Защита по проекту: применение руководства АНБ по OT с помощью Cisco Security и Splunk

Соавтор: Том Бир, ведущий инженер по решениям – Splunk

Нельзя защитить то, что невозможно увидеть, а в сфере OT выяснение этого не должно ставить под угрозу производственные процессы. Контроллеры и другие промышленные системы могут работать десятилетиями, зачастую без возможности поддержки современных инструментов безопасности или устойчивости к критическим изменениям. Новое руководство Агентства национальной безопасности (АНБ) предлагает операторам своевременный способ переосмыслить защиту с учетом этих реалий: применять принципы Zero Trust, сохраняя при этом фокус на безопасности и доступности.

Почему сейчас? АНБ предупреждает, что атаки на критически важную инфраструктуру могут угрожать национальной и экономической безопасности, общественному здравоохранению и безопасности граждан. Агентство также указывает на то, что злоумышленники используют ИИ для ускорения разведки и разработки эксплойтов, в то время как среды OT сталкиваются с постоянной проблемой устаревших технологий. Руководство, выпущенное 8 октября 2026 года, является призывом сократить пути, которые злоумышленники могут использовать для доступа к критическим системам или перемещения по ним, прежде чем вторжение приведет к нарушению работы. (Ознакомиться с анонсом АНБ)

Что охватывает информационный бюллетень АНБ «Укрепление критически важных сред операционных технологий (OT) Министерства обороны (DoW) с помощью принципов Zero Trust (ZT)»? Он перерабатывает более широкое руководство DoW по Zero Trust в 26 приоритетных мероприятий по десяти направлениям: удаленный доступ, данные OT, инвентаризация активов, видимость, киберразведка, укрепление интеллектуальных контроллеров, сегментация и мониторинг сети, инженерные рабочие станции и HMI, Active Directory и контроллеры домена, а также безопасная проверка средств управления.

Руководство разработано, чтобы помочь командам усилить защиту систем OT, включая устаревшие активы, не предполагая, что эти системы можно просто заменить или отключить. (Ознакомиться с информационным бюллетенем)

Семь столпов Zero Trust Министерства обороны (Пользователь, Устройство, Приложение и рабочая нагрузка, Данные, Сеть и среда, Автоматизация и оркестрация, Видимость и аналитика) обеспечивают архитектурный взгляд на десять областей смягчения рисков OT, определенных АНБ. Они дополняют друг друга: один приоритет OT может поддерживать несколько столпов; на рисунке 1 представлена наглядная взаимосвязь между 26 мероприятиями АНБ и 10 приоритетными областями. АНБ описывает эти столпы как взаимосвязанные.

Портфель Cisco Security помогает организациям воплотить эти приоритеты в жизнь. Cisco Cyber Vision обеспечивает видимость активов и коммуникаций в OT, а Splunk предоставляет общую структуру данных для объединения информации об IT, OT, пользователях и инвентаризации для поддержки расследований и реагирования. Вместе с более широким портфелем Cisco Security и надежными процедурами OT, эти возможности позволяют реализовать многоуровневый подход к доступу, сегментации, мониторингу и принятию решений по рискам, сохраняя при этом операционные требования в центре внимания.

Обеспечение видимости систем, которые невозможно модернизировать в одночасье

Информационный бюллетень АНБ по кибербезопасности признает, что активам OT может не хватать современной аутентификации, шифрования или поддержки обновлений, а изменения в контроллерах могут повлиять на физические процессы. Модель Zero Trust должна учитывать эти ограничения. Организации могут начать с определения того, что присутствует в сети, что делает каждый актив и как он взаимодействует с другими.

Датчики Cyber Vision используют глубокую проверку пакетов (DPI) для пассивного наблюдения за промышленными коммуникациями и идентификации активов, протоколов и взаимосвязей. На рисунке 2 показано приложение Cyber Vision IOx, встроенное в поддерживаемые коммутаторы и маршрутизаторы Cisco, которое собирает метаданные для Cyber Vision. Дополнительное активное обнаружение отправляет запросы с учетом протоколов для обогащения информации об активах; операторам следует определять область действия и проверять запросы совместно с инженерами по управлению, особенно для чувствительных контроллеров.

