归纳自动化的凯文·奥特建议一种不同的方法,使你的工业系统安全在本月的客座博客。

才能进入诺克斯堡?作为地球上最安全的地方,它不会容易。然而,有正确的时间,规划,和决心能够找到一个方法。

这同样适用于大多数工业系统。那么,如何保护里面有什么?策略可能在物理工作world-thicker墙壁或高fences-don不能转化为数字系统。贸易的工具有各种各样的高科技解决方案,比如防火墙、siem, IDS, IPS。这些工具主要是监控网络流量和控制流程,并提供早期警报如果有不寻常的活动。

然而,如果我们把所有这些传统的工具,一种不同的方法?

输入零信任。

零信任是网络哲学最早在10年前,全世界广泛利益和重大应用。

在一个句子,零信任背后的概念是,你的系统没有任何人的信任(零信任)网络。只是因为有一个网络连接并不意味着远程方连接是一个受信任的用户或系统的组织。

这基本上是一个心态的转变产生了重大影响的工业和它的世界。转变思维从“网络安全”、“网络上有坏的演员、安全数据和设备。“这是类似于一个城市,街道,房屋,和商业建筑。而不是试图使坏人远离街道,有锁阻止他们进入卡车和建筑物和保安只有让值得信赖的伙伴。

这种心态的转变需要在安全上的设备/系统(建筑)和数据传输(卡车)。

换句话说,零信任是一个网络安全的解决方案,需要验证数字交互的每个阶段期间,即使这些交互发生在安全许可的网络。这听起来像一个复杂的过程,但幸运的是确保每一块系统可以相对容易的正确组合硬件、软件和数据传输协议。

设备安全

确保你的整个链的沟通可以从两端开始。我们将从设备开始在网络的边缘,与硬件做数据收集和沟通。边缘设备往往缺乏加密或证书的支持,安全意识,所以选择一个设备可能需要完全安全的交流。

内置网络流量控制可以防止的传入流量通过阻止任何人“门口”除了信任的沟通。使用高安全协议像MQTT只传出连接搭配强加密可以消除的传入流量的路由,进一步保护装置。这类边缘设备的一个很好的例子groov力拓和groov史诗,哪来这种通信工具来帮助安全。

当结合零信任与传统IT安全方法,强大的网络分割也可以是一个好主意支持多个网络接口的设备。网络区域可配置,设备在两个网络同时说:例如,一个更安全的传感器或控制网络和网络安全的公司。网络区域帮助确保没有两个网络之间的道路网络交通流,即使设备连接到两个网络。两个网络之间的数据通信和控制可以发送通过设备同时保持实际的网络流量只在网络上的属于他们的权利。

交通安全

安全是另一个重要的地方的通信流本身从一个数据将存储的设备。每一个单独的行必须获得维持保护系统。一个伟大的协议让你马上安全通信是MQTT。可能的艺术系列已经介绍了如何迅速开始MQTT和倡导,但它是值得研究为什么这些标准提供行业领先的安全。

一个关键优势是MQTT连接可以完全外向。这允许用户利用内部防火墙设备上阻止所有传入流量默认设备。保持交通仅限于外向交通大大有助于保护从外部演员。

此外,大多数的MQTT经纪人有三个加密,认证,并授权建造的。当启用,所有数据转移MQTT是加密的,需要客户端证书的设备或服务器接收数据。任何出版商之间的数据传输和代理或代理和用户使用SSL / TLS加密,然后经过身份验证的用户名和密码。此外,大多数MQTT经纪人支持访问控制列表(acl),可以限制用户访问基于主题。MQTT简化传输安全,保护每一个数据块的单调设置独立的安全设置为每个连接。

系统安全

一旦数据被收集和转移,最终在一个中央系统也需要强大的安全控制。使用一个中央系统,具有强大的安全建于至关重要,安全通常不能被“固定”到一个系统很容易,有时候它不能添加如果系统使用不安全的通信技术,协议,或技术框架。

的关键零信任是身份验证和授权。决定谁是登录验证,实现与传统的用户名和密码,或使用现代国内流离失所者支持诸如公司统一登录和双重认证。授权决定特权和允许更多的粒度通过分配用户角色可以具体数据和应用程序功能的访问。甚至当一个客户端身份验证和授权,仍将加密传输的数据只要启用加密。在大多数情况下,加密认证甚至开始前发生。

中央系统的一个例子,有很强的安全工具建在点火的平台,这是由感应自动化。充分披露:我为归纳工作自动化。说,在我看来,作为一名工程师,工具集非常多才多艺,提供最广泛的方法之一,介绍你自己和你的组织。

不管你是否使用点火,这里是寻找的东西:

1. 能力,使加密(TLS 1.2或TLS 1.3及以上版本)。
2. 能够使用身份提供者(idp),使现代安全特性像2 fa,集中的凭据访问和撤销权限。
3. 能够使用高安全协议,如MQTT和能力支持OPC UA的强加密选项。
4. 桥的能力基于区域多个网络和应用的安全策略。
5. 互操作性和支持开放标准。
6. 安全重点从供应商,包括记录的响应与一个合理的时间表决议漏洞。

除此之外,有一些额外的项目列表,优点:

1. 安全信息披露和开放性的文化,搭配了一个承诺,负责任的披露,超出政府规定。
2. 支持身份提供者角色映射到内部系统的角色。
3. 完善支持政策和支持软件版本的时间。

如果我们观察点火具体来说,一些额外的特性迅速值得强调。

在点火平台,最近推出的一个身份验证的挑战点火8.1.16更容易地验证主管批准符合21 CFR第11部分。

点火的网关网络也可以用来获得中央服务器的双向沟通优势,允许从边缘到核心系统发出的连接,并提供工具像中央管理,远程报警查看和确认,远程升级、集中备份,和先进的脚本在边缘计算。

其他选项存在基于云计算的数据存储和安全连接。点火可以传输数据到云服务使用云注入器模块。另一个云计算策略是部署在AWS点火服务器或Azure。这建立一个保护和加密的单通道系统,可以配置为只读的,允许客户查看远程标签云的数据而创建一个锁定的环境,可以和不能同时满足。

保护你的数据在每一个步骤

正确的组合的安全设备、协议和软件,你的旅程将在良好的端到端安全数据收集和控制通道。

当然,监控网络仍然是一个好主意。SIEM、id和IPS工具,投资仍然有一席之地。你能想到的他们就像街上的警察部队。你想确保你的建筑和车辆安全,但它永远不会伤害人寻找你的道路。

了解更多关于如何使全面的安全访问系统的默认设置系统安全页面和安全性加强指导在归纳自动化的网站。

- - - - - -凯文·奥特
联合销售工程,归纳自动化