Основні висновки
- За допомогою технологій обману зловмисників можна виявити вже на етапах розвідки та на ранніх фазах атаки, коли вони ще не завдають шкоди промисловим об’єктам.
- Імітовані об’єкти, фальшиві цілі та підроблені облікові дані підвищують прозорість операційного середовища, що дозволяє організаціям виявляти приховані шляхи проникнення та підозрілу активність.
- Розподілені засоби обману виявляють несанкціоноване латеральне переміщення та допомагають виявляти зловмисників, які намагаються переміщатися по інженерних системах, операційних зонах та критично важливій інфраструктурі.
- У складних середовищах OT захисні рівні обману відіграють важливу роль у забезпеченні безпеки застарілих і важкодоступних систем без шкоди для часу безвідмовної роботи.
- Чим менше помилкових спрацьовувань і сигналів тривоги, що генеруються засобами обману, тим більше часу команди безпеки можуть ефективно приділяти реальним загрозам.
Операційні технології (OT) та промислові системи управління (ICS) використовуються для управління широким спектром об’єктів критичної інфраструктури, зокрема виробничими підприємствами, енергетикою, транспортом, водоочисними спорудами та промисловими об’єктами. Їхні середовища підлягають суворому регулюванню щодо фізичних процесів та обладнання, що робить їх привабливою мішенню для кіберзлочинців та груп, які становлять серйозну загрозу. Однак стандартні рішення у сфері кібербезпеки є неефективними в промисловому середовищі, оскільки в промислових системах більшу увагу приділяють безперебійній роботі, надійності та безпеці, ніж регулярним оновленням та оперативності впровадження змін у системі безпеки.
Саме тут технології обману виходять на новий рівень важливості. Реалістичні фальшиві цілі, пастки та імітації промислових об’єктів можуть допомогти організаціям виявляти зловмисників значно раніше протягом життєвого циклу атаки. Використання технологій обману в мережах OT/ICS для раннього виявлення загроз дозволяє організаціям підвищити прозорість та зміцнити стійкість своїх промислових мереж без шкоди для виробничих процесів.
Розуміння проблем безпеки в середовищах OT та ICS
Мережі OT значно відрізняються від традиційних ІТ-мереж. Досі існує безліч промислових додатків, у яких використовуються застарілі системи з тривалим життєвим циклом, пропрієтарними протоколами зв’язку та обмеженою кількістю часових вікон для встановлення виправлень. У той час як ІТ-системи можуть дозволити собі певний час простою для технічного обслуговування, промислові системи, як правило, вимагають безперервної доступності.
Ці невідповідності створюють проблеми з безпекою. Застарілі рішення для моніторингу безпеки можуть генерувати занадто багато помилкових спрацьовувань або не виявляти бічне переміщення у сегментованих промислових середовищах. У міру розширення промислових мереж та їх інтеграції з хмарними системами й користувачами, що працюють віддалено, збільшується кількість «сліпих зон», а разом з ними — ймовірність виникнення кіберзагроз.
Що таке технологія обману?
Технологія обману — це стратегія кібербезпеки, яка полягає у розміщенні в середовищі імітацій реальних ресурсів з метою спонукати зловмисників взаємодіяти з ними. Такими ресурсами можуть бути імітовані системи, облікові дані, файли, служби або пристрої. Оскільки авторизовані користувачі ніколи не повинні взаємодіяти з ними, будь-яку взаємодію з імітаційними ресурсами слід розглядати як явну ознаку підозрілої поведінки.
Технологія «обману» дозволяє впроваджувати компоненти в промислове середовище, наприклад, в інженерні робочі станції, промислові контролери, пульти оператора або промислові комунікаційні сервіси. Мета полягає не лише в тому, щоб виявити зловмисника, а й попередити службу безпеки про можливу атаку на виробничі активи.
Чому раннє виявлення загроз має важливе значення в мережах OT та ICS
У промислових умовах своєчасне виявлення загроз має вирішальне значення з огляду на потенційний вплив на фізичні операції. На відміну від традиційних кіберінцидентів, компрометація промислових систем може призвести до зупинок виробництва, виходу обладнання з ладу, проблем із безпекою, екологічних проблем або збоїв у ланцюжку поставок.
