Počet kybernetických útoků neustále roste díky používání IoT a rostoucí integraci OT/IT. Řešení kybernetické bezpečnosti pro průmysl musí být nejmodernější a umožňovat bezpečné používání dat.
Zabezpečení zařízení používá řadu metod k zajištění komplexního zabezpečení celého vašeho závodu.
Konkrétní koncepty kybernetické bezpečnosti pro průmysl staví na standardech a rozsáhlých odborných znalostech, aby zajistily bezpečnost vašeho závodu. Potřebná bezpečnostní opatření jsou definována na základě analýzy rizik, poté jsou implementována a pravidelně aktualizována.
Provozovatelé elektráren si již nemohou dovolit obejít se bez účinných opatření v oblasti kybernetické bezpečnosti. Požadavky na dodržování předpisů v oblasti bezpečnosti v průmyslovém prostředí a právní předpisy na ochranu kritické infrastruktury jsou stále přísnější. Čas a peníze na průmyslovou kybernetickou bezpečnost jsou však často málo a odborníci jsou zřídka k dispozici. Zaměstnanci IT potřebují podporu odborníků na bezpečnost s odbornými znalostmi v oblasti automatizace. Pak je tu časový tlak vyplývající z nových požadavků na dodržování předpisů a legislativy, které vyžadují, aby byla opatření zavedena ve stanovené lhůtě.
Security Assessments důkladně analyzovat hrozby a zranitelnosti, identifikovat rizika a poskytnout doporučení k odstranění zjištěných mezer. Maximalizují transparentnost a poskytují komplexní přehled o aktuálním stavu zabezpečení vašich automatizačních systémů. Můžete si vybrat mezi kompaktním jednodenním hodnocením na místě (Industrial Security Check) nebo komplexním hodnocením v souladu s IEC 62443 (IEC 62443 Assessment). Poradenství v oblasti průmyslové bezpečnosti poskytuje podporu na místě zkušenými poradci, kteří vám pomohou dodržovat bezpečnostní pokyny a vytvořit rozložení sítě specifické pro daný závod. Zajišťují také splnění vašich specifických požadavků.
Jak překonáte výzvy složitých IT/OT technologií, znalostní mezeru mezi IT a OT a nedostatek zdrojů? Naše IT/OT infrastruktura připravená k provozu je navržena s ohledem na kybernetickou bezpečnost. Naši odborníci jsou připraveni poskytnout okamžitý přístup ke svým odborným znalostem. Solutions pro kontinuitu provozu maximalizují dostupnost a shodu s kybernetickou bezpečností. Stručně řečeno: Můžeme vám pomoci splnit všechny příslušné předpisy v oblasti kybernetické bezpečnosti.
Industrial Automation Data Center je na zakázku nakonfigurovaná IT/OT infrastruktura připravená k provozu s kybernetickou bezpečností. Remote Industrial Operations Services zahrnuje správu vaší IT/OT infrastruktury. Naši odborníci se postarají o kontinuitu provozu vašeho závodu s nepřetržitým monitorováním, proaktivní podporou a řízenými bezpečnostními službami.
Bezpečná komunikace v průmyslových sítích
Čím více probíhá propojení mezi IT a OT prostředím v rámci společnosti, tím důležitější je chránit automatizační sítě před neoprávněným přístupem. Ochrana však nesmí ohrozit výrobu, a proto musí být koordinována se speciálními požadavky automatizačních sítí.
Je důležité chránit sériové stroje se stejnými podsítěmi a bezpečnostními požadavky. Všechna zařízení bez vestavěného zabezpečení musí být chráněna v automatizační buňce. Zařízení brány firewall vyžadují značné úsilí o správu a konfiguraci. Flexibilní koncept zóny zabezpečení a centralizovaná správa firewallu zajišťují vysokou propustnost dat pro vysokou dostupnost systému a zabezpečení dat. Kromě toho maximální dostupnost sítí OT, stejně jako prostředí v reálném čase a bezpečnost pomáhá splnit požadavky IEC 62443. Zásady bezpečného vzdáleného přístupu a nulové důvěryhodnosti závisí na obvodové a zónové ochraně.
Výběr správného přístupu položí základ pro bezpečný návrh sítě. Typickým příkladem implementace konceptu automatizace sítě je návrh zabezpečení buněk, který se spoléhá na izolaci buněk na bázi vrstvy 3. Síť je segmentována instalací SCALANCE S Industrial Security Appliances před každou buňku. Komunikace je centrálně řízena pravidly firewallu prostřednictvím systému správy sítě SINEC NMS. SINEC INS poskytuje další služby pro autentizaci uživatelů a centralizované protokolování.
Základní kámen návrhu zabezpečené sítě začíná výběrem přístupu k řešení. V této implementaci konceptu automatizační sítě představujeme koncept zabezpečení buněk, který se opírá o izolaci buněk na bázi vrstvy 3. Zařízení Industrial Next Generation Firewall jsou umístěna před každou buňkou. Jako front-end a back-end firewally používáme také průmyslové brány firewall nové generace.
Servis distribuovaných strojů po celém světě vyžaduje značné logistické úsilí a cestovní náklady. Existuje také nedostatečná viditelnost distribuovaných strojů. Správa zavedených VPN tunelů a údržba připojených zařízení vyžaduje obrovské úsilí. Naše řešení poskytuje obrovskou šířku pásma, snadné nastavení, flexibilitu, snadnou rozšiřitelnost a prevenci manipulace pomocí šifrování. Zabezpečený přenos dat a centralizované ověřování pomocí UMC zabraňují neoprávněnému přístupu. Automatická konfigurace zařízení SCALANCE usnadňuje integraci. A ke správě všech svých připojení VPN a uživatelů nepotřebujete speciální IT dovednosti.
Technologie platformy SINEMA Remote Connect umožňuje bezpečnou správu tunelových spojení (VPN) mezi řídicím centrem, servisními techniky a nainstalovaným zařízením. Tím se zabrání přímému přístupu do podnikové sítě, kde se nachází opravovaný stroj. Servisní technici používají klienta SINEMA Remote Connect a systém nebo stroj vyžadující údržbu je vybaven průmyslovým bezpečnostním zařízením SCALANCE S nebo průmyslovým routerem SCALANCE M. Technik i stroj navazují podle potřeby samostatná spojení se serverem SINEMA Remote Connect a identita účastníků je určena výměnou certifikátů. Teprve poté je povolen vzdálený přístup ke stroji. Bezpečnostní CP pro SIMATIC S7-1200 a SIMATIC S7-1500 umožňují bezpečné připojení řadičů k sítím Industrial Ethernet.
Software jako služba Remote Platform Software as a Service poskytuje přístup k vaší vlastní instanci společné platformy Remote Service Platform (cRSP). Zajišťuje podnikovou bezpečnost prostřednictvím centralizovaného provozu CRSP od společnosti Siemens a umožňuje samosprávu a konfiguraci vlastní instance CRSP. Platformu lze využít pro vzdálený přístup k vlastním průmyslovým zařízením v distribuovaných lokalitách a ke vzdálenému poskytování služeb koncovým zákazníkům v jejich lokalitách.
Potřeba mobilních možností práce — včetně vzdáleného přístupu k datům a systémům — roste také v oblastech vývoje a výroby. Během fáze provozu a optimalizace potřebují zaměstnanci přístup ze všech lokalit do těchto specifických vývojových a výrobních oblastí. Totéž platí pro podporu provozních procesů nebo implementaci pracovních postupů řízení kvality. Tento přístup do oblastí OT může být poskytován buď uvnitř nebo mimo firemní síť na základě principů Zero Trust, bez nutnosti měnit síťovou infrastrukturu. Přístup z zákaznické sítě nebo mimo ni do oblastí OT — včetně omezených oblastí — musí být možný až na úroveň stroje.
Aby bylo možné začlenit principy Zero Trust, musí být služba Zero Trust OT Access Service založená na bezpečnostním řešení od společnosti Zscaler Inc., zpřístupněna na místní platformě zpracování SCALANCE LPE (Local Processing Engine). Instalace řešení jako kontejneru Docker© na SCALANCE LPE umožňuje přístup do prostředí průmyslové automatizace s maximální bezpečností. Zde se navzájem doplňují tři cíle: Výkonná ochrana buněk nabízená „Defense in Depth“, bezpečný přístup k výrobním sítím zvenčí (například umožnění flexibilní práce z kanceláře nebo mobilní práce) a maximální dostupnost a plné schopnosti v reálném čase potřebné pro produkční sítě.
Během provozní fáze OT potřebuje data z IT a také odesílá data zpět. Tato data musí být zabezpečena, aby se zabránilo manipulaci s údaji a krádežím dat a aby byly v souladu s bezpečnostními normami. Přímý přístup z externí do interní sítě a naopak je v rámci OT infrastruktury zakázán. Zaměstnanci IT potřebují také podporu bezpečnostních odborníků s odbornými znalostmi v oblasti automatizace, aby mohli zavést nejmodernější IT/OT ochranu.
Industrial DMZ Infrastructure je koncept připravený ke spuštění pro segmentaci IT/OT sítí s integrovanými bezpečnostními funkcemi. Díky předním a zadním firewallům chrání DMZ systémy OT před neoprávněným přístupem zvenčí. Redundantní, ultramoderní průmyslové brány firewall nové generace fungují nejen jako filtry portů, ale také analyzují data na aplikační úrovni (Deep Packet Inspection). Služby obsažené v Industrial DMZ, jako je Remote Access, File Exchange a Active Directory, jsou k dispozici jako virtuální počítače na samostatném vysoce výkonném vizualizačním hostiteli. Samotný IDMZ je založen na konceptu Zero Trust.
Kybernetické útoky musí být detekovány co nejdříve, aby se předešlo škodám a nákladům. To vyžaduje viditelnost všech portů, síťových zařízení a topologie. To je jediný způsob, jak včas odhalit vniknutí a rychle reagovat.
SINEC Security Monitor poskytuje základní funkce systému detekce narušení (IDS). Zrcadlením a analýzou síťového provozu lze aktiva pasivně identifikovat, aniž by došlo k narušení probíhající výroby. Zjištěná aktiva mohou být korelována se známými zranitelnostmi za účelem identifikace postižených zranitelných zařízení. Díky detekci anomálií založené na podpisu založené na rozsáhlé databázi zpravodajských informací o hrozbách a také detekci anomálií bez podpisu s vestavěnými mechanismy AI můžete odhalit zranitelnosti celé sítě více dodavatelů. Nabízíme možnost pasivních, nerušivých OT optimalizovaných skenů, které také podporují komunikační protokoly specifické pro OT. Naše řešení také poskytují aktuální návrhy řešení ke zmírnění zjištěných zranitelností.
Služba Industrial Anomaly Detection poskytuje bezkonkurenční nepřetržitý vzdálený nepřetržitý monitoring zabezpečení pro průmyslové zákazníky. Naši odborníci na kybernetickou bezpečnost, založení na Remote Industrial Operations Services, využívají SINEC Security Monitor k detekci hrozeb a k řešení hrozeb. Naši odborníci jsou specialisté na bezpečnost OT a naše transparentnost při výměně dat v průmyslových sítích usnadňuje detekci anomálií ve výrobě. Včasná detekce anomálií a hrozeb zvyšuje průmyslovou kybernetickou bezpečnost. Naše 100% pasivní monitorovací řešení poskytuje nejmodernější kybernetickou bezpečnost bez dopadu na monitorované průmyslové řídicí systémy.
Chraňte svou výrobu, komunikaci a duševní vlastnictví
Základním principem průmyslových podniků je, že výroba musí i nadále fungovat. Proto musí být automatizační systémy chráněny před přístupem a pokusy o manipulaci. Komunikace v rámci systémů, programový kód a duševní vlastnictví si zaslouží ochranu.
Konfigurace zabezpečení musí být zavedena během fáze inženýrství a údržby, aby byly automatizační systémy chráněny před kybernetickými útoky. To musí být efektivní a intuitivní, aby byl proces uvedení do provozu jednoduchý. Dokonce i během uvedení do provozu potřebují inženýři efektivní metodu, aby splnili bezpečnostní požadavky a snížili počet lidských chyb. To se však nestane vždy, což znamená, že citlivá data mohou být během uvedení do provozu ponechána nechráněná. Důvodem je, že uživatelé nemají hluboké technické znalosti o konfiguraci zabezpečení nebo proto, že bezpečnostní opatření vytvářejí překážky inženýrskému procesu tím, že vyžadují například hesla.
Konfigurace zabezpečení je jednodušší s pomocí asistenta zabezpečení v TIA Portal. S TIA Portal V17, SIMATIC S7-1500/S7-1200 a panely HMI můžete konfigurovat důvěrná konfigurační data, zabezpečenou komunikaci PG/HMI a hesla pro různé úrovně přístupu k řadiči. Komunikace mezi TIA Portal a regulátorem, nebo mezi regulátorem a HMI, je pak chráněna TLS V1.3.
Během fáze inženýrství a údržby musí být zabráněno neoprávněnému přístupu k uživatelským programům, automatizačním systémům a datům. Rozhodující je granulární konfigurace uživatelských práv, správa přístupu a efektivní správa uživatelů pro celý závod. Import uživatelů/skupin z již dostupného serveru Microsoft Active Directory šetří čas a úsilí. Personalizovaný přístup poskytuje lepší ochranu namísto obecného přístupu pomocí hesla.
Chcete-li zajistit efektivní správu uživatelů, importujte uživatele a skupiny z Microsoft Active Directory do UMC server. Propojte inženýrskou stanici TIA Portal se serverem UMC a importujte uživatele a skupiny ze serveru UMC do portálu TIA. Můžete přidělit práva a role místně.
Vzhledem k tomu, že výroba je stále dynamičtější, je přístup k datům během celého životního cyklu produktu zásadní. Zařízení, systémy a uživatelé si vyměňují data nepřetržitě nebo podle potřeby, aniž by byly zavedeny vhodné mechanismy řízení přístupu k datům nebo identifikace. Bez vhodných identifikačních mechanismů se k síti může připojit kdokoli, což činí systém náchylným k útokům typu man-in-the-middle. Data jsou také přenášena v jasném textu a lze je číst v síti, což je vystavuje riziku krádeže, manipulace, špionáže a sabotáže.
Bezpečná komunikace je možná díky end-to-end šifrování mezi TIA Portal, SIMATIC S7-1500/S7-1200 a stanicemi HMI, založené na Transport Layer Security (TLS) V1.3. To lze rozšířit na komunikaci přes OPC UA a webový server a také otevřenou uživatelskou komunikaci.
Ochrana OT systémů, na kterých běží operační systémy, je nezbytná jak v provozní, tak v optimalizační fázi. Normálně se ochrana koncového bodu používá k zajištění integrity systému, která je rozhodující pro zajištění dostupnosti řídicích systémů. Současně hrozba malwaru ve formě virů, ransomwaru a trojských koní exponenciálně roste a zaměřuje se na průmyslový sektor. Pro použití v průmyslových systémech jsou povolena pouze schválená řešení s konfigurací specifickou pro OT.
Nabízíme dva kontrastní přístupy k ochraně koncových bodů proti malwaru. Každý přístup má své výhody v závislosti na situaci.
Kromě toho nabízíme test interoperability pro Endpoint Detection and Response (EDR), abychom specificky nakonfigurovali verzi SIMATIC PCS 7 a jeho EDR softwaru od dodavatele třetí strany.
Systémy musí být pravidelně aktualizovány během provozní a optimalizační fáze. Mnoho systémů je zranitelných vůči novým zranitelnostem hlášeným denně, které mohou hackeři zneužít, pokud nebudou podniknuty žádné kroky. Naše řešení poskytuje okamžitou transparentnost relevantních zranitelností na základě sofistikované inteligence zranitelností. Nabízí také proaktivní řízení kybernetických rizik, snadno integrované do vašeho pracovního postupu, což šetří čas a náklady. Naše služba včas identifikuje a spravuje zranitelnosti, aby se zabránilo výpadkům a nákladným útokům.
