La tecnología operativa en IoT industrial no puede tolerar los parches estilo TI. El "análisis de amenazas" es una solución potente y segura

Hablando de Internet industrial de las cosas - (IIoT). La tecnología operativa en el Internet de las cosas industrial (IoT) no puede tolerar los parches de estilo de TI. El uso de "análisis de amenazas" es una solución potente y segura. Dentro de las empresas y en todo el ecosistema global de IIoT, es una fusión intrincadamente entrelazada y negociada de TI y OT. Los sistemas de TO no solo son críticos para el negocio, pueden ser críticos para la nación o críticos de vida o muerte.

Todos los clientes industriales de Internet de las cosas (IIoT) con los que hablo quieren la mayor seguridad posible. No Internet de las cosas: Internet industrial de las cosas (IIoT).

¿Quién dentro de la organización del cliente ejecutará y será el propietario de este proceso? En una reunión tras otra con los clientes que desarrollan las capacidades de IIoT, me encuentro con una incertidumbre natural, pero a veces tensa, entre los profesionales de TI y OT / LOB en lo que respecta a la seguridad de IIoT.

Esta incertidumbre capital, es en sí misma, una vulnerabilidad de seguridad porque retrasa la implementación de seguridad esencial.

Una encuesta reciente de Forrester a líderes de TI y OT / LOB mostró que los gerentes de TI y OT están divididos en partes iguales sobre si TI o OT son responsables de la seguridad, según DARKReading de InformationWeek. Como resultado alarmante de este enfrentamiento, informa Forrester, una cantidad inaceptablemente grande de empresas (el 59 por ciento) están dispuestas a "tolerar un riesgo medio a alto en relación con la seguridad de IoT".

Creo que es incorrecto e incorrecto que las empresas permitan que continúe esta negligencia, además de peligroso para todas sus operaciones.

Considere las diferencias entre TI empresarial y OT:

• Disponibilidad :
  TI considera aceptable el 99 por ciento de tiempo de actividad, mientras que OT requiere 99,999 por ciento de tiempo de actividad, la diferencia entre 8,76 horas y 5,25 minutos de tiempo de inactividad anual.
  • Vida útil del sistema :
  Los sistemas de TI se actualizan, en promedio, cada tres a cinco años. Los sistemas de TO, por el contrario, duran de 10 a 15 años.
  • Parches :
  Los parches / actualizaciones de TI se pueden realizar siempre que estén disponibles, pero los parches / actualizaciones de OT corren el riesgo de interrumpir las operaciones industriales estratégicas que generan ingresos.

También hay muchas otras diferencias de TI / OT, ​​como diferentes enfoques de la nube.

Sin embargo, todas las diferencias están subsumidas por la necesidad universal de la seguridad IIoT más resistente disponible.

Un enfoque que prefiero es ayudar a las empresas industriales a utilizar las lecciones de TI que tanto ha ganado con tanto esfuerzo para dar un salto hacia un estado avanzado de seguridad IIoT. IIoT está diseñado e implementado de manera experta para cumplir con los requisitos diferenciados de OT. Algunos creen que los sistemas OT son otra forma de centro de datos, el núcleo fuertemente protegido de la TI empresarial.

Hay algunas ideas prometedoras que se pueden adaptar a partir de décadas de experiencia en TI. Usar estas ideas y luego agregarlas para proporcionar nuevos niveles de seguridad IIoT, mientras se respetan las necesidades específicas de OT. Entre estas adaptaciones se encuentran la separación de las redes de punto final, la microsegmentación y el análisis del comportamiento del usuario (UBA). Los discutiré en artículos futuros.

Con parche , IT y OT hablan diferentes idiomas. Ingrese "análisis de amenazas".

Entendemos que el proceso de parcheo tiene como objetivo actualizar, reparar o mejorar un programa de software. Por lo general, una solución rápida, y a menudo fortuita, además. Sin embargo, cuando se trata de parches, un puerto directo de la práctica diaria de TI a OT no siempre es factible.

Cuando se trata de parches, TI y OT hablan diferentes idiomas.

Es esencial que la industria de IIoT, TI y OT, se unan en beneficio de sus empresas. Esto requerirá pensar más profundamente y con mayor imaginación para desarrollar técnicas sólidas de ciberseguridad. Por necesidad, estas operaciones deberán ser más ágiles y efectivas que el parcheo reflexivo.

Los parches pueden crear problemas para OT. Como vemos con los parches para las vulnerabilidades de la CPU Meltdown y Spectre, a veces un parche puede empeorar las cosas. Los primeros parches para Meltdown y Spectre afectaron el rendimiento de todo el sistema.

La dura verdad es que la parte más vulnerable de la economía industrial moderna son en gran parte las viejas máquinas OT. En el mundo de la TI, si algo está infectado, el primer instinto es apagarlo rápidamente y parchearlo (o reemplazarlo). Pero en OT, a menudo ocurre lo contrario:manténgalo en funcionamiento.

Algunos sistemas OT cruciales han estado en fábricas durante 15 a 25 años o más. Estos bebés no se pueden bajar y parchear fácilmente. Incluso si hubiera un parche adecuado disponible, esos sistemas generalmente no tienen suficiente memoria o ancho de banda de CPU para aceptar parches.