Эта инвентаризация поддерживает мероприятие АНБ 2.1.1, которое требует ведения централизованного и актуального учета нечеловеческих сущностей OT и таких атрибутов, как тип, производитель, прошивка, адрес, местоположение и службы. Пассивное обнаружение снижает объем ручной работы, но командам все равно необходимо проверять результаты, фиксировать критичность, назначать владельцев и включать учетные записи, приложения и конфигурации. Базовый уровень должен связывать идентификатор каждого актива с его ролью в процессе и ожидаемыми коммуникациями.

Превращение коммуникаций в базовый уровень безопасности

Cyber Vision агрегирует данные датчиков и предоставляет инвентаризацию, карты коммуникаций, аналитику, мониторинг поведения, оповещения и отчетность. Карты помогают командам видеть, как взаимодействуют рабочие станции, человеко-машинные интерфейсы (HMI), контроллеры и серверы. Сравнение наблюдаемых путей с утвержденными технологическими потоками может выявить новые активы, необычные протоколы или неожиданные соединения.

Это поддерживает приоритет АНБ по обеспечению видимости и помогает в реализации мероприятия 2.2.1 по политике соединений и мероприятия 7.1.2 по анализу журналов. Cyber Vision предоставляет доказательства и оповещения; локальные знания о процессах необходимы для того, чтобы отличить подозрительное поведение от обслуживания или изменений в производстве. Splunk расширяет эту видимость до более широкой экосистемы пользователей, устройств и рабочих станций, взаимодействующих с инфраструктурой OT, обеспечивая видимость на верхнем уровне, где злоумышленники могут перемещаться латерально.

Cisco документирует функции оценки состояния, которые могут включать информацию об уязвимостях, оценку рисков, обнаружение вторжений на поддерживаемых платформах и мониторинг поведения. Эти сигналы помогают расставлять приоритеты при расследовании и исправлении, когда возможности обновления ограничены. Это не означает, что каждая уязвимость OT является эксплуатируемой, что оценка риска является определением соответствия требованиям или что обновление можно пропустить. АНБ рекомендует процесс исправления на основе рисков, который учитывает тестирование, поддержку поставщиков, окна обслуживания и операционное воздействие.

Команды должны использовать результаты Cyber Vision для информирования этого процесса и документирования компенсирующих мер контроля, когда своевременное исправление небезопасно или недоступно.

Использование карты активов для планирования сегментации, а затем ее внедрение

АНБ отдает приоритет сегментации, которая ограничивает латеральное перемещение и разрешает только необходимые коммуникации. Функции включают определение политики сегментации и моделирование. Группируя активы в функциональные зоны и анализируя наблюдаемые потоки, команды могут разрабатывать политики, основанные на том, как работает промышленный процесс. Это может поддержать планирование зон и каналов и мероприятие АНБ 5.4.1 по микросегментации OT.

Видимость и проектирование политики — это не то же самое, что принудительное исполнение. Cyber Vision может помочь идентифицировать активы, взаимосвязи и правила-кандидаты; принудительное исполнение осуществляется сетевыми средствами контроля и средствами безопасности, выбранными для площадки, такими как поддерживаемая интеллектуальная коммутационная инфраструктура Cisco, Cisco ISE или Cisco Secure Firewall. Начните с документированной модели разрешенных потоков, протестируйте предлагаемые правила на соответствие операционным требованиям и внедряйте изменения контролируемыми этапами с планами отката. В критически важной для безопасности среде чрезмерно широкая или неверная блокировка может нарушить производство так же, как разрешительное правило может подвергнуть его риску.

Эффективная архитектура Zero Trust использует инвентаризацию и наблюдаемое поведение в качестве входных данных для принятия решений о доступе. Устройство не считается доверенным просто потому, что оно находится в подсети OT. Там, где это поддерживается, политика может учитывать идентификационные данные актива, роль, зону, потребность в связи и операционный контекст. Одобрение человеком должно оставаться частью изменений, которые могут повлиять на критические процессы, что соответствует акценту АНБ на безопасной проверке и доступности.

Ограничение удаленного обслуживания активом и задачей

Доступ третьих лиц и поставщиков — это постоянный путь проникновения в промышленные среды. АНБ рекомендует удалить прямые интернет-соединения с OT, требовать строгой аутентификации, ограничивать доступ утвержденными пользователями и ресурсами, делать сеансы ограниченными по времени, контролировать активность и прекращать доступ после завершения работы. Эти средства контроля важны даже тогда, когда у поставщика есть законная потребность в техническом обслуживании.