Pomocí Vulnerability Services můžete zabezpečit svou infrastrukturu a portfolio produktů poskytnutím relevantních informací o zranitelnostech, na které lze reagovat. Upozornění na zranitelnost obdržíte pro váš individuální systém prostřednictvím řady možností:
Je zásadní zaznamenávat události, aby bylo možné sledovat bezpečnostní incidenty a rychle identifikovat narušení bezpečnosti a reagovat na ně. Integrita událostí je také nezbytná, protože jakákoli manipulace nebo ztráta dat o událostech může vést k bezpečnostním rizikům a provozním poruchám. Centralizujeme logová data z různých zařízení a systémů. Integrita protokolu je zaručena šifrovaným přenosem událostí, který zabraňuje neoprávněnému přístupu, manipulaci nebo kybernetickým útokům událostí. Monitorujeme kritické události a aktivity v prostředí OT v reálném čase.
Naše řešení umožňuje lokální protokolování událostí a následné odesílání událostí pomocí zabezpečeného protokolu Syslog. Poskytujeme end-to-end šifrování mezi SIMATIC S7-1500, SCALANCE „Syslog client“ a SINEC INS „Syslog server“.
Neoprávněnému přístupu ke strojům a zařízením musí být vždy zabráněno. Během fáze provozu a údržby je nezbytná individuální kontrola přístupových práv pomocí stávajících průkazů totožnosti zaměstnanců. Tím je zajištěna maximální spolehlivost a efektivita procesu. Bezpečný a zdokumentovaný přístup ke strojům je zásadní pro zachování transparentnosti a sledovatelnosti v případě bezpečnostních incidentů.
Systém SIMATIC RF1000 zabraňuje neoprávněným osobám v přístupu k vašim strojům a systémům, čímž předchází možným provozním chybám a odstávkám výroby. The SIMATIC RF1100 je nová generace čteček karet s pohodlnou webovou správou, podporou PoE a možnostmi integrace prostřednictvím XML a ModbusTCP.
Je důležité odhalit kybernetické útoky, aby se předešlo škodám a nákladům. Transparentnost všech portů, účastníků sítě a topologie je nezbytná. Abyste mohli rychle reagovat, musíte detekovat anomálie, narušení a zranitelnosti více dodavatelů celé sítě. Možností jsou pasivní, nerušivé skenování optimalizované OT, stejně jako komunikační protokoly specifické pro OT. Zásadní jsou aktuální návrhy řešení ke zmírnění zjištěných zranitelností.
SINEC Security Inspector nabízí bezkonkurenční možnosti identifikace majetku a detekce zranitelnosti. Naše platforma poskytuje komplexní sadu nástrojů k identifikaci aktiv a testovacích případů k identifikaci zranitelností. K proaktivní identifikaci anomálií a narušení využíváme detekci anomálií založenou na AI.
Solidní strategie obnovy po havárii je nezbytná pro rychlé obnovení výroby po přerušení a prevenci ztráty dat. V dnešním stále kyberneticky ohroženém světě, s novými směrnicemi, jako je NIS 2, je komplexní řešení zálohování nutností! Naše řešení zajišťuje rychlejší restart výroby po poruše nebo incidentu kybernetické bezpečnosti. A zabraňuje ztrátě dat snadným obnovením z online záloh. Navíc je to infrastruktura připravená ke spuštění s předem nakonfigurovanými součástmi testovanými systémem.
Zálohování a obnovení jako součást infrastruktury SIMATIC DCS/SCADA automaticky vytváří zálohy během provozu zařízení. Řešení je zabudováno do Industrial Automation DataCenter. Během provozu jsou z výpočetního clusteru vytvářeny automatické zálohy a uloženy na záložním serveru. V případě poruchy lze virtuální počítače snadno obnovit ze zálohovacího serveru. To umožňuje rychlé obnovení a zabraňuje ztrátě dat.
17. října 2024 vstoupila v platnost směrnice EU o kybernetické bezpečnosti NIS 2, která určitým odvětvím nařizuje prokázat připravenost na kybernetickou bezpečnost a hlásit závažné incidenty. Zjistěte, zda jste ovlivněni a jak vám můžeme pomoci.
