Uç Bilişim için Siber Güvenlik En İyi Uygulamalarına Genel Bakış

Özet

Makalenin çıkış noktası şudur: çok sayıda uç site, ağa bağlı uç nokta sayısını ve dolayısıyla saldırı yüzeyini çoğaltır. Bu uç noktalar yalnızca sunucular değil, UPS ağ kartları, rack PDU'lar, soğutma denetleyicileri ve sensörlerdir. Strateji dört unsura ayrılır: cihaz seçim ölçütleri, güvenli ağ tasarımı, cihaz kurulumu ve yapılandırması, işletme ve bakım. Fiziksel güvenlik ve içeriden tehditler kapsam dışı bırakılmıştır.

Cihaz seçiminde üreticinin Güvenli Geliştirme Yaşam Döngüsü'ne (SDL) uyması beklenir; bu döngü Eğitim, Gereksinimler, Tasarım, Uygulama, Doğrulama, Yayın ve Müdahale olmak üzere yedi fazdan oluşur. Referans çerçeve IEC 62443'tür: dört bölümden oluşur ve 4-1 güvenli ürün geliştirme sürecini, 4-2 ise endüstriyel otomasyon bileşenlerinin teknik güvenlik gereksinimlerini belirler. İki temel seçim ölçütü, güvenli protokol desteği ve rol tabanlı erişim denetimidir (RBAC).

Ağ tarafında makale, hava boşluğunun (air gap) yanlış bir güvenlik hissi verdiğini savunur ve bunun yerine üç güvenlik bölgesi ile güvenilmeyen (Internet) ve güvenilir bölgeler arasında denetim noktaları içeren katmanlı savunmayı önerir. Ağa bağlı rack PDU'lar, soğutma sistemleri ve güç ölçüm cihazları aynı stratejinin içinde yer almalıdır.

İşletme aşamasında teslim alınan cihazlara port taraması ve zafiyet değerlendirmesi uygulanır, üretici sertleştirme kılavuzu işlenir, güvensiz protokoller kapatılır (örneğin TLS kullanılır), yama ve test dağıtımdan önce yapılır. Sızma testi beş aşamadan oluşur. Makale ayrıca OT ortamlarında güvenilirlik ve emniyetin öncelikli olduğunu, bu yüzden tarama ve yamaların gömülü cihazları dengesizleştirmemesi için işletmecilerle koordine edilmesi gerektiğini vurgular.

Öne çıkan noktalar

1. Strateji dört unsurdan oluşur: cihaz seçimi, güvenli ağ tasarımı, cihaz kurulumu, işletme ve bakım; fiziksel güvenlik ve içeriden tehditler kapsam dışıdır.
2. SDL yedi fazlıdır: Eğitim, Gereksinimler, Tasarım, Uygulama, Doğrulama, Yayın, Müdahale.
3. IEC 62443 dört bölümlüdür; 4-1 güvenli ürün geliştirme sürecini, 4-2 bileşen teknik güvenlik gereksinimlerini kapsar.
4. İki genel cihaz seçim ölçütü: güvenli protokol desteği ve RBAC uygulayabilme.
5. Hava boşluğu yanlış güvenlik algısı yaratır; üç bölgeli, kontrol noktalı katmanlı savunma önerilir.
6. Ağa bağlı rack PDU, soğutma ve güç ölçümü kritik altyapı olarak aynı savunma stratejisine dahildir.
7. Devreye alma: port taraması, zafiyet değerlendirmesi, sertleştirme kılavuzu, güvensiz protokolleri kapatma, yama ve test.
8. Sızma testi beş aşamalıdır: planlama ve keşif, tarama, erişim kazanma, erişimi sürdürme, rapor.

Tasarımda kullanımı

• Ağ yönetimli her altyapı cihazı (UPS kartı, rack PDU, CRAC/CRAH denetleyicisi, BMS geçidi, sensör) için TLS desteği, RBAC desteği, IEC 62443-4-2 sertifikası (SL seviyesi) ve SDL sertifikası alanlarını katalogda tutun.
• Uç ve uzak sitelerde güvenli protokol desteği olmayan yönetilen cihazları uyarı olarak işaretleyin.
• Yönetim ağını IT üretim ağından ayrı bir segment (VLAN veya güvenlik duvarı bölgesi) olarak modelleyin.
• Devreye alma kontrol listesine port taraması, sertleştirme kılavuzu uygulandı, güvensiz servisler kapatıldı ve firmware yamalandı adımlarını ekleyin; IP bağlantılı cihazları listeleyen bir siber katman varlık envanterini boyutlandırmak için kullanılabilir.

Kimler okumalı

Uç veri merkezi tasarlayan ve altyapı cihazlarının ağ güvenliğinden sorumlu olan mühendisler ile OT güvenlik yöneticileri.

İlgili standartlar

• IEC 62443-4-1
• IEC 62443-4-2
• IEC 62443-2-4
• IEC 62443-3-3

Yayın bilgileri

Yazarlar

Daniel Paillet

Yayıncı

Schneider Electric

Yıl

2021

Belge numarası

WP 12

Belge dili

İngilizce

Kaynak türü

Üretici

Erişim

Ücretsiz okunur

Lisans

Telif hakkı saklı; yalnızca künye — özgün belge için yayıncının kullanım koşulları geçerlidir

Künye