Confiança Zero e suas redes de OT
Confiança Zero é uma estratégia de segurança para projetar e implementar os seguintes conjuntos de princípios de segurança:
| Verificação explícita | Usar o acesso com privilégios mínimos | Pressupor a violação |
|---|---|---|
| Sempre autentique e autorize com base em todos os pontos de dados disponíveis. | Limite o acesso do usuário com JIT/JEA (Just-In-Time e Just-Enough-Access), políticas adaptáveis baseadas em risco e proteção de dados. | Minimize o raio de alcance e segmente o acesso. Verifique a criptografia de ponta a ponta e use a análise para obter visibilidade, promover a detecção de ameaças e melhorar as defesas. |
Implemente os princípios de Confiança Zero em suas redes de tecnologia operacional (OT) para ajudá-lo com desafios, como:
Controlando conexões remotas em seus sistemas OT, protegendo seus jump posts de rede e impedindo o movimento lateral em sua rede
Revisão e redução de interconexões entre sistemas dependentes, simplificando os processos de identidade, como para prestadores de serviços que se cadastram em sua rede
Localizar pontos únicos de falha em sua rede, identificar problemas em segmentos de rede específicos e reduzir atrasos e gargalos de largura de banda
Riscos e desafios exclusivos para redes OT
As arquiteturas de rede OT geralmente diferem da infraestrutura de TI tradicional. Os sistemas OT usam tecnologia exclusiva com protocolos proprietários e podem ter plataformas antigas e conectividade e energia limitadas. As redes OT também podem ter requisitos de segurança específicos e exposições exclusivas a ataques físicos ou locais, como por meio de contratantes externos que se conectam à sua rede.
Como os sistemas OT geralmente dão suporte a infraestruturas de rede críticas, eles geralmente são projetados para priorizar a segurança física ou a disponibilidade em vez de acesso e monitoramento seguros. Por exemplo, suas redes OT podem funcionar separadamente de outro tráfego de rede empresarial para evitar o tempo de inatividade para manutenção regular ou para atenuar problemas de segurança específicos.
À medida que mais redes OT migram para ambientes baseados em nuvem, a aplicação dos princípios de Confiança Zero pode apresentar desafios específicos. Por exemplo:
- Os sistemas OT podem não ser projetados para vários usuários e políticas de acesso baseadas em funções e podem ter apenas processos de autenticação simples.
- Os sistemas OT podem não ter o poder de processamento disponível para aplicar totalmente as políticas de acesso seguro e confiar em todo o tráfego recebido como seguro.
- O envelhecimento da tecnologia apresenta desafios na retenção do conhecimento organizacional, na aplicação de atualizações e no uso de ferramentas de análise de segurança padrão para obter visibilidade e direcionar a detecção de ameaças.
No entanto, um comprometimento de segurança em seus sistemas de missão crítica pode levar a consequências do mundo real além dos incidentes de TI tradicionais, e a não conformidade pode afetar a capacidade de sua organização de cumprir os regulamentos do governo e do setor.
Aplicando princípios de Confiança Zero a redes de OT
Continue a aplicar os mesmos princípios de Confiança Zero em suas redes de OT como faria nas redes tradicionais de TI, mas com algumas modificações logísticas, conforme necessário. Por exemplo:
Certifique-se de que todas as conexões entre redes e dispositivos sejam identificadas e gerenciadas, evitando interdependências desconhecidas entre sistemas e contendo qualquer parada inesperada durante os procedimentos de manutenção.
Como alguns sistemas OT podem não dar suporte a todas as práticas de segurança necessárias, recomendamos limitar as conexões entre redes e dispositivos a um número limitado de jump host. Os jump hosts podem então ser usados para iniciar sessões remotas com outros dispositivos.
Certifique-se de que seus jump hosts tenham medidas de segurança e práticas de autenticação mais fortes, como autenticação multifator e sistemas de gerenciamento de acesso privilegiado.
Segmente sua rede para limitar o acesso a dados, garantindo que toda a comunicação entre dispositivos e segmentos seja criptografada e protegida, evitando movimentos laterais entre sistemas. Por exemplo, certifique-se de que todos os dispositivos que acessam a rede sejam pré-autorizados e protegidos de acordo com as políticas da sua organização.
Talvez seja necessário confiar na comunicação em todo o seu controle industrial e sistemas de informações de segurança (ICS e SIS). No entanto, muitas vezes você pode segmentar ainda mais sua rede em áreas menores, facilitando o monitoramento de segurança e manutenção.
Avalie sinais como localização, integridade e comportamento do dispositivo usando dados de integridade para bloquear o acesso ou sinalizar para correção. Exija que os dispositivos estejam atualizados para acesso e use análises para obter visibilidade e escalar as defesas com respostas automatizadas.
Continue monitorando as métricas de segurança, como dispositivos autorizados e sua linha de base de tráfego de rede, para garantir que o parâmetro de segurança mantenha sua integridade e que as mudanças em sua organização ocorram ao longo do tempo. Por exemplo, talvez seja necessário modificar seus segmentos e políticas de acesso à medida que pessoas, dispositivos e sistemas mudam.
Confiança Zero com o Defender para IoT
Implante os sensores de rede do Microsoft Defender para IoT para detectar dispositivos e monitorar o tráfego em suas redes de OT. O Defender para IoT avalia seus dispositivos em busca de vulnerabilidades e fornece etapas de mitigação com base em riscos e monitora continuamente seus dispositivos em busca de comportamento anômalo ou não autorizado.
Ao implantar sensores de rede do OT, use sites e zonas para segmentar sua rede.
- Os sites refletem muitos dispositivos agrupados por uma localização geográfica específica, como o escritório em um endereço específico.
- As zonas refletem um segmento lógico dentro de um site para definir uma área funcional, como uma linha de produção específica.
Atribua cada sensor OT a um local e zona específicos para garantir que cada sensor OT cubra uma área específica da rede. Segmentar seu sensor em sites e zonas ajuda a monitorar qualquer tráfego que passa entre os segmentos e a aplicar políticas de segurança para cada zona.
Certifique-se de atribuir políticas de acesso baseadas em site para que você possa fornecer acesso com menos privilégios aos dados e atividades do Defender para IoT.
Por exemplo, se sua empresa em crescimento tiver fábricas e escritórios em Paris, Lagos, Dubai e Tianjin, você poderá segmentar sua rede da seguinte maneira:
| Site | Zonas |
|---|---|
| Escritório de Paris | - Térreo (Convidados) - Piso 1 (Vendas) - Piso 2 (Executivo) |
| Escritório de Lagos | - Térreo (Escritórios) - Piso 1-2 (Fábrica) |
| Escritório de Dubai | - Térreo (Centro de Convenções) - Piso 1 (Vendas) - Piso 2 (Escritórios) |
| Escritório de Tianjin | - Térreo (Escritórios) - Piso 1-2 (Fábrica) |
Próximas etapas
Crie sites e zonas à medida que você integra sensores OT no portal do Azure e atribua políticas de acesso baseadas em sites a seus usuários do Azure.
Se você estiver trabalhando em um ambiente desconectado com um console de gerenciamento local, crie o site OT e as zonas diretamente no console de gerenciamento local.
Use pastas de trabalho integradas do Defender para IoT e crie suas próprias pastas de trabalho personalizadas para monitorar seu parâmetro de segurança ao longo do tempo.
Para obter mais informações, consulte:
- Crie sites e zonas ao integrar um sensor OT
- Gerencie o controle de acesso baseado no site
- Monitore sua rede OT com os princípios de Confiança Zero
Para obter mais informações, consulte: