-
08/10/2013
-
400
-
985 bài viết
Tìm hiểu về tiêu chuẩn ISA/IEC 62443-3-3 áp dụng cho bảo vệ hệ thống OT
Khi tìm hiểu các tiêu chuẩn bảo mật cho hệ thống mạng công nghiệp (mạng OT), có thể bạn đã biết đến ISA/IEC 62443. Tuy nhiên đây là một seri rất nhiều phần. Vậy đâu là phần bạn cần quan tâm cho mạng OT đang quản lý? Bài viết này sẽ trả lời câu hỏi đó.
Mạng lưới công nghiệp và cơ sở hạ tầng quan trọng đã trở thành một sân chơi mới cho các tội phạm mạng. Cho dù bạn đang là người điều hành của một cơ sở sản xuất toàn cầu, đa tiện ích hay chỉ điều hành một nhà máy sản xuất công nghiệp vừa và nhỏ, bạn vẫn có thể là mục tiêu của một cuộc tấn công mạng. Kết quả của việc tấn công có thể là: sản xuất ngưng trệ; doanh thu giảm sút; hỏng hóc các thiết bị công nghiệp; thiệt hại về nhân công và môi trường. Vì vậy không có gì xứng đáng được ưu tiên hơn việc đảm bảo hoạt động công nghiệp hoạt động một cách trơn tru.
Hiệp hội tự động hóa quốc tế (ISA) và ủy ban công nghệ điện quốc tế (IEC) đã phát triển tiêu chuẩn ISA/IEC 62443. Đây là một khuôn khổ để thực hiện các biện pháp thực tiễn tốt nhất đảm bảo an ninh mạng công nghiệp từng bước và thúc đẩy cải tiến thường xuyên. Tiêu chuẩn này có khá nhiều phần và nhiều khía cạnh khác nhau, nhưng phần quan trọng là ISA/IEC 62443-3-3, phần này miêu tả các khả năng bảo mật mà bạn nên thực hiện.
ISA/IEC 62443-3-3 nổi bật nhờ sự bắt buộc của việc kiểm soát quyền truy cập vào tài nguyên và hạn chế việc liên lạc bằng cách thực thi các nguyên tắc phân quyền cho người dùng và thiết bị. Việc nhận dạng thiết bị, phân quyền người dùng và phân đoạn siêu nhỏ là bắt buộc để giảm sự tiếp xúc của hệ thống kiểm soát công nghiệp (ICS) đối với các cuộc tấn công mạng và hạn chế sự lây lan nếu bị tấn công.
Nguyên tắc bảo mật ISA/IEC 62443-3-3
Phần 3-3 của tiêu chuẩn xác định các yêu cầu bảo mật thiết yếu (yêu cầu hệ thống – SR và yêu cầu nâng cao – RE) bắt nguồn từ Yêu cầu cơ bản (FR) để tuân thủ các nguyên tắc an ninh mạng được xác định trong Phần 1-1, bao gồm:
- Đặc quyền tối thiểu
Nguyên tắc này chỉ cung cấp cho người dùng các quyền họ cần để thực hiện công việc của mình, nhằm ngăn chặn truy cập không mong muốn vào dữ liệu hoặc chương trình và chặn hoặc làm chậm cuộc tấn công nếu tài khoản bị xâm phạm.
- Phòng ngự có chiều sâu
Kỹ thuật này cho phép các kỹ thuật phòng thủ nhiều lớp để làm trì hoãn hoặc ngăn chặn một cuộc tấn công mạng trong mạng công nghiệp. Tiêu chuẩn cũng yêu cầu các hệ thống được tách thành các nhóm được gọi là zone (khu vực) có thể liên lạc với nhau thông qua các kênh liên lạc được gọi là “ống dẫn” cho dù chúng dựa trên vật lý, điện tử hay quy trình.
- Phân tích rủi ro
Khái niệm phân tích rủi ro, dựa trên mức độ nghiêm trọng, khả năng xảy ra và tác động, không phải là mới. Nó đã được sử dụng để giải quyết các rủi ro liên quan đến cơ sở hạ tầng sản xuất, năng lực sản xuất (thời gian ngừng sản xuất), tác động đến con người (thương tật, tử vong) và môi trường (ô nhiễm). Tuy nhiên, kỹ thuật này phải mở rộng sang lĩnh vực an ninh mạng để giải quyết các rủi ro vốn có trong các hệ thống thông tin công nghiệp. ISA/IEC-62443-3-2 mô tả phương pháp đánh giá rủi ro bảo mật cho IACS.
- Bổ sung các biện pháp an ninh
Trong nhiều trường hợp, các thành phần của IACS không cung cấp các khả năng cần thiết để đáp ứng một mức độ bảo mật nhất định. Trong những tình huống như vậy, việc sử dụng các biện pháp bảo mật bổ sung là cần thiết.
- Khu vực và ống dẫn
Dựa trên các nguyên tắc này, ISA/IEC-62443 đề xuất kiến trúc hệ thống điều khiển công nghiệp tận dụng mô hình tham chiếu Purdue được sử dụng trong ISA95 (Hình 1), phân chia các mức chức năng này thành các khu vực và ống dẫn (Hình dưới). Một khu vực là một tập hợp các tài sản thống nhất về mặt vật lý và/hoặc chức năng có các yêu cầu chung về bảo mật. Các vùng này được xác định dựa trên các mô hình vật lý và chức năng của kiến trúc điều khiển hệ thống công nghiệp. Tất cả tài sản trong IACS phải được định vị trong một khu vực. Ống dẫn hỗ trợ giao tiếp giữa các khu vực. Ống dẫn là một nhóm hợp lý các kênh liên lạc giữa hai hoặc nhiều vùng.
Ví dụ về vùng mạng công nghiệp và đường ống dẫn (nguồn: tiêu chuẩn IEC 62443-3-3)
Lưu ý các phần khác
ISA/IEC-62443-3-3 tập trung vào nguyên tắc an toàn nhưng nó tận dụng các phần khác của chuỗi tiêu chuẩn. Chẳng hạn, nó giả định rằng một chương trình bảo mật đã được thiết lập và đang được vận hành theo tiêu chuẩn IEC 62443-2-1: Yêu cầu về chương trình bảo mật đối với chủ sở hữu tài sản hệ thống OT
ISA/IEC-62443-3-3 cũng giả định rằng các thành phần bảo mật sẽ được triển khai hoặc các biện pháp bổ sung sẽ được đưa ra để đáp ứng các yêu cầu của nó và giải quyết tình trạng dễ bị tổn thương và mối đe dọa hiện tại và tương lai. Các yêu cầu về thành phần và phát triển được xác định trong Phần 4-2 và 4-1, đây là những yêu cầu cần thiết để đạt được sự tuân thủ.
Mạng lưới công nghiệp và cơ sở hạ tầng quan trọng đã trở thành một sân chơi mới cho các tội phạm mạng. Cho dù bạn đang là người điều hành của một cơ sở sản xuất toàn cầu, đa tiện ích hay chỉ điều hành một nhà máy sản xuất công nghiệp vừa và nhỏ, bạn vẫn có thể là mục tiêu của một cuộc tấn công mạng. Kết quả của việc tấn công có thể là: sản xuất ngưng trệ; doanh thu giảm sút; hỏng hóc các thiết bị công nghiệp; thiệt hại về nhân công và môi trường. Vì vậy không có gì xứng đáng được ưu tiên hơn việc đảm bảo hoạt động công nghiệp hoạt động một cách trơn tru.
Hiệp hội tự động hóa quốc tế (ISA) và ủy ban công nghệ điện quốc tế (IEC) đã phát triển tiêu chuẩn ISA/IEC 62443. Đây là một khuôn khổ để thực hiện các biện pháp thực tiễn tốt nhất đảm bảo an ninh mạng công nghiệp từng bước và thúc đẩy cải tiến thường xuyên. Tiêu chuẩn này có khá nhiều phần và nhiều khía cạnh khác nhau, nhưng phần quan trọng là ISA/IEC 62443-3-3, phần này miêu tả các khả năng bảo mật mà bạn nên thực hiện.
ISA/IEC 62443-3-3 nổi bật nhờ sự bắt buộc của việc kiểm soát quyền truy cập vào tài nguyên và hạn chế việc liên lạc bằng cách thực thi các nguyên tắc phân quyền cho người dùng và thiết bị. Việc nhận dạng thiết bị, phân quyền người dùng và phân đoạn siêu nhỏ là bắt buộc để giảm sự tiếp xúc của hệ thống kiểm soát công nghiệp (ICS) đối với các cuộc tấn công mạng và hạn chế sự lây lan nếu bị tấn công.