Своєчасне виявлення шкідливої діяльності на етапі розвідки або на ранній стадії проникнення дозволяє значно мінімізувати потенційні збитки. Саме з цієї причини організації дедалі частіше вдаються до технологій обманних маневрів для мереж OT та ICS як додаткового заходу безпеки.
Як технології обману можуть застосовуватися в мережах OT та ICS для раннього виявлення загроз?
1. Виявлення розвідувальних дій до початку атак
Першим кроком у атаці є пошук систем, побудова карти мережі та визначення цілей для атаки. Технологія обману передбачає створення промислових пристроїв, що виглядають як фальшиві цілі, під час сканування та переліку мережевих ресурсів. Наприклад, можна розгорнути імітовані контролери, підроблені SCADA-ресурси або підроблені інженерні робочі станції. У разі атаки команди безпеки одразу ж помітять підозрілу активність, перш ніж це вплине на виробничі ресурси.
2. Виявлення бічного переміщення
Після отримання початкового доступу зловмисники часто намагаються переміщатися між системами, щоб отримати доступ до критично важливих операційних середовищ. Перенесення ресурсів в інший сегмент мережі може виявити деякі незвичайні моделі переміщення. Не слід очікувати, що ресурси системи-приманки генеруватимуть нормальний трафік, що спрощує виявлення несанкціонованих спроб віддаленого доступу до них, незвичної адміністративної активності або підозрілого використання облікових даних. Це забезпечує надійніше виявлення та допомагає позбутися «втоми від попереджень».
3. Захист застарілої інфраструктури
Часто у зв’язку з експлуатаційними вимогами промислові організації змушені використовувати обладнання, для якого неможливо регулярно встановлювати виправлення. Перехід на іншу систему може бути дорогим і складним. Технології обману не передбачають заміну критично важливої інфраструктури, а полягають у додаванні рівнів захисту та виявлення навколо вразливих систем.
Це дозволить організаціям відстежувати спроби злому та підозрілу активність, водночас мінімізуючи негативний вплив на бізнес-процеси. Це стає дедалі важливішим для промислових операторів, оскільки рішення на основі технології обману для середовищ OT набувають дедалі більшої цінності.
4. Виявлення неправомірного використання облікових даних
Злом облікових даних, як і раніше, залишається одним із найпоширеніших методів атак у промисловому середовищі. Системи імітації можна використовувати для розміщення по всій мережі підроблених облікових даних, фальшивих облікових записів та «медових токенів». Коли організація отримує сповіщення, це означає, що зловмисник був виявлений, щойно він спробував використати підроблені облікові дані. Це забезпечує раннє сповіщення про крадіжку облікових даних та спроби підвищення привілеїв до того, як зловмисник отримає доступ до критично важливих ресурсів.
5. Забезпечення моніторингу несанкціонованого доступу до промислових протоколів
Протоколи, такі як Modbus, DNP3, OPC та користувацькі протоколи, відіграють ключову роль у промислових додатках. Ці протоколи часто стають першою метою зловмисників, які прагнуть виявити вразливості або вразливі ресурси. Технології обману дозволяють імітувати служби промислових протоколів та відстежувати обмін даними з підробленими пристроями. Легітимний користувач не буде взаємодіяти з цими «принадами», тому сповіщення з високим рівнем достовірності, що генеруються під час спроб доступу до них, своєчасно попереджатимуть служби безпеки.
6. Підвищення прозорості в сегментованих мережах
Сегментація мереж широко застосовується в середовищах OTS для виділення операційних зон, інженерних систем та бізнес-мереж. Однак зловмисники часто намагаються обійти межі сегментації після отримання початкового доступу. Використання засобів виявлення спроб обману в сегментованих середовищах допомагає фахівцям з безпеки виявляти будь-який незвичайний рух трафіку між зонами. Це підвищує прозорість і робить мережі OT та ICS безпечнішими, не впливаючи при цьому на виробничі системи.
7. Виявлення внутрішніх загроз та несанкціонованої діяльності користувачів
Однак не всі загрози надходять ззовні. Ризики для безпеки можуть створюватися навмисно чи ненавмисно співробітниками, підрядниками або внаслідок злому внутрішніх облікових записів. Незвичайну поведінку користувачів можна виявити за допомогою обманних ресурсів, таких як підроблені записи в журналах технічного обслуговування, фальшиві консолі оператора або інженерні файли. Частий доступ до цих ресурсів є тривожним сигналом про підозрілу діяльність і може попередити користувачів про потенційні проблеми до того, як вони вплинуть на робочі системи.
