Zero Trust e le reti OT

Zero Trust è una strategia di sicurezza per la progettazione e l'implementazione dei seguenti set di principi di sicurezza:

Implementare Zero Trust principi nelle reti OT (Operational Technology) per affrontare le sfide, ad esempio:

• Controllo delle connessioni remote nei sistemi OT, protezione dei jump post di rete e prevenzione dello spostamento laterale attraverso la rete

• Rivedere e ridurre le interconnessioni tra sistemi dipendenti, semplificando i processi di identità, ad esempio per gli appaltatori che esedono l'accesso alla rete

• Individuazione di singoli punti di errore nella rete, identificazione dei problemi in segmenti di rete specifici e riduzione dei ritardi e dei colli di bottiglia della larghezza di banda

Rischi e sfide univoci per le reti OT

Le architetture di rete OT spesso differiscono dall'infrastruttura IT tradizionale. I sistemi OT usano una tecnologia unica con protocolli proprietari e possono avere piattaforme obsolete e connettività e potenza limitate. Le reti OT possono anche avere requisiti di sicurezza specifici ed esposizioni univoche ad attacchi fisici o locali, ad esempio tramite terzisti esterni che esenetto alla rete.

Poiché i sistemi OT supportano spesso infrastrutture di rete critiche, sono spesso progettati per dare priorità alla sicurezza fisica o alla disponibilità rispetto all'accesso e al monitoraggio sicuri. Ad esempio, le reti OT potrebbero funzionare separatamente da altri traffico di rete aziendale per evitare tempi di inattività per la manutenzione regolare o per attenuare problemi di sicurezza specifici.

Man mano che più reti OT vengono migrate in ambienti basati sul cloud, l'applicazione di principi di Zero Trust può presentare sfide specifiche. Ad esempio:

• I sistemi OT potrebbero non essere progettati per più utenti e criteri di accesso in base al ruolo e possono avere solo processi di autenticazione semplici.
• I sistemi OT potrebbero non avere la potenza di elaborazione disponibile per applicare completamente i criteri di accesso sicuro e considerare attendibile tutto il traffico ricevuto come sicuro.
• La tecnologia obsoleta presenta problemi nel mantenere le conoscenze aziendali, nell'applicazione degli aggiornamenti e nell'uso di strumenti di analisi della sicurezza standard per ottenere visibilità e favorire il rilevamento delle minacce.

Tuttavia, una compromissione della sicurezza nei sistemi cruciali può portare a conseguenze reali oltre i tradizionali incidenti IT e la mancata conformità può influire sulla capacità dell'organizzazione di conformarsi alle normative governative e del settore.

Applicazione dei principi Zero Trust alle reti OT

Continuare ad applicare gli stessi principi Zero Trust nelle reti OT come nelle reti IT tradizionali, ma con alcune modifiche logistiche in base alle esigenze. Ad esempio:

• Assicurarsi che tutte le connessioni tra reti e dispositivi siano identificate e gestite, evitando interdipendenze sconosciute tra i sistemi e contenendo eventuali tempi di inattività imprevisti durante le procedure di manutenzione.

  Poiché alcuni sistemi OT potrebbero non supportare tutte le procedure di sicurezza necessarie, è consigliabile limitare le connessioni tra reti e dispositivi a un numero limitato di jump host. Gli host jump possono quindi essere usati per avviare sessioni remote con altri dispositivi.

  Assicurarsi che gli host jump dispongano di misure di sicurezza e procedure di autenticazione più avanzate, ad esempio l'autenticazione a più fattori e i sistemi di gestione degli accessi con privilegi.

• Segmentare la rete per limitare l'accesso ai dati, assicurando che tutte le comunicazioni tra dispositivi e segmenti siano crittografate e protette e impedendo lo spostamento laterale tra i sistemi. Ad esempio, assicurarsi che tutti i dispositivi che accedono alla rete siano pre-autorizzati e protetti in base ai criteri dell'organizzazione.

  Potrebbe essere necessario considerare attendibile la comunicazione tra l'intero sistema di controllo industriale e i sistemi di informazione sulla sicurezza (ICS e SIS). Tuttavia, è spesso possibile segmentare ulteriormente la rete in aree più piccole, semplificando il monitoraggio per la sicurezza e la manutenzione.

• Valutare segnali come la posizione, l'integrità e il comportamento del dispositivo, usando i dati di integrità per controllare l'accesso o contrassegnare per la correzione. Richiedere che i dispositivi siano aggiornati per l'accesso e usare l'analisi per ottenere visibilità e ridimensionare le difese con risposte automatizzate.

• Continuare a monitorare le metriche di sicurezza, ad esempio i dispositivi autorizzati e la baseline del traffico di rete, per garantire che il perimetro di sicurezza mantenga l'integrità e che le modifiche nell'organizzazione si verifichino nel tempo. Ad esempio, potrebbe essere necessario modificare i segmenti e i criteri di accesso man mano che persone, dispositivi e sistemi cambiano.

Zero Trust con Defender per IoT

Distribuire Microsoft Defender per i sensori di rete IoT per rilevare i dispositivi e monitorare il traffico tra le reti OT. Defender per IoT valuta i dispositivi per le vulnerabilità e fornisce passaggi di mitigazione basati sui rischi e monitora continuamente i dispositivi per rilevare comportamenti anomali o non autorizzati.

Quando si distribuiscono sensori di rete OT, usare siti e zone per segmentare la rete.

• I siti riflettono molti dispositivi raggruppati in base a una posizione geografica specifica, ad esempio l'ufficio a un indirizzo specifico.
• Le zone riflettono un segmento logico all'interno di un sito per definire un'area funzionale, ad esempio una linea di produzione specifica.

Assegnare ogni sensore OT a un sito e a una zona specifici per assicurarsi che ogni sensore OT copra un'area specifica della rete. La segmentazione del sensore tra siti e zone consente di monitorare il traffico che passa tra i segmenti e di applicare criteri di sicurezza per ogni zona.

Assicurarsi di assegnare criteri di accesso basati sul sito in modo da poter fornire l'accesso con privilegi minimi ai dati e alle attività di Defender per IoT.

Ad esempio, se l'azienda in crescita ha fabbriche e uffici a Parigi, Lagos, Dubai e Tianjin, è possibile segmentare la rete come segue:

Passaggi successivi

Creare siti e zone durante l'onboarding dei sensori OT nel portale di Azure e assegnare criteri di accesso basati sul sito agli utenti Azure.

Usare le cartelle di lavoro predefinite di Defender per IoT e creare cartelle di lavoro personalizzate per monitorare il perimetro di sicurezza nel tempo.

Per altre informazioni, vedere:

• Creare siti e zone durante l'onboarding di un sensore OT
• Gestire il controllo degli accessi basato sul sito
• Monitorare la rete OT con i principi Zero Trust

Per altre informazioni, vedere:

• Azure ruoli utente e autorizzazioni per Defender per IoT
• Centro di orientamento Zero Trust