Nguyên tắc bảo mật ISA/IEC 62443-3-3
Phần 3-3 của tiêu chuẩn xác định các yêu cầu bảo mật thiết yếu (yêu cầu hệ thống – SR và yêu cầu nâng cao – RE) bắt nguồn từ Yêu cầu cơ bản (FR) để tuân thủ các nguyên tắc an ninh mạng được xác định trong Phần 1-1, bao gồm:
- Đặc quyền tối thiểu
Nguyên tắc này chỉ cung cấp cho người dùng các quyền họ cần để thực hiện công việc của mình, nhằm ngăn chặn truy cập không mong muốn vào dữ liệu hoặc chương trình và chặn hoặc làm chậm cuộc tấn công nếu tài khoản bị xâm phạm.
- Phòng ngự có chiều sâu
Kỹ thuật này cho phép các kỹ thuật phòng thủ nhiều lớp để làm trì hoãn hoặc ngăn chặn một cuộc tấn công mạng trong mạng công nghiệp. Tiêu chuẩn cũng yêu cầu các hệ thống được tách thành các nhóm được gọi là zone (khu vực) có thể liên lạc với nhau thông qua các kênh liên lạc được gọi là “ống dẫn” cho dù chúng dựa trên vật lý, điện tử hay quy trình.
- Phân tích rủi ro
Khái niệm phân tích rủi ro, dựa trên mức độ nghiêm trọng, khả năng xảy ra và tác động, không phải là mới. Nó đã được sử dụng để giải quyết các rủi ro liên quan đến cơ sở hạ tầng sản xuất, năng lực sản xuất (thời gian ngừng sản xuất), tác động đến con người (thương tật, tử vong) và môi trường (ô nhiễm). Tuy nhiên, kỹ thuật này phải mở rộng sang lĩnh vực an ninh mạng để giải quyết các rủi ro vốn có trong các hệ thống thông tin công nghiệp. ISA/IEC-62443-3-2 mô tả phương pháp đánh giá rủi ro bảo mật cho IACS.
- Bổ sung các biện pháp an ninh
Trong nhiều trường hợp, các thành phần của IACS không cung cấp các khả năng cần thiết để đáp ứng một mức độ bảo mật nhất định. Trong những tình huống như vậy, việc sử dụng các biện pháp bảo mật bổ sung là cần thiết.
- Khu vực và ống dẫn
Dựa trên các nguyên tắc này, ISA/IEC-62443 đề xuất kiến trúc hệ thống điều khiển công nghiệp tận dụng mô hình tham chiếu Purdue được sử dụng trong ISA95 (Hình 1), phân chia các mức chức năng này thành các khu vực và ống dẫn (Hình dưới). Một khu vực là một tập hợp các tài sản thống nhất về mặt vật lý và/hoặc chức năng có các yêu cầu chung về bảo mật. Các vùng này được xác định dựa trên các mô hình vật lý và chức năng của kiến trúc điều khiển hệ thống công nghiệp. Tất cả tài sản trong IACS phải được định vị trong một khu vực. Ống dẫn hỗ trợ giao tiếp giữa các khu vực. Ống dẫn là một nhóm hợp lý các kênh liên lạc giữa hai hoặc nhiều vùng.
Ví dụ về vùng mạng công nghiệp và đường ống dẫn (nguồn: tiêu chuẩn IEC 62443-3-3)
Lưu ý các phần khác
ISA/IEC-62443-3-3 tập trung vào nguyên tắc an toàn nhưng nó tận dụng các phần khác của chuỗi tiêu chuẩn. Chẳng hạn, nó giả định rằng một chương trình bảo mật đã được thiết lập và đang được vận hành theo tiêu chuẩn IEC 62443-2-1: Yêu cầu về chương trình bảo mật đối với chủ sở hữu tài sản hệ thống OT
ISA/IEC-62443-3-3 cũng giả định rằng các thành phần bảo mật sẽ được triển khai hoặc các biện pháp bổ sung sẽ được đưa ra để đáp ứng các yêu cầu của nó và giải quyết tình trạng dễ bị tổn thương và mối đe dọa hiện tại và tương lai. Các yêu cầu về thành phần và phát triển được xác định trong Phần 4-2 và 4-1, đây là những yêu cầu cần thiết để đạt được sự tuân thủ.
Chỉnh sửa lần cuối bởi người điều hành: