En Önemli 5 Endüstriyel Nesnelerin İnterneti Güvenlik Sorunları ve Bunları Aşmanın Yolları

2010 yılında İran'ın Natanz kentindeki bir nükleer santral, programlanabilir mantık denetleyicilerini (PLC'ler) yapılandırmak ve çalıştırmak için bir yazılım ürünü olan Simatic Step 7'yi hedef alan Stuxnet kötü amaçlı yazılımının kurbanı oldu. Saldırı, bilgisayar korsanlarının fabrikadaki PLC birimlerinden yararlanmasına ve neredeyse bin uranyum zenginleştirme santrifüjüne zarar vererek ülkenin nükleer programına ciddi bir darbe indirmesine olanak tanıdı.

İran örneğinde bu mutlaka kötü bir şey değildi; Etrafta daha fazla nükleer silah istemiyoruz, değil mi? Ancak aynı şeyin, itibarınız tehlikedeyken, her biri birkaç milyon dolar değerindeki fabrikanıza veya ekipmanınıza da geldiğini hayal edin. Olayları perspektife koymak her zaman faydalıdır, değil mi?

Burada anlatmak istediğimiz şu: Özellikle üretim ve tedarik zinciri yönetimi gibi son derece rekabetçi sektörlerde faaliyet gösteriyorsanız ve özellikle de şirketiniz Nesnelerin İnterneti yazılım geliştirmesinden faydalanmışsa, işletmeniz siber güvenliği hafife almayı göze alamaz. rakiplerinizin %72'sinin sahip olduğu gibi.

Arızalar meydana gelmeden önce ekipman performansındaki anormallikleri tespit etmekten, RFID etiketleri ve BLE işaretlerini kullanarak envanter seviyelerini gerçek zamanlı olarak izlemeye kadar, dikkate alınması gereken birçok heyecan verici IIoT uygulaması ve faydası vardır. IIoT çözümünüzün tüm BT altyapınızı tehlikeye atabileceği ve aşağıdaki sonuçlara yol açabileceği pek çok yol vardır:

• Hasarlı makineler
• Üretim kesintisi
• Fabrika sahasındaki kazalar
• Veri ihlali
• İtibar hasarı
• Yukarıdakilerin hepsinin neden olduğu doğrudan ve dolaylı mali kayıplar

IIoT güvenliğini riske sokan temel faktörler nelerdir ve şirketiniz felaket yaşanmadan önce IIoT güvenlik sorunlarını nasıl öngörebilir ve çözebilir? Hadi bilmeceyi birlikte çözelim!

IIoT Güvenlik Hatalarının ve Zorluklarının Özeti

Netlik sağlamak adına, güvenlik sonuçlarına odaklanmadan önce IIoT'yi ve teknoloji bileşenlerini tanımlayalım.

IIoT terimi, endüstriyel ortamlarda birbirleriyle ve merkezi platformlarla iletişim kuran ve veri alışverişi yapan makineler, sensörler, kontrolörler ve sistemlerin birbirine bağlı ağını ifade eder.

Bu tür siber-fiziksel sistemler, geleneksel endüstriyel ekipmanın unsurlarını bağlantı, veri analitiği ve veri görselleştirme ile birleştirir. Şirketler üretim ve depo operasyonlarını izlemek ve tek süreçleri veya tüm iş akışlarını otomatikleştirmek için IIoT danışmanlarına başvuruyor.

Perde arkasında IIoT, diğer tüm Nesnelerin İnterneti (IoT) çözümleriyle aynı mimariye sahiptir, ancak verilerin sensörlere daha yakın analiz edildiği uç IoT dağıtımları endüstriyel ortamlarda yaygın olma eğilimindedir. IIoT'den yararlanan şirketler, varsayılan olarak sensörlerle geliştirilmiş ve bağlantıyı destekleyen yepyeni ekipmanlar satın alabilir veya özel ve kullanıma hazır IIoT güçlendirme kitlerini kullanarak mevcut makineleri yükseltebilir.

IIoT güvenliği açısından IIoT sistemlerinin perde arkasında nasıl çalıştığını anlamak neden önemlidir? IIoT güvenlik sorunları, programlanabilir denetleyicilerden yamalanmamış güvenlik açıkları içeren eski uygulamalara kadar siber-fiziksel sisteminizin her katmanında kendini gösterebilir. IIoT güvenlik risklerini azaltmak için şirketiniz, kablolu veya kablosuz ağınızdaki tüm uç noktaları korumalı, aktarılan ve atıl durumdaki verileri güvence altına almalı ve BT altyapınızı oluşturan uygulamalardaki güvenlik boşluklarını yamamalıdır.

Sözü daha fazla uzatmadan, IIoT çözümlerinde hangi faktörlerin güvenliği zayıflattığını ve siber-fiziksel sistemlerinizi bu tehditlerden korumak için neler yapabileceğinizi araştıralım.

Zorluk 1: Güvenli Olmayan İletişim

Bağlantı teknolojileri, karmaşıklığı ve uygulama alanı ne olursa olsun, tüm IoT sistemlerinin omurgasını oluşturur.

Endüstriyel ortamlarda daha fazla cihaz ve sensör çevrimiçi hale geldikçe daha fazla uç nokta, iletişim kanalı ve veri depolama çözümü ortaya çıkıyor. Bu da belirli IIoT güvenlik gereksinimlerini karşılayan çok çeşitli ve tercihen dengeli bir veri ve ağ protokolleri karışımını gerektirir.

Şu anda, tüm IoT trafiğinin %98'e kadarı şifrelenmemiştir; bu, bilgisayar korsanlarının ilk savunma hattını (örneğin bir kimlik avı saldırısı yoluyla bir kullanıcının kullanıcı adını ve parolasını öğrenerek) kolayca atlayabileceği ve şirketinizin verilerine el koyabileceği anlamına gelir.

Kötü şifreleme uygulamaları Modbus, Profibus ve DeviceNet gibi eski iletişim teknolojilerinin kullanılmasından kaynaklanmaktadır. Aslında, eski IIoT iletişim protokollerinin çoğu veri şifreleme yeteneklerinden tamamen yoksundur, bu da IoT geliştiricilerini VPN'ler ve güvenli tüneller veya ağ geçitleri uygulamak ve Güvenli Yuva Katmanı (SSL)/Aktarım Katmanı Güvenliği'nde şifreleme sorunlarını ele almak gibi geçici çözümler aramaya zorlar ( TLS) seviyesi.

Çözüm

Bir IIoT çözümünün bileşenleri arasındaki veri alışverişini güvence altına almak ve böylece IIoT güvenlik kazalarını önlemek için aşağıdakilerden oluşan hatasız bir bağlantı teknolojisi yığını uygulamanızı öneririz.

Güvenilir Veri Protokolleri

IIoT'de veri protokolleri, bilgilerin cihazlar tarafından nasıl yapılandırılacağını, kodlanacağını ve yorumlanacağını belirler. Şirketiniz kablolu bir IIoT dağıtımını tercih ederse, Profinet, EtherNet/IP ve Modbus TCP/IP gibi Ethernet protokolleri aracılığıyla bağlı ekipmanlar ve ağ geçitleri arasındaki veri alışverişini kolaylaştırabilirsiniz.

Bu protokoller doğası gereği veri şifrelemeyi desteklemese de IIoT geliştiricileriniz, aktarım katmanında TLS/SSL teknoloji yığınını uygulayarak veya bağlı cihazlar ile ağ arasında güvenli ağ geçitleri veya güvenlik duvarları gibi aracı cihazları tanıtarak verileri üçüncü taraflarca okunamaz hale getirebilir. ağ. IIoT ve endüstriyel otomasyon çözümleri için daha esnek bir veri protokolü arıyorsanız, uçtan uca şifrelemeyi destekleyen, cihaz kimlik doğrulaması için X.509 dijital sertifikaları kullanan ve hem kablolu hem de kablosuz IIoT çözümlerinde kullanılabilir.

ITRex ekibi, kablosuz IIoT sistemleri oluştururken genellikle HTTPS'li Mesaj Queuing Telemetri Aktarımı (MQTT), Kısıtlı Uygulama Protokolü (CoAP), Gelişmiş Mesaj Kuyruklama Protokolü (AMQP), WebSockets veya RESTful API'lerini kullanır. Bu modern protokoller, TLS/SSL veya Datagram Aktarım Katmanı Güvenliği (DTLS) aracılığıyla şifreleme yetenekleri sunar ve bağlı ekipmanlar, ağ geçitleri ve bulut sunucuları arasında güvenli iletişim kanalları kurulmasına yardımcı olur.

Veri protokolleri ve IIoT güvenliği üzerindeki etkileri hakkında daha fazla bilgi için Ar-Ge ekibimizle ücretsiz danışmanlık randevusu alın.

Güvenli Ağ Protokolleri

Çoğunlukla bilgi alışverişi ve birlikte çalışabilirlik ile ilgilenen veri protokollerinden farklı olarak ağ protokolleri, cihazların nasıl bağlandığına, verilerin nasıl aktarıldığına ve IIoT sisteminin bileşenlerinin bir ağ içinde nasıl etkileşime girdiğine ilişkin kuralları, standartları ve prosedürleri tanımlar.

IIoT güvenliği açısından ağ protokolleri bilgisayar korsanları için çekici hedefler olabilir. Bunun nedenleri arasında sınırlı erişim kontrolü ve kimlik doğrulama mekanizmaları ile veri şifreleme yeteneklerinin eksikliği yer alıyor. Ağ mimarinize (yani noktadan noktaya, yıldız veya ağ modellerine) ve amaçlanan kullanım senaryolarına bağlı olarak IIoT güvenlik zorluklarını gidermek için çeşitli ağ protokollerini kullanabilirsiniz. Bu protokoller Veri Dağıtım Hizmeti'ni (DDS), Düşük Güçlü Geniş Alan Ağı'nı (LoRaWAN), Zigbee, WirelessHART ve Dar Bant IoT'yi (NB-IoT) kapsar.

Tüm IIoT güvenlik ihtiyaçlarınızı karşılayan uygun bağlantı teknolojisi yığınını seçmek için, oluşturmak istediğiniz siber-fiziksel sistem türünü, gerekli veri iletim aralığını ve güç tüketimi gereksinimlerini dikkate almak önemlidir. Bu, IoT projenizin keşif aşamasında yapılabilir.

Zorluk 2: Yetersiz Yazılım Güncelleme Uygulamaları

Bilgisayarlar, tabletler ve akıllı telefonlardan farklı olarak IoT cihazları, antivirüs programları gibi uç nokta güvenlik sistemlerini desteklemez; bunun nedeni, genellikle oldukça özelleştirilmiş veya güncelliğini kaybetmiş gömülü yazılımları çalıştırmaları veya özellikle küçük ve enerji açısından verimli olacak şekilde tasarlanmış olmalarıdır.

Ağ düzeyinde cihaz kontrol mekanizmalarının yanı sıra güvenlik duvarları, izinsiz giriş tespit ve önleme (IDP) kullanarak IIoT güvenlik sorunlarını kısmen çözebilirsiniz; ancak IIoT yazılım ekosisteminizi oluşturan uygulamaları en son sürüme yükseltmek, olası IIoT güvenlik sorunlarını çözmek için kritik hale gelir. .

IIoT yazılımından bahsetmişken, aygıt yazılımı, ara yazılım ve işletim sistemleri (OS'ler) gibi gömülü sistemler ile sıradan yazılımlar (cihaz yönetimini kolaylaştıran web, masaüstü ve mobil uygulamaları düşünün) arasındaki çizgiyi çekmemiz gerekiyor.

IIoT cihaz tasarımı kısıtlamaları ve siber-fiziksel sistem içindeki çok sayıda uç nokta nedeniyle, IIoT yazılım güvenliği açıklarına yama uygulamak, çok az endüstriyel şirketin çözebileceği bir görevdir. Bu nedenle üreticilerin %65'i hâlâ sıfır gün güvenlik açıklarıyla dolu eski işletim sistemlerini kullanıyor.

Çözüm

IIoT siber güvenlik risklerini azaltmak için bir endüstriyel şirketin etkin bir yazılım güncelleme yönetimi mekanizmasına sahip olması gerekir.

ITRex olarak, kablosuz yazılım ve cihaz yazılımı güncellemelerinin (OTA) güçlü savunucularıyız. Bu senaryoda, AWS IoT Device Management, Azure IoT Hub veya Bosch IoT Rollouts gibi önceden yapılandırılmış SaaS çözümleri tarafından desteklenen bulut tabanlı bir platform, yazılım güncellemelerini uç cihazlara, denetleyicilere ve ağ geçitlerine otomatik olarak sunar.

Düzgün yapılandırılmış bir cihaz yönetimi platformu aynı zamanda cihaz filonuzu daha iyi takip edecek, cihaza özel ayarlar ve güvenlik gereksinimleri ışığında güncelleme dağıtımlarını optimize edecek ve acil durumlarda BT ekibinizi bilgilendirecektir.

Zorluk 3: Zayıf Fiziksel Güvenlik Önlemleri

Ağ IIoT güvenliğinin yanı sıra, siber farkındalığa sahip bir endüstriyel şirket, siber suçluların ve kötü niyetli kişilerin, cihazların içini taramak ve onları virüsler ve casusluk programları ile istila etmek amacıyla donanım çalmasını da önlemelidir.

Yetersiz fiziksel güvenlik önlemleri yalnızca hassas verilerin bütünlüğünü ve gizliliğini tehlikeye atmakla kalmaz, aynı zamanda hizmet kesintilerine, operasyonel kesintilere ve mali kayıplara da yol açar. Fiziksel güvenlik açıklarının etkileri, doğrudan etkilerinin ötesine geçerek, potansiyel olarak kamu güvenliğini ve kritik altyapıyı tehlikeye atabilir.

Çözüm

IIoT'deki zayıf fiziksel güvenlik sorunlarını çözmek için çok yönlü bir yaklaşım gereklidir. Fiziksel IIoT güvenlik revizyonunun bir parçası olarak şirketinizin yapması gerekenleri burada bulabilirsiniz.

Güçlü Erişim Kontrol Mekanizmalarının Uygulanmasına Öncelik Verin

Bu, bağlı ekipmanlara rol tabanlı erişim kontrolü (RBAC), biyometrik kimlik doğrulama ve bilgisayarlı görüntü destekli video gözetimi gibi önlemlerin yanı sıra izinsiz giriş tespit sistemlerinin uygulanmasını da içerir.

Düzenli Fiziksel Güvenlik Denetimleri ve Risk Değerlendirmeleri Yapın

IIoT güvenlik denetimleri, güvenlik açıklarının erken tespit edilmesine yardımcı olur. Ayrıca uygun hafifletme stratejilerinin geliştirilmesine de yardımcı olurlar. Bu proaktif yaklaşım, kuruluşların potansiyel tehditlere karşı bir adım önde olmasını ve IIoT sistemlerini korumak için önleyici tedbirler almasını sağlar. Pratikte bu, kurcalandığına dair kanıt bulunan cihazların ağ bağlantısının kesilmesi, cihazlar üzerindeki üretici işaretlerinin gizlenmesi ve mümkün olduğunda tersine mühendislik olaylarını önlemek için gereksiz IIoT çözümü bileşenlerinin kaldırılması anlamına gelir.

Kapsamlı Çalışan Eğitim Programlarını Uygulayın

Fiziksel güvenlik riskleri ve en iyi uygulamalar hakkında farkındalık yaratmak, IIoT siber güvenliğini güçlendirmenin anahtarıdır (bu konuya daha sonra değineceğiz). BT ve fiziksel güvenlik ekipleri arasındaki işbirliği de hayati önem taşıyor. Bu ortaklık, ortaya çıkan güvenlik tehditlerine karşı güçlü koruma sağlamak için hem dijital hem de fiziksel yönlerin dikkate alındığı ve senkronize edildiği, güvenliğe bütünsel bir yaklaşım sağlıyor.

4. Zorluk: Cihazlara ve Ağ Etkinliğine Yönelik Sınırlı Görünürlük

Kuruluşların %90'a varan oranı ağlarında gölge IoT cihazlarının bulunduğunu bildirirken, katılımcıların %44'ü bu tür cihazların güvenlik veya BT ekiplerinin bilgisi olmadan bağlandığını kabul ediyor.

Sonuç olarak, birçok şirket personeli, topladıkları ve paylaştıkları bilgilerin türü de dahil olmak üzere hangi cihazların birbirleriyle iletişim kurduğundan ve bu bilgilerin üçüncü tarafların erişimine açık olup olmadığından habersizdir. IIoT güvenlik denetimlerinin donanım çözümlerini IP'lerine ve işletim sistemlerine göre tanımlamanın çok ötesine uzanması, konuyu daha da karmaşık hale getiriyor.

Çözüm

IIoT dağıtımlarında cihaz ve ağ görünürlüğü elde etmek için atabileceğiniz birkaç adım vardır.

• Derin paket inceleme (DPI) çözümlerini kullanarak tüm ağ iletişimlerini analiz edin.
• Donanım türü, modeli, seri numarası ve yerleşik sistem sürümleri dahil olmak üzere kapsamlı cihaz bilgilerini toplayın.
• Cihazlarınızı türlerine, işlevlerine, görev kritikliklerine ve potansiyel IIoT güvenlik risklerine göre gruplandırın.
• Trafik görünürlüğünü ve kontrolünü geliştirmek amacıyla her cihaz grubu için sanal yerel alan ağları (VLAN'lar) oluşturun.
• Cihaz envanterlerini, izlemeyi, yapılandırmayı, güncelleme dağıtımlarını ve sorun gidermeyi iyileştirmek için AWS IoT Core, Azure IoT Hub ve PTC ThingWorks gibi güvenilir cihaz yönetimi platformlarından yararlanın.

5. Zorluk: Yetersiz Çalışan Eğitimi ve Siber Farkındalık

Daha önce de belirttiğimiz gibi, bilgi teknolojisi (BT) ve operasyonel teknoloji (OT) ekipleri arasındaki işbirliği ve koordinasyon eksikliği, zayıf IIoT güvenlik yönetimi uygulamalarına yol açabilir.

Ekipman operatörleri ve fabrika yöneticileri, bağlı makinelerin bakımını gerektiği gibi yapabilirken, onlara güç veren gömülü teknolojiler ve bağlantı teknolojileri hakkında genellikle çok az şey biliyorlar. BT ekipleri ise tam tersine, geleneksel bilgi güvenliği konusunda oldukça bilgili ancak IIoT çözümlerini sıradan donanım gibi ele alma eğiliminde.

Bu, düşük yama düzeylerine, ağ etkinliğinde sınırlı görünürlüğe ve IIoT sistemlerinin yanlış yapılandırılmasına yol açabilir. Ayrıca siber suçlular, kimlik avı saldırıları ve kimliğe bürünme yoluyla çalışanınızın IIoT güvenliğinin en iyi uygulamalarına ilişkin sınırlı bilgisinden yararlanabilir. Ekibiniz ayrıca zayıf parolalar seçebilir veya parolaları uygulamalar arasında yeniden kullanabilir; bu da BT altyapınıza bir arka kapı açarak IIoT yazılım güvenliğini zayıflatabilir.

Çözüm

İşte şirketinizin çalışanlar arasında siber güvenlik farkındalığını artırmasına yardımcı olabilecek üst düzey bir plan.

IIoT Ortamına Özel Olarak Uyarlanmış Eğitim Programları Oluşturun

Bu programlar, siber güvenliğin temelleri, IoT cihaz güvenliği, güvenli yapılandırma uygulamaları, şifre hijyeni, olası güvenlik olaylarının tanınması ve raporlanması, iç güvenlik politika ve prosedürlerine uyum gibi konuları kapsamalıdır.

