Segmentarea Rețelelor OT pentru Apărare: Modelul Purdue cu Suprapunere de Clasificare

Rețelele de tehnologie operațională (OT) din sistemele de apărare — planurile de control din spatele radarelor, centralelor de propulsie, bancurilor de testare a sistemelor de arme, manipulării munițiilor, matricelor de antene ale stațiilor de sol — eșuează diferit față de IT-ul enterprise. Un eveniment ransomware pe un share de fișiere corporativ este recuperabil; un controler logic programabil confuz pe o centrală de propulsie în timpul unui tranzit contestat nu este. Prima întrebare de inginerie nu este deci „cum facem patch-uri mai rapid" ci „cum este parcelată rețeaua și ce trece fiecare graniță." Aceasta este întrebarea segmentării, iar de cincizeci de ani răspunsul canonic a fost Arhitectura de Referință Enterprise Purdue, stratificată peste limbajul de zone și conducte al IEC 62443. Acest articol parcurge modelul de la capăt la capăt, apoi suprapune preocupările specifice apărării: clasificare, transfer cross-domain, monitorizarea unui stack presupus cu decalaj aerian și documentația de acreditare pe care arhitectura trebuie să o satisfacă în cele din urmă.

1. De ce Purdue contează în continuare

Purdue a fost conceput inițial pentru controlul proceselor chimice și de producție, dar perspectiva sa de bază — că o rețea poate fi descompusă în straturi cu relații de încredere strict definite între ele — a supraviețuit fiecărei generații de hardware la care a fost aplicat. O rețea OT „plată" în care stațiile de lucru de inginerie, istoricele, interfețele om-mașină și controlerele de teren partajează toate un domeniu de difuzare Layer-2 nefiltrată nu poate fi apărată. Nu există o graniță observabilă la care un analist să poată spune „traficul care trece prin acest punct ar trebui să fie Modbus, nimic altceva"; fiecare gazdă are implicit încredere în fiecare altă gazdă; un laptop compromis ajunge la fiecare PLC prin ARP.

IEC 62443 surprinde același instinct în vocabular diferit: o zonă este un grup de active care partajează cerințe comune de securitate, iar un conduct este calea controlată între zone. Conductele, nu gazdele, sunt acolo unde se aplică controalele de securitate. Nivelurile Purdue sunt, de fapt, un șablon de zonare implicit — un punct de plecare pe care programele de apărare îl adaptează mai degrabă decât îl reinventează. Pentru restul acestui articol folosim numerele de nivel Purdue și termenii de zonă/conduct IEC 62443 în mod interschimbabil; în practica de cybersecuritate a apărării ei descriu același artefact.

2. Cele șase niveluri Purdue

Nivelul 5 — Enterprise. IT corporativ: email, ERP, intranet, acces contractori. Pe un sit de apărare, acesta este LAN-ul de afaceri neclasificat pe care trăiesc auditorii, salarizarea și managerii de program. Nu trebuie să atingă niciodată direct echipamentul de proces.

Nivelul 4 — Planificare și logistică de afaceri a sitului. Management de întreținere, inventar de piese de schimb, sisteme de ordine de lucru. Pentru un sistem naval de luptă acesta este coada logistică de pe țărm; pentru o baterie de apărare aeriană, sistemul de suport la nivel de depozit. Încă similar IT, încă patch-uit în ritmul IT.

Nivelul 3.5 — DMZ Industrial. Singura zonă cea mai importantă din model. Fiecare flux între IT-ul enterprise și operații trece prin aici, terminat și re-originar de servicii broker: replici de istorice, gazde de salt, staging de patch-uri, oglinzi de actualizare anti-malware. Niciun protocol nativ nu traversează DMZ-ul; nimic pe Nivelul 3 nu stabilește o sesiune cu nimic pe Nivelul 4 sau mai sus, cu excepția unui proxy DMZ.

Nivelul 3 — Operațiuni ale sitului. Sisteme la nivel de producție: istoricul operațional, servere de management batch, aplicații de inginerie la nivel de instalație, controlere de domeniu OT, servere de patch-uri OT. Pe un banc de testare a sistemelor de arme, acesta este sala de control a poligonului — locul unde conductorii de teste orchestrează rulările pe mai multe celule.

Nivelul 2 — Control de supraveghere. HMI-uri, stații de lucru locale de inginerie, servere de alarme, SCADA în linie de vedere. Pentru o centrală de propulsie acesta este consola de control al mașinilor; pentru un radar, serverul de afișare tactică al operatorului. Oamenii conduc procesul de la Nivelul 2.

Nivelul 1 — Control de bază. PLC-uri, RTU-uri, sisteme instrumentate de siguranță, controlere dedicate. Logica care menține presiunea aburilor, mișcă o antenă, secvențiază un lansator sau decuplează un reactor. În timp real, determinist, adesea incapabil să tolereze chiar și un milisecund de jitter introdus de un firewall configurat greșit.

Nivelul 0 — Proces. Senzori și actuatoare, valve, motoare, traductoare, fizica sistemului. Din ce în ce mai digital (HART, IO-Link, Profibus-PA, FOUNDATION Fieldbus) și prin urmare din ce în ce mai mult parte a domeniului de cybersecuritate.

Proprietatea crucială este că cu cât mergi mai adânc, cu atât mai determinist, mai puțin patch-uit și mai puțin capabil este echipamentul să se apere singur. Un controler de Nivelul 1 construit în 2009 nu are autentificare pe protocolul său de inginerie. Scopul întreg al segmentării este de a compensa asta cu controale la graniță.

3. Suprapunere de clasificare pe zonele Purdue

Apărarea adaugă o a doua axă pe care Purdue nu a anticipat-o: clasificarea. O vedere logistică NATO RESTRICTED a unui backlog de întreținere și o vedere tactică SECRET a aceleiași platforme pot trăi la același nivel Purdue, dar nu pot partaja un domeniu de difuzare. Rezultatul este o matrice: nivel Purdue pe o axă, clasificare pe cealaltă.

În practică, matricea se reduce la un număr mic de combinații acreditate. Nivelul 5 enterprise este de obicei NECLASIFICAT sau NATO RESTRICTED. DMZ-ul Industrial poate exista la mai multe clasificări, câte una pe enclavă. Nivelurile de la 3 la 0 — controlul efectiv al procesului — sunt de obicei fixate la clasificarea cea mai înaltă a oricăror date pe care le gestionează, pe principiul că controlerul nu poate elimina clasificarea din propria stare. Controlerul de Nivelul 1 al unui radar care rulează o formă de undă clasificată se află într-o enclavă SECRET, chiar dacă controlerul însuși este un PLC de tip commodity.

Mișcarea arhitectural onestă este să desenezi matricea devreme, să etichetezi fiecare celulă cu proprietarul său de acreditare și conductele sale permise, și să refuzi să implementezi orice nu se potrivește unei celule etichetate. Aceasta este și locul unde principiile zero-trust se întâlnesc cu apărarea clasică în profunzime: politică conștientă de identitate în interiorul unei zone, separare impusă hardware între clasificări.

4. Soluții cross-domain în OT

Odată ce matricea există, întrebarea devine cum se mișcă datele între celule. Două categorii de soluții cross-domain domină implementările OT.

Diode de date unidirecționale. Dispozitive hardware (Owl, Waterfall, Fox-IT FoxDataDiode, Advenica) care permit fizic traficul într-o singură direcție — de obicei un emițător de fibră optică pe o parte și un receptor pe cealaltă, fără nicio cale de întoarcere posibilă la stratul fizic. Cazul de utilizare clasic OT este exportul datelor istorice de la Nivelul 3 la un Nivel 4 sau o replică enterprise fără a expune partea OT la niciun trafic de retur. Diodele sunt răspunsul corect când fluxul de date este monoton: telemetrie ieșire, nimic intrare. Sunt răspunsul greșit pentru orice are nevoie de confirmare, patch-uri intrare sau suport la distanță al furnizorului.

Gardieni de transfer. Gateway-uri conștiente de aplicații (Forcepoint DDP, Fox-IT DataDiode în modul guard, Everfox Trusted Gateway, Owl ReCon) care inspectează și filtrează conținutul care traversează o graniță de clasificare în orice direcție. Un gardian poate elibera un ordin de lucru de întreținere sanitizat din SECRET în RESTRICTED după verificarea că nu poartă adnotări clasificate, sau poate trage o actualizare de firmware PLC verificată dintr-o enclavă inferioară într-una superioară. Gardienii sunt mai lenți, mai costisitori și mai greu de acreditat decât diodele, dar sunt singurul răspuns onest când fluxul bidirecțional este cu adevărat necesar.

Regula de inginerie este să începi cu o diodă și să escaladezi la un gardian numai când cazul de utilizare operațional dovedește că fluxul bidirecțional este inevitabil.

5. Segmentare est-vest vs nord-sud

Purdue este în primul rând un model nord-sud: traficul se mișcă în sus și în jos pe niveluri și este filtrat la fiecare conduct. Dar atacurile moderne sunt est-vest — odată ce un adversar este pe un HMI de Nivelul 2, mișcarea următoare este lateral la HMI-ul vecin, nu în sus la istoric. Segmentarea est-vest în interiorul unui nivel Purdue este prin urmare al doilea front.

Micro-segmentarea în OT este mai dificilă decât în IT din trei motive. În primul rând, multe protocoale legacy (Modbus/TCP, DNP3, IEC 60870-5-104, S7) nu poartă autentificare și presupun un domeniu L2 plat. În al doilea rând, controlerele nu pot rula firewall-uri bazate pe gazdă fără a le încălca garanțiile în timp real și frecvent garanția furnizorului. În al treilea rând, bugetele de timp deterministic înseamnă că un punct de aplicare a politicii configurat greșit poate opri instalația mai rapid decât ar fi făcut-o atacatorul.

Cele două abordări practice sunt design-urile VLAN-plus-ACL pe comutatoare industriale gestionate (Hirschmann, Cisco IE, Moxa) și suprapunerile SDN construite special pentru OT (TXOne, Claroty xDome Secure Access, Dragos cu integrări NAC). VLAN-urile sunt familiare și acreditabile, dar grosiere; SDN este mai fin granulat, dar introduce un controler a cărui disponibilitate devine un singur punct de defecțiune. Majoritatea programelor reale ajung să le ruleze pe ambele, cu VLAN-urile ca linie de bază și politicile SDN stratificate pe deasupra pentru celulele de mare valoare.

6. Monitorizarea unui stack cu decalaj aerian

Fiecare program OT pretinde că are decalaj aerian. Aproape niciunul nu are de fapt. Există un port USB pe laptopul de inginerie, un laptop al furnizorului care vine o dată pe trimestru, un modem de întreținere care a fost dezafectat pe hârtie, dar încă are un card SIM, un instrument wireless care a fost adăugat în timpul unei reparații. Arhitectura trebuie să presupună că decalajul aerian este scurs și să instrumenteze în consecință.

Platformele de monitorizare pasivă — Nozomi Networks Guardian, Claroty CTD/xDome, Dragos Platform, Tenable OT Security — se află pe porturi span în interiorul fiecărei zone și reconstruiesc inventarele de active, bazele de referință ale protocoalelor și semnalele de anomalie din traficul observat pasiv. Nu injectează niciodată pachete, ceea ce le face implementabile pe OT de producție fără rezistența furnizorului. Combinate cu detectarea bazată pe istoric (interogări împotriva istoricului pentru modificări imposibile ale punctelor de setare, rate de comandă peste capacitatea umană, secvențe care violează blocările procesului) și EDR al stației de lucru de inginerie, ele formează un stack de monitorizare apărabil chiar și când rețeaua este nominal izolată. Aceasta este linia explorată în ghidul de criminalistică ICS/OT.

7. Identitate și acces în OT

Identitatea în OT este dominată de trei populații: stații de lucru de inginerie utilizate de personalul sitului, sesiuni de acces la distanță ale furnizorilor și conturi de urgență deținute pentru controlul pagubelor. Fiecare necesită propria disciplină.

Stațiile de lucru de inginerie ar trebui să se autentifice la un director din partea OT — niciodată la directorul IT enterprise — cu credențiale cu rădăcini hardware și înregistrare sesiune. Partajarea Active Directory corporativ prin DMZ-ul Industrial este singura cea mai comună greșeală arhitecturală în OT de apărare; convertește o compromitere a credențialelor enterprise într-o compromitere OT. Combinate cu rădăcini de încredere hardware pe stațiile de lucru înseși pentru a lega credențiala de dispozitiv.

Accesul la distanță al furnizorului este riscul perpetuu. Modelul corect este o gazdă de salt în DMZ-ul Industrial, acces broker cu înregistrare completă a sesiunii, autorizări cu timp limitat și un model „partajare ecran" cu operator în buclă mai degrabă decât conectivitate autonomă a furnizorului. Modelul greșit — încă comun — este un VPN permanent site-la-site din biroul furnizorului în Nivelul 3.

Procedurile de urgență trebuie să existe deoarece prioritățile OT uneori inversează prioritățile cibernetice: într-o pagubă, un agent de pază trebuie să suprascrie un controler acum, nu după o rotație de token. Documentați credențialele de urgență, stocați-le fizic, înregistrați fiecare utilizare și tratați fiecare utilizare ca un incident care necesită revizuire post-eveniment.

8. Dovezi de acreditare

Niciunul dintre cele de mai sus nu contează dacă segmentarea nu supraviețuiește acreditării. Un pachet Authority to Operate (ATO) pentru un segment OT de apărare conține de obicei: diagrama de zone și conducte cu etichete de clasificare; determinarea IEC 62443 Security Level Target (SL-T) per zonă, justificată față de modelul de amenințare; mapările de control conduct-cu-conduct (ce filtre, ce protocoale, ce logare); dovezi de acreditare a soluției cross-domain (baza NCDSMO pentru SUA, echivalente naționale în membrii NATO); declarații de risc rezidual pentru orice lipsă de control; și un plan operațional de monitorizare continuă care descrie cum va fi re-dovedit SL-T în timp.

Determinarea SL-T este locul unde ingineria se întâlnește cu birocrația. IEC 62443-3-2 definește patru niveluri de securitate (SL 1 până la SL 4) reprezentând capacitatea adversarului pe care zona trebuie să-l reziste — de la casual la stat național cu resurse extinse. Un segment de control radar pe o platformă desfășurată avansat este de obicei SL 3 sau SL 4. SL ales conduce fiecare cerință de control din aval în IEC 62443-3-3, de la politica de parole la alegerea algoritmului criptografic. Alege SL prea jos și acreditorul respinge pachetul; alege-l prea sus și nu îți poți permite să-l construiești.

În cele din urmă, re-acreditarea este o cadență recurentă, nu un eveniment unic. Majoritatea regimurilor de apărare necesită o re-evaluare completă la fiecare trei ani și o revizuire delta la orice „schimbare semnificativă" — care, în OT, include următoarea actualizare de firmware a furnizorului. Arhitecturați segmentarea astfel încât dovezile să se regenereze singure: configurație capturată în controlul versiunilor, ieșiri de monitorizare arhivate ca artefacte de acreditare, înregistrări de modificări legate de re-evaluări ale riscurilor. Segmentarea pe care nu o puteți re-dovedi este segmentarea pe care nu o mai aveți.