリーズのパート 1 で述べたように、ほとんどの OT 攻撃は IT ネットワークを侵害することから始まります。 したがって、OT セキュリティ戦略においては、IT ネットワークと OT ネットワークを同じパズルの 2 つのピースとして考えることが重要です。 OT 環境自体の脆弱性だけでなく、攻撃者が IT ネットワークを侵害して横断して情報を収集し、より深い OT 制御および安全システムへの横方向のアクセスを取得する方法にも対処する必要があります。

これまで、運用チームは、ソフトウェアの更新や構成の変更によって稼働時間や生産性が危険にさらされる可能性があるという懸念から、すべての OT 資産を管理してきました。 そのため、セキュリティ チームは OT 環境の可視性が低く、適切なセキュリティ制御を実装または更新できませんでした。

デジタル トランスフォーメーションにより IT-OT の障壁が打ち破られるにつれ、多くの産業企業は現在、IT/OT 環境を深く統合しており、セキュリティ チームはこの拡張されたネットワーク全体にわたるサイバー リスクの管理を担当しています。

次に、セキュリティ チームがこの組み合わせた環境全体でセキュリティ管理を評価および検証する全体的な視点を得るのに BAS がどのように役立つかを見てみましょう。

BAS プラットフォームは、拡張 OT/IT ネットワーク全体で現実世界の攻撃をシミュレートすることで、セキュリティ制御を検証し、脆弱な攻撃パスを特定し、セキュリティ チームと運用チームが優先順位を付けて修復を迅速化できるように支援します。

BAS プラットフォームは、運用システムのクローン上でシミュレーションを実行することで、OT ネットワークを中断の危険にさらすことなく攻撃シナリオを実行します。 シミュレーションは、ドリフトを特定し、新しい攻撃方法に対してテストするために、ユーザーが望むだけ実行できます。 最近の KPMG 調査では、業界組織の 80% が ICS セキュリティ評価を年に 1 回以下しか実行していないことが示されているため、これは特に OT 資産所有者に関係します。

パーデュー モデルに戻り、以下では、SafeBreach BAS プラットフォームが展開される場所をアーキテクチャに重ねて示します (環境はすべて異なるため、これは単なる一般的な例です)。

レベル 4/5 では、攻撃シミュレーターを一般的な企業のデスクトップ、ラップトップ、およびサーバーに展開しています。 そして、コンテンツ サーバーと外部攻撃者が SOC に展開されます。 このレベルでは、SafeBreach のシミュレートされた攻撃により、エンドポイント セキュリティ制御、ファイアウォール検出ルール、アクセス制御リスト (ACL) ルールが検証され、イベントが SIEM によってログに記録されていることを確認します。

このレベルおよびそれ以下のすべてのレベルでの攻撃シミュレーションでは、機密データやシステムの完全性が危険にさらされることは決してないことに注意することが重要です。 SafeBreach のシミュレータは、シミュレータ上およびシミュレータ間で攻撃シミュレーションのみを実行し、実際の実運用システムでは実行しません。

IT/OT DMZ (レベル 3.5) では、シミュレータはこのレベルへのアクセスを規制するファイアウォールをテストするとともに、ジャンプ ホスト (おそらく Linux ベース) の制御を検証して、下位の OT レベルへのリモート アクセスが安全であることを確認します。

レベル 2 と 3 では、現在、OT ネットワークにしっかりと参加しています。 OT ネットワーク エンドポイントについて考えるとき、多くの人は生産プロセスを直接制御する PLC や RTU ユニットなどの特殊な資産を思い浮かべます。 しかし、OT 環境であっても、侵害の危険が最も高い資産は、Windows または Linux 環境を実行している可能性が高いエンジニアリング ワークステーションと HMI です。 OT エンドポイントは IT ネットワーク上のエンドポイントとは異なるセキュリティ制御や構成を備えていることが多いため、攻撃シミュレーションにこれらの資産を含めることが重要です。

ただし、これは、ワークステーションや HMI の可用性を危険にさらさない方法で行う必要があります。 運用システムにシミュレータをインストールすることは、これらのシステムに依存している運用チームにとって受け入れられません。 以下のレベル 3 と 2 にワークステーションと HMI のクローンを導入し、そのクローンからシミュレータを実行していることがわかります。 したがって、実稼働システムは変更されていませんが、そのセキュリティ管理については正確な評価が得られます。 この例では、ジャンプ サーバーから HMI クローン、または HMI クローンからエンジニアリング ワークステーション クローンへの移行を試みます。

侵害と攻撃のシミュレーションは、IT と OT を組み合わせた環境全体のセキュリティ管理を評価および検証するための最も効果的なツールの 1 つです。

OT デジタルトランスフォーメーションを自信を持ってサポート運用環境の変化に応じて、運用 IT チームとセキュリティ チームが同じ情報に基づいて連携して、生産性と保護の両方の需要に対応できるようにします。

OT と IT 全体にわたるセキュリティの検証、修復、レポートへの総合的なアプローチOT および IT セキュリティ環境の統合ビューを作成し、攻撃中にあるネットワークから別のネットワークに「波及」する弱点や脆弱な点を迅速に特定して修正します。

ステークホルダーとの信頼を高める自動化されたレポートを主要な関係者と共有して、組織内のリスクを明確に伝え、セキュリティへの投資が優先されるようにします。

スタック全体を保護するエンドユーザーのデバイス、ネットワーク、クラウド サービス、アプリケーションを含むクラウド スタック全体にわたる多段階攻撃の実行を自動化します。

サプライチェーンのセキュリティ リスクを管理するサードパーティのサプライヤーと協力する前に、サードパーティのサプライヤーのサイバーセキュリティ体制を正確に評価し、貴社の環境にもたらす可能性のある潜在的なリスクを理解してください。

侵害と攻撃のシミュレーションと、SafeBreach が統合 IT/OT 環境における可視性と保護の向上にどのように役立つかについて詳しく知りたい場合は、デモをスケジュールすることをお勧めします。

varembeddedFormId = '8facdd92d81dbd8a816a41fc0e0f569b7a784017'; varmarketoBaseUrl = '//go.safebreach.com'; var munchkinId = '535-IXZ-934'; var formId = '1930'; var 応答タイプ = 'リダイレクト'; var responseMessage = 'ありがとうございます!'; var redirectURL = ''; var downloadFileURL = ''; var linkOpenType = '_self'; var ポップアップビデオ = 'url'; var ポップアップビデオ URL = ''; var PopupVideoUploadURL = ''; MktoForms2.loadForm(marketoBaseUrl, munchkinId, formId, function(form) { form.onSuccess(function(values, followUpUrl) { var formElement = form.getFormElem()[0]; var successTextElement = document.getElementById("int_mktoForm_" + formId) ); formElement.reset(); var submitButton = document.querySelectorAll('button.mktoButton')[0]; submitButton.innerHTML = 'Submit'; submitButton.removeAttribute('disabled');

successTextElement.innerHTML = responseMessage; setTimeout(() => { successTextElement.innerHTML = ''; }、2000); false を返します。 }); });

IT と OT セキュリティの統合、パート 2: BAS とパーデュー モデルの投稿は、最初に SafeBreach に掲載されました。

*** これは、SafeBreach が作成した Security Bloggers Network のシンジケート ブログです。 元の投稿を読む: https://www.safebreach.com/resources/blog/bringing-it-and-ot-security-together-bas-purdue/