Melhorando a segurança cibernética em sistemas de OT (Tecnologia Operacional) à medida que se integram com redes de TI

À medida que os sistemas de TO continuam a se integrar às redes de TI, as empresas de manufatura exigem medidas de segurança cibernética mais robustas para mitigar riscos.

A ascensão da Internet Industrial das Coisas (IIoT) expandiu inegavelmente a conectividade do nível do dispositivo para a nuvem, aumentando assim a superfície de ataque de instalações automatizadas. Embora as conexões diretas com a nuvem ofereçam vantagens comerciais atraentes, como monitoramento remoto de manutenção, rastreamento de indicadores-chave de desempenho (KPI) e otimização de processos, esses benefícios vêm ao custo de segurança enfraquecida. Steve Fales, Diretor de Marketing da ODVA, explica: "Essas novas conexões podem permitir que atores mal-intencionados se infiltrem em redes industriais, gerando maior foco em conceitos de segurança como Zero Trust, que requer validação antes de se conectar a qualquer dispositivo. Além disso, a importância de implantar várias abordagens de segurança para cobrir todas as partes da rede aumentou significativamente."

O conceito Zero Trust pressupõe que a rede já esteja comprometida. Isso significa que cada conexão, independentemente da origem, deve ser validada, fornecendo apenas o acesso mínimo necessário pelo menor tempo possível. Além disso, todas as comunicações devem ser seguras. Para avançar em direção ao Zero Trust, as empresas devem criptografar as comunicações, fornecer acesso baseado em função, autenticar endpoints e garantir que as comunicações sejam à prova de violação.

Além de adotar o Zero Trust, Steve recomenda empregar vários métodos de segurança como parte de uma estratégia de defesa em profundidade para garantir a segurança das redes de controle industrial. Como parte de uma abordagem holística orientada a processos, a segurança física e o treinamento de funcionários são excelentes pontos de partida. Esses são dois métodos simples, mas eficazes, para deter os maus atores.

Implementar modelagem de ameaças é outra maneira essencial de entender vulnerabilidades de rede e formular planos de resposta. Com base nisso, firewalls baseados em switch, inspeção profunda de pacotes, listas de permissões e outras proteções de rede serão implantadas de forma ordenada. Steve continua: "Se uma rede de segundo canal for aberta devido à conectividade direta, também é crucial proteger a camada do dispositivo. Um exemplo de proteção da camada do dispositivo é o CIP Security da EtherNet/IP, que fornece autenticação de dispositivo, identidade, integridade de dados, confidencialidade, autenticação de usuário e aplicação de política. O CIP Security também oferece proteção flexível por meio de perfis que podem ser implementados sob demanda com base no uso. Finalmente, como os comportamentos e métodos de ataque à rede evoluem continuamente, é necessário revisar e revisar regularmente as estratégias de segurança, o treinamento e as medidas de proteção."

Com o número crescente de dispositivos automatizados conectados diretamente à nuvem e o achatamento das redes, ter uma estratégia de segurança bem planejada e com recursos é essencial. "A nova realidade é que as vulnerabilidades provavelmente ocorrerão, levando ao surgimento da abordagem de segurança Zero Trust, que exige validação para cada conexão e permite apenas o acesso necessário. É igualmente importante lembrar que a segurança física, o treinamento de funcionários e as abordagens baseadas em processos podem oferecer retornos muito altos sobre o investimento." Steve acredita que a proteção deve ser implementada nos níveis mais baixos. A segurança é um fator-chave para conectar dispositivos automatizados à nuvem, levando a ganhos significativos de produtividade, tornando-a um investimento valioso para futuras operações industriais.

Projetando a segurança desde o início

Tradicionalmente, as empresas industriais têm se apoiado no modelo Purdue para criar ambientes OT seguros, segmentando processos físicos, sensores, controles de monitoramento, operações e logística. No entanto, como ouvimos, plataformas mais abertas agora estão trazendo a segurança da rede OT para um foco mais nítido.

Michael Lester, Diretor de Estratégia, Governança e Arquitetura de Segurança Cibernética na Emerson, diz: "As organizações agora precisam considerar a segurança cibernética no estágio de engenharia e design de front-end dos projetos de sistemas de controle, tornando o sistema seguro por design. No passado, as defesas de segurança cibernética eram frequentemente adicionadas mais tarde. Isso é mais caro e menos eficaz do que incorporar a segurança cibernética ao projeto desde o início."

