È probabile che questo non sia il primo articolo che leggi sull’approccio Zero Trust.
Zero Trust non è uno standard IEEE chiaramente definito, né è mai stato scritto un RFC al riguardo. Ogni vendor sembra prendersi delle libertà artistiche per soddisfare il proprio focus, il che rende la conversazione molto fluida.
Cosa dovrebbe fare? Quali problemi dovrebbe risolvere? La maggior parte delle persone concorda sul fatto che Zero Trust in qualche modo cambia la modalità di accesso per impostazione predefinita, consentendo infatti l’accesso solo se esplicitamente richiesto. Un obiettivo ambizioso, ma cosa implica realmente e come si applica ai sistemi di controllo industriale e alle infrastrutture critiche?
Il Contesto è Importante per le Policy Zero Trust
In sostanza, Zero Trust è un framework che impedisce la connettività presumendo che vi sia un rischio se non diversamente dimostrato. Piuttosto che definire semplicemente una policy di accesso minima, la posizione e il contesto della sicurezza possono svolgere un ruolo nel miglioramento della sicurezza Zero Trust. Questo aiuta a ridurre significativamente il rischio prendendo decisioni più informate sulla connettività.
Un'architettura Zero Trust, prima di consentire a una macchina o a un utente di connettersi alla rete, dovrebbe sempre verificare se tale connessione può essere effettuata in modo sicuro. Inoltre, tale collegamento dovrebbe essere stabilito con il numero minimo di risorse di cui ha bisogno. Questi controlli dovrebbero essere effettuati per sessione invece che una tantum all'inizio.
L'integrazione del contesto nelle decisioni delle policy Zero Trust è in netto contrasto con il consueto approccio alla lista consentita delle implementazioni Zero Trust. Il processo di verifica utente iniziale non dovrebbe essere costituito solo dalle credenziali, anche se sono in atto controlli più avanzati come 2FA (2 Factor Authentication).
Ovviamente l'identità è un passaggio di verifica importante, ma non aiuta a valutare se la connessione può essere effettuata in sicurezza e dovrebbe essere consentita, soprattutto se il dispositivo è stato compromesso. Dovremmo porre domande specifiche basate su metriche che consentono di prendere decisioni di migliore qualità in tempo reale, come ad esempio:
- Da dove viene il collegamento?
- C'è un'indicazione che la macchina utilizzata per la connessione è compromessa?
- Ci sono vulnerabilità che introducono rischi per il resto della rete?
- Qual è la storia della comunicazione tra questi sistemi o si tratta di una nuova connessione?
In particolare, nell'infrastruttura IT, c'è un movimento sostanziale verso l'adozione di un framework Zero Trust. Le reti vengono "micro-segmentate". L'accesso remoto VPN si sta evolvendo verso qualcosa di più avanzato e più granulare. Gli User Agent sono distribuiti sulle workstation per ottenere maggiori informazioni sulla sua posizione di sicurezza e così via.
Questi sono tutti sviluppi con un enorme valore per l'infrastruttura IT, ma come si fa a farlo nell'infrastruttura OT/IoT? Cosa puoi fare per adottare gli stessi vantaggi per i sistemi di controllo industriale, i dispositivi cyber-fisici e le infrastrutture critiche?
Zero Trust per OT/IoT e Sistemi di Controllo Industriale
La micro-segmentazione ha senso per OT? A parte le sfide tecniche dell'implementazione, cosa succede se il traffico è bloccato? Che impatto avrà sul processo? Nell'IT è normale e persino altamente auspicabile bloccare il traffico quando si sospetta che sia dannoso, ma in OT questo è rischioso. Il semplice blocco potrebbe avere un impatto sulla produzione tanto o più che consentire quel traffico.
E gli User Agent? Molti dispositivi OT o IoT come controller, sensori, robot e così via sono headless. Non è possibile inserire software su di essi, soprattutto se sono processori semplificati e single-purpose che non eseguono un sistema operativo completo.
Molto spesso, la sicurezza non viene presa in considerazione quando sono sviluppati questi prodotti.
Quindi, cosa puoi fare per la tua infrastruttura OT? Per prendere decisioni di migliore qualità sulla connettività, devi capire cosa stai cercando di proteggere.
La "comprensione" non riguarda solo gli indirizzi MAC, gli indirizzi IP o le porte. Si tratta di conoscere il tipo di dispositivi, qual è il loro comportamento previsto e quale hardware e software viene utilizzato. Si tratta di sapere come si comporta l'intero ambiente OT. Quale macchina parla con quale/i altra/e macchina/e? Con quale protocollo? Quale carico utile viene scambiato? A che frequenza?
Massimizzare la Sicurezza
La raccolta di informazioni deve portare da qualche parte. Senza di essa, lo sforzo è inutile, quindi dovrebbe essere convertito in intelligenza fruibile e, in definitiva, in azioni. Conoscere le versioni hardware e software porterà a sapere quali vulnerabilità si applicano a quei dispositivi monitorati, se tali dispositivi sono ancora supportati dai loro fornitori e come dovrebbero agire sulla rete. Ora è rilevante.
Conoscere il comportamento di intere reti OT/IoT include anche la capacità di rilevare e avvisare in caso di anomalie. Se i dispositivi che non hanno mai comunicato tra loro iniziano improvvisamente a farlo, o se hanno comunicato in precedenza ma ora mostrano un comportamento diverso, giustifica l'indagine sulla loro legittimità. È molto probabile che questo sia l'inizio di una violazione.
Elaborando un po' di informazioni utilizzabili, i dati raccolti per Zero Trust non dovrebbero essere solo poche righe che indicano quale sia probabilmente il problema. Dovrebbe aiutare a determinare quale impatto ha sulla rete OT quando affrontato.
Ad esempio, correggere le vulnerabilità può essere una vera impresa: in che modo ciò migliora la posizione di sicurezza rispetto allo sforzo richiesto? Si tratta di informazioni quantificabili per prendere una decisione informata su come procedere con l'applicazione delle patch.
In Conclusione
Per quanto riguarda l'applicazione delle policy Zero Trust, anche in OT e IoT, a volte è giustificato automatizzare gli interventi bloccando il traffico. La suite di strumenti che formano il meccanismo di difesa informatica dovrebbe funzionare bene e scambiare informazioni per agire il più velocemente possibile in modo che ciascuno possa svolgere la propria funzione in modo efficace.
Se vuoi scoprire di più su come applicare l’approccio Zero Trust di Nozomi Networks alla tua infrastruttura OT, invia una mail a cio@florence-consulting.it o chiama lo (055) 538-3250.
In alternativa, puoi compilare il form sottostante con la tua domanda.