\n| Level 0<\/td>\n | Proces fizyczny<\/td>\n | Sensory, aktuatory, urz\u0105dzenia terenowe<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Monitoring oparty na flow mo\u017cna umie\u015bci\u0107 w kluczowych punktach granicznych: na styku IT\/OT, w industrial DMZ, w rdzeniu sieci sterowania, na firewallach pomi\u0119dzy strefami, na \u0142\u0105czach data center, w punktach remote access i w wybranych punktach agregacji wewn\u0105trz sieci OT. Celem jest obserwowanie komunikacji przebiegaj\u0105cej przez conduits, a nie ingerowanie w urz\u0105dzenia.<\/p>\n Prosty diagram koncepcyjny:<\/p>\n Enterprise IT\r\n |\r\n | monitorowany conduit\r\n v\r\nIndustrial DMZ\r\n |\r\n | monitorowany conduit\r\n v\r\nOperations \/ SCADA \/ Historian\r\n |\r\n | monitorowany conduit\r\n v\r\nHMI \/ Engineering \/ Control Network\r\n |\r\n | monitorowany conduit\r\n v\r\nSegmenty PLC \/ RTU \/ sterownik\u00f3w<\/code><\/pre>\nZ perspektywy detekcji najwa\u017cniejsze pytanie brzmi: czy komunikacja przebiega zgodnie z oczekiwan\u0105 architektur\u0105? Je\u017celi systemy Level 4 mog\u0105 uzyskiwa\u0107 bezpo\u015bredni dost\u0119p do sterownik\u00f3w, vendor VPN omija DMZ, workstation w jednej kom\u00f3rce produkcyjnej komunikuje si\u0119 z inn\u0105 kom\u00f3rk\u0105 albo sterownik inicjuje komunikacj\u0119 outbound w kierunku IT, dane flow mog\u0105 ujawni\u0107 takie naruszenia.<\/p>\n <\/span>Ustanawianie baseline\u2019u w deterministycznej sieci<\/span><\/h2>\nOT anomaly detection dzia\u0142a najlepiej, gdy baseline odzwierciedla rzeczywisty proces. Sieci przemys\u0142owe cz\u0119sto charakteryzuj\u0105 si\u0119 stabilnymi wzorcami komunikacji, poniewa\u017c systemy produkcyjne wykonuj\u0105 powtarzalne zadania. Dzi\u0119ki temu flow-based detection dobrze nadaje si\u0119 do identyfikowania odst\u0119pstw.<\/p>\n Przydatny baseline OT powinien obejmowa\u0107:<\/p>\n \n- normaln\u0105 komunikacj\u0119 host-to-host;<\/li>\n
- oczekiwane protoko\u0142y dla ka\u017cdej strefy;<\/li>\n
- zatwierdzone conduits pomi\u0119dzy poziomami;<\/li>\n
- typowy czas i cz\u0119stotliwo\u015b\u0107 komunikacji;<\/li>\n
- normalny wolumen ruchu dla poszczeg\u00f3lnych system\u00f3w i segment\u00f3w;<\/li>\n
- znane zachowanie engineering workstations;<\/li>\n
- zatwierdzone \u015bcie\u017cki remote access;<\/li>\n
- oczekiwan\u0105 komunikacj\u0119 z historianami, serwerami SCADA i HMI;<\/li>\n
- wyj\u0105tki obowi\u0105zuj\u0105ce podczas maintenance windows.<\/li>\n<\/ul>\n
Po ustanowieniu takiego baseline\u2019u logika detekcji staje si\u0119 bardziej warto\u015bciowa. Celem nie jest oznaczanie ka\u017cdego nieznanego pakietu jako krytycznego incydentu. Celem jest identyfikowanie zmian, kt\u00f3re maj\u0105 znaczenie w kontek\u015bcie przemys\u0142owym: nowego talkera, nowego protoko\u0142u, nowej \u015bcie\u017cki pomi\u0119dzy strefami, nieoczekiwanego wzrostu ruchu lub komunikacji pochodz\u0105cej z hosta, kt\u00f3ry powinien pozostawa\u0107 odizolowany.<\/p>\n Podej\u015bcie to pomaga r\u00f3wnie\u017c ograniczy\u0107 false positives. Zamiast stosowa\u0107 og\u00f3lne regu\u0142y IT w \u015brodowisku przemys\u0142owym, detekcja opiera si\u0119 na tym, co jest normalne dla konkretnego zak\u0142adu, linii, kom\u00f3rki, strefy lub procesu.<\/p>\n <\/span>Jak atak wygl\u0105da w danych flow OT<\/span><\/h2>\nAtaki na OT nie zawsze rozpoczynaj\u0105 si\u0119 od gwa\u0142townego zak\u0142\u00f3cenia procesu. Cz\u0119sto zaczynaj\u0105 si\u0119 od reconnaissance, nieautoryzowanego dost\u0119pu, cichego przemieszczania si\u0119 pomi\u0119dzy strefami lub niew\u0142a\u015bciwego u\u017cycia legalnych protoko\u0142\u00f3w. Dane flow mog\u0105 ujawni\u0107 te wczesne etapy, zanim atakuj\u0105cy osi\u0105gnie punkt, w kt\u00f3rym mo\u017ce manipulowa\u0107 procesem.<\/p>\n <\/span>Reconnaissance i nieoczekiwani talkers<\/span><\/h3>\nReconnaissance w OT mo\u017ce objawia\u0107 si\u0119 jako host pr\u00f3buj\u0105cy komunikowa\u0107 si\u0119 z wieloma urz\u0105dzeniami, portami lub segmentami, do kt\u00f3rych normalnie nie uzyskuje dost\u0119pu. \u0179r\u00f3d\u0142em mo\u017ce by\u0107 przej\u0119ta engineering workstation, serwer remote access, laptop dostawcy, host IT lub system znajduj\u0105cy si\u0119 w industrial DMZ.<\/p>\n Wska\u017aniki oparte na flow obejmuj\u0105:<\/p>\n
|