Portanto, as empresas de manufatura agora precisam projetar aplicativos de software OT do zero, com base nos princípios Zero Trust, para criar fábricas inerentemente seguras por design. O diretor de tecnologia da Emerson, Peter Zornio, acredita que atingir a segurança inerente de fábrica por design não acontecerá da noite para o dia; levará anos de esforço, apenas totalmente realizado à medida que o software do sistema for gradualmente atualizado para incorporar a arquitetura de segurança. Cada vez que se comunicar com outro software, precisará buscar autenticação e possuir os direitos corretos de acesso aos dados. Alguns dos produtos mais recentes da Emerson já incluem software com segurança de design inerente, mas, realisticamente, pode levar de 5 a 10 anos até que todos os softwares em fábricas possam suportar Zero Trust. No entanto, quando isso se tornar realidade, será a solução definitiva para problemas de segurança cibernética.

Além disso, a segurança cibernética requer mais do que apenas tecnologia. Michael acredita que a segurança cibernética também requer mudanças de comportamento e cultura. Toda a organização precisa entender profundamente por que e como atingir a segurança cibernética, o que é essencial para impulsionar mudanças significativas de comportamento. Portanto, construir uma cultura de segurança cibernética que inclua pessoas, processos e tecnologia é importante.

Medidas mais fortes para proteção do sistema OT

À medida que os sistemas OT continuam a se integrar com redes de TI, introduzindo protocolos de comunicação baseados na Internet como MQTT e protocolos de transmissão de dados existentes como HTTPS, CsCAN e Modbus, a superfície de ataque se expande, trazendo novos vetores de ataque. Isso exige um conjunto de medidas de segurança cibernética mais fortes para reduzir riscos. Sean Mackey, engenheiro de segurança cibernética na Horner Ireland, sugere as seguintes medidas para ajudar os engenheiros de controle a proteger melhor seus ambientes OT:

1. Entenda o meio ambiente: Entenda completamente a infraestrutura de OT, incluindo sistemas de controle industrial, SCADA, PLCs e outros dispositivos interconectados. Identifique vulnerabilidades potenciais documentando ativos, arquitetura de rede, protocolos e caminhos de comunicação.
2. Avaliação de Riscos e Inventário de Ativos: Conduza uma avaliação de risco completa para identificar ativos críticos e vulnerabilidades potenciais. Crie um inventário de ativos, categorize os sistemas com base em sua criticidade e avalie os riscos associados. Priorize medidas de segurança com base nessa avaliação.
3. Segmentação de rede: Implemente segmentação de rede robusta, como air gaps, firewalls para filtrar e monitorar tráfego e isolar sistemas críticos para manter ativos OT importantes separados de sistemas não críticos e redes externas. Limite o impacto de vulnerabilidades ou ataques, contendo-os dentro de segmentos de rede específicos e reduzindo a superfície de ataque.
4. Controle de acesso e autenticação: Implemente mecanismos fortes de controle de acesso e autenticação para limitar o acesso não autorizado a sistemas OT. Autenticação multifatorial, controle de acesso baseado em função e o princípio do menor privilégio devem ser aplicados para garantir que apenas pessoal autorizado possa acessar sistemas críticos.
5. Gerenciamento de Patches: Desenvolver e implementar um processo rigoroso de gerenciamento de patches para manter os sistemas OT atualizados com vulnerabilidades conhecidas. Isso inclui atualizações de firmware e software relacionadas a quaisquer correções de vulnerabilidade para PLCs/HMIs. Priorizar patches com base na criticidade.
6. Monitoramento de rede e detecção de intrusão: Implante ferramentas robustas de monitoramento de rede e sistemas de detecção de intrusão (IDS) para detectar e responder a atividades incomuns em tempo real. Monitore o tráfego de rede, logs do sistema e padrões de comportamento para identificar ameaças potenciais ou violações de segurança prontamente.
7. Segurança de endpoint: Implemente soluções de proteção de endpoint, como firewalls, software antivírus e sistemas de prevenção de intrusão, para dispositivos semelhantes na mesma rede, para proteger seus dispositivos industriais contra malware e acesso não autorizado.
8. Criptografia: Criptografe dados em trânsito e em repouso para evitar interceptação ou adulteração não autorizadas. Implemente protocolos de criptografia fortes para comunicação de rede, como Transport Layer Security (TLS), particularmente ao usar certificados X.509 em indústrias pesadas de MQTT, e criptografe dados confidenciais armazenados em dispositivos OT.
9. Plano de Resposta a Incidentes: Desenvolver um plano abrangente de resposta a incidentes que descreva os procedimentos para detectar, conter e mitigar incidentes de segurança cibernética. Definir funções e responsabilidades, estabelecer protocolos de comunicação e conduzir simulações regulares para garantir a preparação para ataques cibernéticos.
10. Treinamento e conscientização de funcionários: Treinar o pessoal de OT sobre as melhores práticas de segurança cibernética, incluindo reconhecimento de tentativas de phishing, identificação de atividades suspeitas e resposta a incidentes de segurança. Promover uma cultura de conscientização sobre segurança cibernética, permitindo que os funcionários participem ativamente da proteção de sistemas de OT.
11. Gestão de Riscos do Fornecedor: Avalie e gerencie riscos de segurança cibernética associados a fornecedores e fornecedores terceirizados que fornecem componentes ou serviços de OT. Desenvolva acordos contratuais que estipulem requisitos de segurança e audite fornecedores regularmente.
12. Requisitos de conformidade e regulatórios: Mantenha-se informado sobre regulamentações específicas do setor e padrões de conformidade relacionados à segurança cibernética de TO, como NIST SP 800-82 e ISA/IEC 62443. Garanta que os sistemas de TO estejam em conformidade com esses requisitos para evitar repercussões legais e regulatórias e minimizar o risco de violações de TO devido à implementação deficiente de segurança cibernética.

Garantindo a proteção total dos sistemas OT

Em ambientes de OT, a maioria dos sistemas é crítica, o que significa que qualquer interrupção ou comprometimento pode ter consequências de longo alcance. Daniel Sukowski, Global Business Development IIOT na Paessler, enfatiza que, dadas as apostas, proteger efetivamente os ambientes de OT nunca foi tão importante. No entanto, atingir essa meta nunca foi tão desafiador. Em um mundo interconectado e digital, o crescimento exponencial de dispositivos IIOT leva a sistemas cada vez mais complexos. Redes de OT anteriormente isoladas agora estão sendo abertas para conectar novos sistemas e dispositivos de fontes externas, geralmente entre regiões. Embora essa conectividade ofereça muitas vantagens, ela também introduz riscos significativos.

Para proteger totalmente os sistemas de OT, as empresas devem investir em tecnologia de monitoramento. Daniel sugere: "Um sistema de monitoramento eficaz com um painel centralizado e recursos de alerta pode dar às empresas uma imagem mais abrangente. Ele pode consolidar dados de todos os locais (ambientes de OT, sensores IIoT, redes com e sem fio e dispositivos e sistemas de TI tradicionais) sob uma plataforma de proteção. Ele fornece visibilidade abrangente, o que é mais importante do que nunca, pois os criminosos cibernéticos continuam a evoluir e amadurecer."

Além disso, as empresas precisam conduzir regularmente auditorias de segurança e avaliações de risco de seus sistemas operacionais para ajudar a identificar vulnerabilidades. Isso deve incluir riscos de segurança da informação, riscos cibernéticos e todos os riscos operacionais comuns de OT. Outra parte do desafio é o treinamento contínuo para todos os funcionários relevantes. O conteúdo do treinamento deve ser atualizado regularmente para garantir que as empresas operem de acordo com as diretrizes e regulamentações mais recentes. Por exemplo, quando a próxima Diretiva NIS2 se tornar lei nacional em todos os estados-membros da UE em outubro de 2024, os funcionários precisam garantir que eles e seus negócios mais amplos permaneçam em conformidade.

A Diretiva NIS2 se baseia na Diretiva NIS original (NISD) ao atualizar as atuais leis de segurança cibernética da UE. Seu objetivo é fortalecer a segurança de OT, agilizar os relatórios e criar regras e penalidades consistentes em toda a UE. Ao expandir seu escopo, a NIS2 exigirá que mais empresas e setores implementem medidas de segurança cibernética.

Clique no link abaixo para ler mais:

Apresentando o chassi do robô Reeman Moon Knight

Apresentando o Flash Food Delivery Robot

Apresentando o robô de entrega de enfermagem do hospital