Çalışanların En Son Siber Güvenlik Tehditleri ve En İyi Uygulamalar Konusunda Güncel Bilgilere Sahip Olmasını Sağlamak İçin Düzenli Eğitim Oturumları Düzenleyin

Bu, öğrenme yönetim sisteminizdeki (LMS) atölye çalışmaları, seminerler, web seminerleri veya çevrimiçi eğitim modülleri aracılığıyla yapılabilir. Örneğin eğitim etkinliklerinin bir parçası olarak, personelinize kimlik avı simülasyonları ve sızma testleri yoluyla IIoT güvenlik tehditlerini tanımayı ve bunlara yanıt vermeyi öğretebilirsiniz. Ayrıca eğitim programlarını belirli iş fonksiyonlarına göre uyarlamalı ve çalışanların sorumluluklarına uygun eğitim almasını sağlamalısınız. Örneğin, BT personelinin daha fazla teknik eğitime ihtiyacı olabilirken, operasyonel çalışanların güvenli cihaz kullanımı ve fiziksel güvenlik konusunda eğitime ihtiyacı olabilir.

IIoT Güvenlik Sorunlarını Ele Alan Kapsamlı Politikalar ve Prosedürler Geliştirin

Bu politikaları çalışanlara etkili bir şekilde iletin ve güvenliğin sağlanmasındaki rollerini ve sorumluluklarını anlamalarını sağlayın. Teknoloji ve tehditler geliştikçe bu politikaları düzenli olarak gözden geçirin ve güncelleyin.

Kuruluşunuzda IIoT Güvenlik Farkındalığı ve Sorumluluk Kültürünü Teşvik Edin

Çalışanları herhangi bir güvenlik olayını veya şüpheli etkinliği derhal bildirmeye teşvik edin. Siber güvenliğin üst yönetimden ön saflardaki personele kadar herkesin sorumluluğunda olduğunu vurgulayın ve iyi güvenlik uygulamaları gösteren çalışanları ödüllendirin.

Güvenlik Değerlendirmelerini Yürütmek için Harici IIoT Uzmanları veya Danışmanlarıyla Ortaklık Yapmayı Düşünün

Harici uzmanlar, çalışan eğitim programlarını geliştirmek için değerli bilgiler, sektördeki en iyi uygulamaları ve en son tehdit istihbaratını getirebilir. Ek olarak, IIoT yazılım geliştirme sürecine "tasarım gereği güvenlik" adı verilen uygulamaları getirmenize ve IIoT dağıtımları için işlevsel ve işlevsel olmayan gereksinimleri ortaya çıkarmanıza yardımcı olabilirler.

Son Bir Not Üzerine

IIoT'nin benimsenme oranları son yıllarda hızla arttı ve kritik IIoT altyapılarını hedef alan yüksek profilli saldırılar da aynı şekilde arttı.

Check Point tarafından yakın zamanda yapılan bir ankete göre, 2023'ün ilk iki ayında şirketlerin %54'ü Nesnelerin İnterneti ile ilgili saldırılara maruz kaldı; kuruluş başına haftada tahminen 60 saldırı gerçekleşti (geçen yıla göre %41 artış). Bilgisayar korsanlarının saldırılarına en açık cihazlar arasında yönlendiriciler, ağ video kaydediciler ve IP kameralar, kısacası her şirketin BT altyapısının omurgasını oluşturan donanımlar yer alıyor.

BT ekibiniz geliştirme ve uygulama süreci boyunca IIoT güvenliği için en iyi uygulamaları izlese bile bilgisayar korsanlarının IIoT ekosistemi dışındaki uygulama ve cihazlardaki güvenlik açıklarından yararlanarak ekipmanınız ve verileriniz üzerinde kontrol sahibi olmayacaklarının garantisi yoktur. Bu nedenle şirketinizin her şeyi kapsayan bir güvenlik stratejisine ihtiyacı var; ITRex'in sizin için yapabileceği şey de budur!

İster bir IIoT pilot uygulaması başlatmayı düşünüyor olun, ister IIoT kavram kanıtını (PoC) diğer kullanım senaryolarına göre ölçeklendirme konusunda yardıma ihtiyacınız olsun, bize bir telefon bırakın! İş analizi, gömülü sistem mühendisliği, bulut bilişim ve DevOps'un yanı sıra son kullanıcı uygulama geliştirme konusunda da oldukça bilgiliyiz.

Bu makale ilk olarak itrex web sitesinde yayınlanmıştır.