Переваги технологій обману в середовищах OT
1. Підвищення якості сповіщень
Однією з основних переваг технологій обману є їхня здатність генерувати високоякісні сповіщення. Оскільки у легітимних користувачів і систем немає причин взаємодіяти з фальшивими об’єктами, будь-яка взаємодія з ними викликає серйозні підозри. Це значно скорочує кількість помилкових спрацьовувань і дозволяє фахівцям з безпеки зосередитися на реальних загрозах.
2. Більш повна картина діяльності зловмисників
Технології обману дозволяють отримати цінну інформацію про поведінку зловмисників у промислових середовищах. Фахівці з безпеки можуть у режимі реального часу відстежувати розвідувальні дії, спроби несанкціонованого використання облікових даних, латеральне переміщення та методи експлуатації вразливостей, не наражаючи виробничі системи на додатковий ризик. Така інформація допомагає організаціям краще розуміти методи атак і зміцнювати свої системи захисту.
3. Більш швидке виявлення загроз та реагування на них
Завдяки виявленню шкідливої активності на ранніх етапах атаки технології виявлення обману дають змогу швидше реагувати на інциденти. Замість того, щоб чекати запуску шкідливого ПЗ або виникнення збоїв у роботі, фахівці з безпеки отримують раннє попередження, коли зловмисники взаємодіють з обманними ресурсами, що дозволяє їм швидше проводити розслідування та локалізувати загрози.
4. Мінімальний вплив на промислові операції
На відміну від деяких засобів забезпечення безпеки, які можуть вплинути на продуктивність системи або вимагати змін в експлуатації, технології обману можна впроваджувати з мінімальним порушенням роботи промислових процесів. Фальшиві цілі працюють окремо від виробничих активів, що робить їх ідеальним рішенням для критично важливих середовищ OT, де безперервність роботи, надійність і безпека мають вирішальне значення.
5. Підвищення операційної відмовостійкості
У міру того, як промислові мережі стають дедалі більш взаємопов’язаними, технології обману допомагають організаціям зміцнювати загальний рівень безпеки та відмовостійкості. Раннє виявлення загроз, покращена видимість та проактивний моніторинг знижують ймовірність успішних атак і допомагають захистити критично важливі операції від збоїв.
Технологія Fidelis Deception® для виявлення загроз у системах OT
Fidelis Deception підвищує ефективність виявлення загроз у системах OT завдяки розгортанню реалістичних пасток, підроблених облікових даних та оманливих ресурсів, що імітують промислові системи та пристрої в усьому середовищі OT. На відміну від традиційних засобів захисту, заснованих на сигнатурах або еталонних моделях поведінки, технологія обману працює за принципом, згідно з яким будь-яка взаємодія з пасткою за своєю суттю є підозрілою.
Fidelis забезпечує підтримку середовищ, характерних для операційних технологій (OT), завдяки протокольно-орієнтованим приманкам, здатним емулювати промислові пристрої та канали зв’язку, що допомагає організаціям на ранній стадії виявляти розвідувальну діяльність, латеральне переміщення, зловживання обліковими даними та внутрішні загрози. Оскільки фальшиві цілі розміщуються поза основним маршрутом і не створюють перешкод для виробничих систем, організації отримують можливість високоточного виявлення загроз із мінімальним операційним ризиком, одночасно покращуючи розуміння тактики та дій зловмисників у мережі OT.
Висновок
З розвитком кіберзагроз у промисловості дедалі більшого значення набуває розуміння того, як можна використовувати технології обману в мережах OT та ICS для раннього виявлення загроз. Виявити прихованих зловмисників в операційних середовищах за допомогою традиційних методів забезпечення безпеки досить складно.
Організації можуть використовувати технології обману, щоб випередити зловмисників у виявленні розвідувальних дій, швидше виявляти латеральне переміщення, захищати застарілу інфраструктуру та знижувати ризик збоїв у роботі.
Впровадження технологій обману в промислових середовищах може допомогти організаціям підвищити рівень видимості, зміцнити безпеку та створити більш відмовостійкі операційні процеси на тлі постійного розширення мереж підключених систем і цифрових технологій.
Джерело: How Can Deception Be Used in OT ICS Networks for Early Threat Detection
