Zero Trust ondersteunt beveiliging van IT- en OT-infrastructuren

Abonneer je gratis op Techzine!

Recente ransomware-aanvallen op vitale infrastructuur diensten, zoals de water- en energievoorziening, tonen de gevolgen van de convergentie van informatietechnologie (IT)- en operationele technologie (OT)-systemen. Hoewel de aanvallen gericht waren op de IT-infrastructuur, besloot het grootste oliebedrijf in de VS ook zijn OT-systemen te sluiten, waardoor de brandstofdistributie naar de oostkust van de VS werd afgesloten. Deze sluiting leidde tot tekorten aan benzine en diesel en lange wachtrijen bij de brandstofpompen. Zeventien staten riepen zelfs de noodtoestand uit. Het had niet duidelijker kunnen tonen hoe verweven de IT-omgeving tegenwoordig is met de besturing van productie-installaties. Door beide werelden te isoleren, biedt een zero trust-benadering de vereiste beveiliging voor deze omgevingen, terwijl er nog steeds veilige connectiviteit wordt gegarandeerd.

Traditioneel probeerden bedrijven hun productie-installaties en machines gescheiden van IT-infrastructuren te besturen, maar tegenwoordig is er een toenemende vraag voor integratie. Dit komt door een aantal factoren. Ten eerste door digitalisering; de dualiteit van twee afzonderlijke systemen kan in het tijdperk van de cloud slechts in beperkte mate worden gehandhaafd. Ten tweede door landelijke 5G-netwerken die de nodige doorvoerprestaties en -snelheid bieden en tenslotte door een streven naar een duurzame inrichting van productie- en verkoopkanalen.

Die convergentie creëert echter ook nieuw potentieel gevaar, zoals de ransomware-aanval in de VS op de beheerder van de pijpleiding liet zien. Door het stilleggen van de IT-systemen gingen belangrijke functies in het gehele bedrijfsproces verloren; een duidelijke indicatie van de nauwe samenwerking van afzonderlijke systemen. Ongeacht of de twee werelden van IT en OT in hetzelfde netwerk worden gehouden of niet, ze beïnvloeden elkaar.

Om veiligheidsredenen zou de convergentie van de twee systeemwerelden niet alleen maar moeten gaan over het beëindigen van de isolatie van twee afzonderlijke omgevingen. De focus zou eerder moeten liggen op de veilige verbinding met elkaar, gebaseerd op dezelfde security controlemechanismen voor de datastromen.

Elk systeem dat tegenwoordig met internet is verbonden, vormt een potentiële aanvalsvector voor malware-actoren. De OT-omgeving kan veel leren van de moderne cloudgebaseerde controlemechanismen van de IT-beveiliging. Met het principe van ‘least privilege’-toegangsrechten biedt zero trust ook een adequaat beveiligingsconcept voor OT.

De verkleining van de attack surface

Elke OT-omgeving vereist connectiviteit. Dit maakt beheertoegang tot fabrieken en toegang tot gegevens uit productieomgevingen mogelijk voor analyse en verwerking door IT-systemen. De aansluiting van de meeste OT-systemen op IT verloopt via een gateway. Deze gateway-functionaliteit wordt geleverd door bijvoorbeeld een firewall die de vertaling maakt tussen de twee netwerkwerelden. Elke gateway die wordt blootgesteld aan internet vormt echter een potentieel attack surface, waardoor de systemen kunnen worden geïnfiltreerd met malware. En zodra een aanvaller erin slaagt toegang te krijgen tot een IT-systeem, kunnen laterale bewegingen binnen de gehele infrastructuur mogelijk ook de OT-omgeving in gevaar brengen.

Uit het laatste onderzoek van cloudsecurity-specialist Zscaler blijkt dat de attack surface van bedrijven aanzienlijk is. Uit meer dan 1.500 data records identificeerde Zscaler een overvloed aan potentiële aanvaller gateways, waar de meeste bedrijven niet van op de hoogte waren. Het rapport onthulde ook meer dan 202.000 kwetsbaarheden en bedreigingen (CVE’s), waarvan 49 procent als ‘kritiek’ of ‘hoog’ werden beoordeeld. Bij de ondervraagde bedrijven zijn 400.000 servers gevonden die openlijk via internet te vinden waren, waarbij 47 procent van de gebruikte protocollen niet up-to-date waren en daardoor potentieel kwetsbaar.

Hardware-apparaten die het dataverkeer regelen, zijn nodig voor de beheerders van de twee omgevingen om ofwel deel te nemen aan de data-uitwisseling via het fysieke netwerk of om op afstand toegang te krijgen tot het ecosysteem. Traditioneel hebben complexe constructies in netwerken productiefaciliteiten met elkaar verbonden, omdat verschillende fabrieken en locaties wereldwijd zijn verbonden met VPN-mechanismen. Complexiteit is daarom onvermijdelijk, maar bedrijven proberen nu legacy-infrastructuren de rug toe te keren als onderdeel van strategische digitalisering initiatieven. In de zoektocht naar een weg uit het complexiteitsdilemma – dat ook kan worden geassocieerd met gaten in de beveiliging als gevolg van de gebruikte hardwarecomponenten – zoeken bedrijven naar nieuwe methoden voor veilige connectiviteit.

Zero trust-beveiliging voor OT-omgevingen

Hoe meer IT- en OT-systemen zich openstellen voor onderlinge data-uitwisseling, des te meer potentiële risico’s worden geïntroduceerd. Om deze reden moet convergentie minder gaan over het samenvoegen van netwerken en meer over het reguleren van connectiviteit en beveiliging wanneer datastromen tussen de verschillende werelden worden uitgewisseld. Om individuele toegangsautorisaties te controleren, is het principe van de ‘least privilege’ geschikt. Zero trust-oplossingen nemen dit principe als basis en bieden alleen op beleid gebaseerde toegang voor geautoriseerde gebruikers. Toegangsrechten tot OT-omgevingen zijn beperkt tot wat nodig is voor elk individu, in het kader van specifieke use-cases. Gebaseerd op het uitgangspunt dat niets en niemand verbinding mag maken, resulteert dit in stapsgewijze toegang. Elk toegangsverzoek moet worden gevalideerd, zodat het resultaat een geïsoleerde toegang is.

Met een zero trust-beveiligingsmodel kan granulaire toegangsautorisatie op applicatieniveau worden gegarandeerd. Niet alleen in IT-infrastructuren, maar ook in OT-omgevingen. Uit veiligheidsoogpunt is hierbij doorslaggevend dat de openstelling van het gehele netwerk voor de benodigde toegangsautorisaties kan worden beperkt. Logische microsegmentatie door getunneld verkeer van de beheerder of gebruiker naar de applicatie vervangt het openen van het netwerk. Zo kan met behulp van een zero trust-model de attack surface van een bedrijf op het internet worden geminimaliseerd.

Voor meer veiligheid: connectiviteit op basis van Zero Trust

Het concept om toegangsrechten op applicatieniveau te garanderen door middel van zero trust in een cloudomgeving, overwint niet alleen de toegenomen complexiteit, maar helpt ook om attack surfaces te verkleinen. Om deze benadering te reviewen, voerde Siemens zijn eigen tests uit in typische productie omgevingen om zo rekening te houden met de specifieke vereisten van discrete productie en de procesindustrie. Enerzijds biedt dit een eenvoudige en veilige toegangsoplossing voor machineonderhoud, waarbij een medewerker toegangsrechten voor een specifieke productieomgeving kan worden verleend. Anderzijds is er de mogelijkheid tot segmentatie binnen het gehele ecosysteem en kan de beveiligde verbinding van verschillende machines binnen de testomgeving tot stand worden gebracht.

Siemens combineert zijn Scalance Local Processing Engine (LPE) voor industriële communicatie met de Zscaler Zero Trust Exchange, die op beleid gebaseerde toegangsrechten op afstand of tot het bedrijfsnetwerk biedt. Hierdoor komt de visie van interconnectiviteit in OT met Zero Trust-omgevingen tot leven.

Dit is een ingezonden bijdrage van Nathan Howe, Vice President, Emerging Technology bij Zscaler. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.