Rapprocher la sécurité IT et OT, partie 2 : BAS et le modèle Purdue

Accueil » Réseau des blogueurs sur la sécurité » Rapprocher la sécurité informatique et OT, partie 2 : BAS et le modèle Purdue

Leadership éclairé

6 juin 2023

Découvrez l'évolution des environnements IT/OT convergés et l'impact sur la validation des contrôles de sécurité dans cette nouvelle série de blogs.

Dans notre premier article sur l'utilisation de BAS dans un environnement de technologie opérationnelle (OT), nous avons fourni un aperçu d'un réseau IT/OT convergé typique, les tendances qui entraînaient un cyber-risque accru pour les propriétaires d'actifs industriels et une discussion de haut niveau sur la façon dont BAS peut aider à fournir une meilleure visibilité et une meilleure protection dans l'environnement convergé. Dans cette mise à jour, nous discuterons des avantages que BAS offre dans ces cas d'utilisation, et nous verrons en détail où et comment BAS s'intègre dans une architecture IT/OT combinée utilisant le modèle Purdue.

Le modèle Purdue est généralement accepté comme la norme pour la construction d'une architecture de réseau de système de contrôle industriel (ICS) d'une manière qui prend en charge la sécurité OT, en séparant les couches du réseau pour maintenir un flux hiérarchique de données entre elles, et en tant que tel, reflète le exigences d'architecture de base pour de nombreux cadres de systèmes de contrôle industriels tels que API 1164, ISA/IEC 62443 et NIST 800-82.

Purdue illustre comment les éléments typiques d'une architecture ICS s'interconnectent, en les divisant en six zones qui contiennent des systèmes d'entreprise (le réseau informatique) et des systèmes de contrôle industriels (le réseau OT). Correctement mis en œuvre, il permet d'établir un « vide d'air » entre les systèmes ICS/OT et informatiques, en les isolant afin qu'une organisation puisse appliquer des contrôles d'accès efficaces sans entraver les activités. Cela étant dit, Purdue n'est pas une prescription unique pour l'architecture de réseau OT. Comme pour tout réseau, chaque environnement aura son propre assortiment unique d'appareils à chaque couche.

Figure 1:Un modèle Purdue de base

Le modèle Purdue se compose de six niveaux de réseau, définis par les systèmes et les technologies qui résident dans chacun. Les systèmes informatiques occupent les 2 niveaux supérieurs, tandis que les systèmes OT occupent les 3 niveaux inférieurs et une « zone démilitarisée » convergée réside entre eux. Jetons un coup d'œil plus détaillé à chacun:

Niveau 5/4 : Réseaux d'entreprise et d'affaires

Bien qu'ils soient séparés dans le modèle Purdue traditionnel, ces deux niveaux ont été combinés pour plus de simplicité dans le modèle de base ci-dessus, car ensemble, ils constituent l'environnement informatique. Les niveaux 4 et 5 comprennent des services à l'échelle de l'entreprise tels qu'Active Directory, des systèmes de gestion des ressources humaines et des documents, des plates-formes de gestion de la relation client (CRM), des e-mails internes et le centre des opérations de sécurité (SOC). Il comprend également des services spécifiques au site tels que la planification des ressources d'entreprise (ERP) qui régissent les calendriers de production de l'usine, l'utilisation des matériaux, l'expédition et les niveaux de stock.

Les appareils de ce niveau utilisent du matériel informatique standard, des plates-formes cloud et des systèmes d'exploitation prêts à l'emploi tels que Windows et Linux.

Niveau 3.5 : IT/OT Zone démilitarisée (DMZ)

Alors que la DMZ située dans les réseaux informatiques est chargée de séparer le réseau d'entreprise d'Internet, la DMZ située dans les réseaux OT est chargée d'isoler le réseau industriel du réseau d'entreprise. Comme les demandes de données commerciales du côté OT ont augmenté, et vice versa, les administrateurs ont dû connecter ces deux niveaux via des DMZ.

Les appareils de cette couche exécutent également du matériel informatique, du cloud et des logiciels standard.

Niveau 3 : Systèmes d'exploitation

Ce niveau contient le suivi, la supervision et le support opérationnel pour gérer les workflows de production dans l'atelier. Il s'agit notamment de postes de travail d'ingénierie et d'exploitation exécutant des systèmes de gestion des opérations de fabrication/d'exécution de la fabrication (MOMS/MES), d'historiques de données pour stocker et analyser les données de processus opérationnels.

Cette couche est généralement composée d'applications de gestion des opérations spécialisées exécutées sur du matériel et des systèmes d'exploitation informatiques, cloud et mobiles standard.

Niveau 2 : Systèmes de supervision

Le niveau 2 contient des systèmes de contrôle de surveillance et d'acquisition de données (SCADA) qui contrôlent des groupes de processus en fonction de la fonction, du type ou du risque. Ce niveau comprend également les dispositifs d'interface homme-machine (IHM) par lesquels un opérateur interagit avec un contrôleur.

Cette couche est généralement composée de matériel informatique ou mobile industrialisé exécutant des applications spécialisées sur des plates-formes cloud ou OS standard.

Niveau 1 : Systèmes de contrôle de processus

Le niveau de contrôle de processus contient des dispositifs tels que des systèmes de contrôle distribués (DCS), des contrôleurs logiques programmables (PLC) et des unités terminales distantes (RTU), ainsi que des systèmes de sécurité qui surveillent et envoient des commandes aux dispositifs physiques qui exécutent des processus opérationnels.

Le matériel et les systèmes d'exploitation à ce niveau sont beaucoup plus spécialisés. Le matériel et les logiciels propriétaires sont typiques, et ceux-ci peuvent être beaucoup plus sensibles aux mises à jour et aux modifications logicielles.

Niveau 0 : Dispositifs de processus physiques

Ce niveau inférieur comprend tous les appareils qui exécutent des processus opérationnels. Ceux-ci peuvent inclure des actionneurs, des vannes et des pompes, ainsi que des appareils IIoT tels que des caméras et des capteurs de mouvement.

Ces appareils sont généralement spécialisés pour leur tâche spécifique et sont conçus pour accepter des instructions et envoyer des données à l'aide de protocoles tels que Fieldbus.

Comme nous l'avons dit dans la première partie de notre série de blogs IT/OT, la plupart des attaques OT commencent par compromettre le réseau informatique. En tant que tel, il est essentiel dans toute stratégie de sécurité OT de considérer les réseaux IT et OT comme deux pièces du même puzzle. Ils doivent traiter non seulement les vulnérabilités au sein de l'environnement OT lui-même, mais également les manières dont les adversaires pourraient compromettre et traverser le réseau informatique pour recueillir des informations et obtenir un accès latéral à des systèmes de contrôle et de sécurité OT plus profonds.

Historiquement, les équipes d'exploitation ont géré tous les actifs OT en raison des craintes que les mises à jour logicielles et les changements de configuration puissent mettre en péril la disponibilité et la productivité. Ainsi, les équipes de sécurité avaient une mauvaise visibilité sur l'environnement OT et ne pouvaient pas mettre en œuvre ou mettre à jour les contrôles de sécurité appropriés.

Alors que la transformation numérique a fait tomber les barrières IT-OT, de nombreuses entreprises industrielles ont désormais des environnements IT/OT profondément intégrés et des équipes de sécurité désormais responsables de la gestion des cyber-risques sur ce réseau étendu.

Voyons maintenant comment BAS peut aider les équipes de sécurité à adopter une vision globale de l'évaluation et de la validation des contrôles de sécurité dans cet environnement combiné.

En simulant des attaques réelles sur votre réseau OT/IT étendu, une plate-forme BAS peut aider à valider les contrôles de sécurité, identifier les chemins d'attaque vulnérables et aider les équipes de sécurité et d'exploitation à hiérarchiser et à accélérer les mesures correctives.

Les plates-formes BAS exécutent des scénarios d'attaque sans exposer le réseau OT à un risque de perturbation en exécutant des simulations sur des clones de systèmes de production. Les simulations peuvent être exécutées aussi souvent que l'utilisateur le souhaite pour identifier la dérive et tester de nouvelles méthodes d'attaque. Ceci est particulièrement pertinent pour les propriétaires d'actifs OT, car une récente enquête de KPMG a indiqué que 80 % des organisations industrielles n'effectuent une évaluation de la sécurité ICS qu'une fois par an ou moins.

Pour en revenir à notre modèle Purdue, ci-dessous, nous avons superposé l'architecture avec les emplacements où la plate-forme SafeBreach BAS serait déployée (tous les environnements sont différents, il ne s'agit donc que d'un exemple général).

Aux niveaux 4/5, nous déployons des simulateurs d'attaque sur des ordinateurs de bureau, des ordinateurs portables et des serveurs d'entreprise typiques. Et le serveur de contenu et l'attaquant externe sont déployés dans le SOC. À ce niveau, les attaques simulées de SafeBreach valident les contrôles de sécurité des terminaux, les règles de détection de pare-feu, les règles de liste de contrôle d'accès (ACL) et vérifient que les événements sont enregistrés par le SIEM.

Il est important de noter que les simulations d'attaque à ce niveau et à tous les niveaux inférieurs ne mettent jamais en danger les données sensibles ou l'intégrité du système. Les simulateurs de SafeBreach exécutent uniquement des simulations d'attaque sur et entre les simulateurs, jamais sur le système de production réel.

Au niveau de la DMZ IT/OT (niveau 3.5), les simulateurs testent le pare-feu qui régule l'accès à ce niveau et valident les contrôles de l'hôte de saut (probablement basé sur Linux) pour garantir que l'accès à distance aux niveaux OT inférieurs est sécurisé.

Aux niveaux 2 et 3, nous sommes désormais solidement implantés dans le réseau OT. Lorsqu'ils pensent aux points de terminaison du réseau OT, de nombreuses personnes pensent aux actifs spécialisés tels que les unités PLC et RTU qui contrôlent directement les processus de production. Mais même dans l'environnement OT, les actifs les plus susceptibles d'être compromis sont les postes de travail d'ingénierie et les IHM qui exécutent probablement un environnement Windows ou Linux. Il est essentiel d'inclure ces actifs dans la simulation d'attaque, car les terminaux OT ont souvent des contrôles et des configurations de sécurité différents de ceux des terminaux du réseau informatique.

Mais cela doit être fait d'une manière qui ne compromette pas la disponibilité du poste de travail ou de l'IHM. L'installation d'un simulateur sur n'importe quel système de production ne serait pas acceptable pour l'équipe des opérations qui dépend de ces systèmes. Vous remarquerez que nous avons introduit des clones de poste de travail et d'IHM aux niveaux 3 et 2 ci-dessous et que nous exécuterons le simulateur à partir du clone. Ainsi, le système de production est intact, mais nous obtenons toujours une évaluation précise de ses contrôles de sécurité. Dans cet exemple, nous tenterions de passer d'un serveur de saut à un clone d'IHM, ou d'un clone d'IHM à un clone de poste de travail d'ingénierie.

La simulation de violation et d'attaque est l'un des outils les plus efficaces pour évaluer et valider les contrôles de sécurité dans un environnement informatique et OT combiné.

Soutenez en toute confiance la transformation numérique OTAssurez-vous que vos équipes informatiques et de sécurité des opérations travaillent ensemble, à partir des mêmes informations, pour répondre aux exigences de productivité et de protection à mesure que votre environnement opérationnel se transforme.

Une approche holistique de la validation de la sécurité, de la correction et de la création de rapports dans l'OT et l'ITCréez une vue consolidée de votre environnement de sécurité OT et IT, pour identifier et corriger rapidement les faiblesses et les points vulnérables de « débordement » d'un réseau à l'autre lors d'une attaque.

Augmenter la confiance avec les parties prenantesPartagez des rapports automatisés avec les principales parties prenantes pour communiquer clairement les risques au sein de l'organisation et vous assurer que les investissements en matière de sécurité sont prioritaires.

Sécurisez toute la pileAutomatisez l'exécution d'attaques en plusieurs étapes sur l'ensemble de la pile cloud, y compris les appareils des utilisateurs finaux, les réseaux, les services cloud et les applications.

Gérer les risques de sécurité de la chaîne d'approvisionnementAvant de travailler avec des fournisseurs tiers, évaluez précisément leur posture de cybersécurité pour comprendre les risques potentiels qu'ils peuvent apporter à votre environnement.

Pour en savoir plus sur la simulation de violation et d'attaque et sur la manière dont SafeBreach peut vous aider à améliorer la visibilité et la protection de votre environnement IT/OT intégré, nous vous invitons à planifier une démonstration.

var EmbeddedFormId = '8facdd92d81dbd8a816a41fc0e0f569b7a784017'; var marketoBaseUrl = '//go.safebreach.com' ; var munchkinId = '535-IXZ-934'; var formId = '1930'; var type_réponse = 'redirection' ; var responseMessage = 'Merci !'; var URL de redirection = ''; var downloadFileURL = ''; var linkOpenType = '_self' ; var popupVideo = 'url'; var popupURLVidéo = ''; var popupVideoUploadURL = ''; MktoForms2.loadForm(marketoBaseUrl, munchkinId, formId, function(form) { form.onSuccess(function(values, followUpUrl) { var formElement = form.getFormElem()[0]; var successTextElement = document.getElementById("int_mktoForm_" + formId ); formElement.reset(); var submitButton = document.querySelectorAll('button.mktoButton')[0]; submitButton.innerHTML = 'Soumettre'; submitButton.removeAttribute('disabled');

successTextElement.innerHTML = responseMessage; setTimeout(() => { successTextElement.innerHTML = ''; }, 2000); retourner faux ; }); });

Le message Bringing IT & OT Security Together, Part 2: BAS and the Purdue Model est apparu en premier sur SafeBreach.

*** Ceci est un blog syndiqué du Security Bloggers Network de SafeBreach rédigé par SafeBreach. Lisez le message original sur : https://www.safebreach.com/resources/blog/bringing-it-and-ot-security-together-bas-purdue/