На схеме архитектуры показан брокер удаленного доступа Cyber Vision для определения и обеспечения соблюдения политики удаленного доступа. Текущие материалы по продуктам Cisco описывают возможности Zero Trust Network Access, ориентированные на OT, на базе Cisco с доступом по принципу наименьших привилегий, основанным на идентификации и контексте. В зависимости от развертывания и поддерживаемого оборудования датчики Cyber Vision и шлюз удаленного доступа могут работать на одном и том же сетевом устройстве. Cisco описывает такие средства контроля, как MFA или SSO, временные графики, ограничения протоколов и проверки состояния пользователя; возможности зависят от выбранного продукта, платформы и конфигурации.

Эта архитектура может опосредовать доступ к конкретным активам OT. Организациям по-прежнему необходимы процессы жизненного цикла идентификации, утвержденные учетные записи поставщиков, подходящая MFA (включая MFA, устойчивую к фишингу), а также процедуры контроля сеансов и экстренного доступа. Проверяйте средства контроля на соответствие политике площадки и требованиям миссии; управление определяет, кто может подключаться, с какой целью и с чьего одобрения.

Расширение локального представления на все площадки и операции безопасности

Уровень Site Manager поддерживает мониторинг работоспособности нескольких площадок и централизованные обновления программного обеспечения с опцией облачного прокси-сервера для развертываний в изолированных сетях (air-gapped). Это помогает координировать распределенные центры; отключенные среды по-прежнему нуждаются в процессе обновления, который соблюдает их границы безопасности.

Splunk как уровень телеметрии и корреляции OT

Splunk является важным компонентом для полной реализации Zero Trust в среде OT. Он предоставляет механизм для объединения, визуализации и корреляции данных из более широкой ИТ-экосистемы, учитывая все более взаимосвязанный характер систем OT. Используя приложение Cyber Vision для Splunk, данные OT можно визуализировать отдельно для отчетности о соответствии или объединять с другими источниками данных, включая данные об угрозах. См. руководство по интеграции Cisco Cyber Vision и Splunk для получения информации о поддерживаемых версиях и настройке. Эта общая структура данных в ИТ и OT напрямую поддерживает несколько приоритетов АНБ, включая:

• Для действия 2.1.1 (Инвентаризация NPE в средах OT) профили устройств Cyber Vision предоставляют Splunk контекст активов OT, который можно объединить с корпоративными инвентаризациями; командам все равно необходимо проверять критичность, право собственности и полноту.
• Для действия 7.1.2 (Парсинг журналов в средах OT) поисковые запросы могут анализировать и сопоставлять события и потоки Cyber Vision с журналами идентификации, брандмауэра, удаленного доступа и рабочих станций, чтобы помочь определить нормальное поведение и выявить отклонения.
• Для действий 7.5.1 и 7.5.2 (Программа киберразведки OT, части 1 и 2) Splunk может объединить телеметрию OT с авторизованными лентами киберразведки и помочь направлять приоритетные оповещения в рабочие процессы реагирования. Splunk обеспечивает уровень анализа и координации.
• Действие с файлами в рамках действия 4.4.3 (Приоритизация и мониторинг файлов OT) также требует журналов с соответствующей рабочей станции или источника мониторинга файлов; один только Cyber Vision не обеспечивает мониторинг целостности файлов.

Аналитики могут использовать объединенное представление, чтобы исследовать, совпадает ли оповещение OT с сеансом удаленного поставщика, новым событием корпоративной идентификации или неожиданным путем к критическому контроллеру. Splunk SOAR предоставляет возможности автоматизации для повышения производительности аналитиков, сохраняя при этом участие человека в изменениях, связанных с OT. Многие серьезные угрозы представляют собой развитие низкоуровневых атак в течение длительного периода времени. Автоматизируя расследование рутинных атак с низкой степенью серьезности, SOAR предоставляет механизм для корреляции кажущихся разрозненными инцидентов с течением времени. Действия по реагированию на угрозы затем могут быть скоординированы посредством автоматического создания заявок в различных системах службы поддержки, при этом для внесения фактических изменений в производственные системы по-прежнему требуется участие человека.

Cyber Vision также интегрируется с Cisco XDR. Процедуры реагирования должны учитывать физические последствия: изоляция устройства или блокировка потока требуют четкой авторизации, оценки воздействия и шагов по восстановлению.

Проверка средств контроля без риска для производства

АНБ прямо рекомендует пассивную проверку, где это возможно, включая аудит конфигурации, анализ журналов и мониторинг SPAN или TAP. Пассивный анализ трафика Cyber Vision соответствует этому подходу, наблюдая за коммуникациями без внедрения пакетов в обычный промышленный трафик. Активное обнаружение — это отдельная возможность, которую следует использовать только тогда, когда это уместно, ограничено по области действия и согласовано. Более интрузивное тестирование должно проводиться в утвержденные окна обслуживания и защищать чувствительное оборудование уровней 0 и 1.

Уровень 0 (Уровень процесса): Это физическое оборудование, которое выполняет фактический промышленный процесс. Он включает датчики, клапаны, двигатели, приводы и преобразователи, которые взаимодействуют непосредственно с окружающей средой. Эти устройства являются чисто физическими и, как правило, не имеют собственной вычислительной мощности или сетевого подключения.

Уровень 1 (Уровень базового управления): Этот уровень состоит из контроллеров, которые взаимодействуют напрямую с устройствами уровня 0. Сюда входят программируемые логические контроллеры (ПЛК), удаленные терминалы (RTU) и контроллеры распределенных систем управления (DCS). Эти устройства выполняют логику, которая управляет машинами и процессами.

Руководство АНБ отдает приоритет пассивному мониторингу. Используя Cisco Cyber Vision для мониторинга трафика через SPAN/TAP, вы получаете полную видимость коммуникаций контроллеров уровня 1 и их взаимодействий с сетью, не «касаясь» контроллеров напрямую, что эффективно исключает риск случайного сбоя.

Практическая последовательность действий:

• Для создания базовой линии активов определите критическое оборудование и владельцев, задокументируйте нормальные коммуникации, проверьте удаленный доступ и смоделируйте изменения сегментации.
• Протестируйте политики в симуляции или контролируемой среде, получите одобрение OT и безопасности и развертывайте поэтапно.
• Контролируйте операционные эффекты и проверяйте ожидаемый доступ после каждого изменения.
• Создайте измеримый путь к более надежной безопасности OT

В информационном бюллетене АНБ по кибербезопасности Zero Trust представлен как дополнительный подход к существующим методам кибербезопасности, предназначенный для укрепления устаревших систем OT с помощью компенсирующих мер контроля. Cyber Vision помогает внедрять принципы ZT, обеспечивая видимость активов и коммуникаций, аналитическую информацию о состоянии безопасности, планирование сегментации, контролируемый удаленный доступ и контекст OT для операций по обеспечению безопасности.

Операторам по-прежнему необходимы достоверные инвентаризационные списки, управление идентификацией и учетными записями, усиление защиты контроллеров, управление исправлениями и конфигурациями, точки принудительного контроля, безопасное управление изменениями и обученный персонал OT. В сочетании с текущей видимостью эти практики способствуют принятию более обоснованных решений о доступе и проведению целенаправленных расследований, сохраняя при этом безопасность, надежность и непрерывность выполнения задач в качестве приоритета.

Резюме

Новое руководство АНБ по OT превращает Zero Trust в практическое руководство по защите критически важных операций OT: 26 приоритетных мероприятий в 10 областях, согласованных с семью столпами DoW. Портфель решений Cisco Security может помочь организациям преобразовать эти приоритеты в план, основанный на их собственной среде. Cisco Cyber Vision может помочь командам обеспечить видимость активов и коммуникаций OT, а Splunk — интегрировать соответствующие данные безопасности в рабочие процессы расследования и реагирования.

Начните с определения того, что подключено и как оно взаимодействует, затем используйте эти данные для определения приоритетности пробелов, координации защиты по всем семи столпам и отслеживания прогресса в соответствии с мероприятиями АНБ.

Источники

• Техническое описание Cisco Cyber Vision
• Краткий обзор Cisco Cyber Vision
• Документация по развертыванию датчиков Cisco Cyber Vision
• Руководство по интеграции Cisco Cyber Vision и Splunk