Por último, está el problema de la relativa complejidad y fragilidad de los sistemas de TO en comparación con los sistemas de TI.

Los sistemas de TI se pueden desmontar, parchear y volver a poner en marcha para ofrecer un servicio idéntico. TI puede ejecutar racks cargados con servidores idénticos, y si uno se avería o se quema, el siguiente en la línea se hace cargo sin problemas. Pero los sistemas de TO son a menudo combinaciones altamente orquestadas de software y hardware que tienen "personalidades".

Incluso cuando las empresas pueden desactivar las máquinas para repararlas, cuando vuelven a funcionar, los resultados pueden ser impredecibles. No es el mismo sistema porque el parche ha introducido comodines que pueden proliferar a través de otros elementos del sistema.

En OT, la imprevisibilidad no es aceptable.

En pocas palabras: Debe haber una mejor manera de proteger los sistemas IIoT que aplicar parches de forma reflexiva O ignorar una amenaza de seguridad porque el parche no es factible, por todas las razones que acabo de describir.

LA MEJOR MANERA:"ANÁLISIS DE AMENAZAS"

El mejor enfoque en OT es examinar los desafíos de seguridad de una manera mucho más granular que en la actualidad. Propongo que utilicemos el antiguo enfoque de análisis de amenazas para la aplicación de parches.

Primer paso en el análisis de amenazas:

No tome ninguna acción inmediata. Eso significa evitar el parcheo, no el parcheo, cualquier otra cosa. Espere un segundo hasta que validemos si realmente existe una vulnerabilidad del sistema, y ​​si existe, ¿cómo se puede explotar?

Hay varios factores a considerar.

Algunos sistemas que operan en el interior de las empresas pueden tener vulnerabilidades. Debido a que el sistema está tan aislado dentro de la empresa, el riesgo de seguridad real es menor que el riesgo de apagar los sistemas para la aplicación de parches, suponiendo que exista un parche.

El cálculo cambia cuando se evalúan los sistemas que están expuestos a la nube o Internet, es donde el riesgo de seguridad es obviamente mucho mayor.

Análisis de amenazas:

Análisis de amenazas: luego identificaría rápidamente qué sistemas probablemente pueden seguir funcionando sin parches y qué sistemas deben detenerse para parchear.

Análisis de amenazas: también validaría una vulnerabilidad. Es importante hacer otra pregunta:si esta vulnerabilidad puede ser explotada por ciertas amenazas, ¿hay alguna manera de detener esta menos que parche ?

Por ejemplo, los expertos en seguridad podrían crear un conjunto de scripts predeterminados dentro de la red o en el propio dispositivo terminal. Eso ayudaría a identificar la respuesta adecuada a una serie de amenazas diferentes. Estas secuencias de comandos servirían como una plantilla "si / entonces" para formalizar, automatizar y acelerar las respuestas a las amenazas. La cuestión es pensar con más sofisticación que una decisión de parche binario / no parche.

Las empresas de software deben respaldar el desarrollo del análisis de amenazas al informar a los clientes sobre los parches que lanzan. La información clave que nos gustaría ver es cómo se pueden explotar las vulnerabilidades y las posibles formas de protegerse contra ellas.

Esta transparencia adicional brindaría a los clientes más información para tomar decisiones sobre los movimientos de seguridad correctos para los sistemas afectados. Los expertos en seguridad deben estar seguros de que un parche, como mínimo, mantendrá el mismo nivel de riesgo que existía antes de que se descubriera una vulnerabilidad.

Análisis de amenazas: debe ser extremadamente granular. Si una empresa tiene 100 dispositivos en ejecución, cada uno requiere su propio análisis de amenazas, que incluiría una comparación de las vulnerabilidades frente a los beneficios del parche, así como un "menú" resultante de opciones de seguridad.

El objetivo principal, por supuesto, es mejorar la seguridad y, al mismo tiempo, maximizar el tiempo de actividad de OT.

Análisis de amenazas: es más matizado y multidimensional que las decisiones de parcheo pasa / no pasa.

Pero hay un desafío que la industria debe resolver para llegar de donde estamos a donde deberíamos estar:en este momento, seguir el proceso descrito anteriormente lleva tiempo, cuesta dinero, requiere profesionales altamente capacitados, e incluso entonces, no es fácil de hacer.

La comunidad de proveedores debe comenzar a actuar de acuerdo con un conjunto de estándares acordados. Necesitamos legislación estándar, y posiblemente legislación, sobre cómo se manejarán los informes y las vulnerabilidades de tratamiento. Significado:no encubierto. Todo este proceso se puede automatizar.

Lo que funcionó tan bien en TI simplemente no encaja en OT.

Es hora de innovar en toda la industria más allá de la elección entre parche, parche, parche o dejar que los sistemas sin parche se ejecuten de forma vulnerable.

Nuestro objetivo debe ser crear procesos potentes y eficaces y luego automatizar ellos para poner este nuevo enfoque. Todo esto puede estar al alcance de empresas industriales y naciones a nivel mundial.

El hecho de que podamos ver claramente este futuro mejor no significa que esté cerca.

Pero comencemos ahora para llegar allí, juntos.