Confiança Zero e as suas redes OT

Confiança Zero é uma estratégia de segurança para conceber e implementar os seguintes conjuntos de princípios de segurança:

Implemente Confiança Zero princípios nas suas redes de tecnologia operacional (OT) para o ajudar com desafios, tais como:

• Controlar as ligações remotas nos seus sistemas OT, proteger as mensagens de salto de rede e impedir o movimento lateral na rede

• Rever e reduzir interligações entre sistemas dependentes, simplificando os processos de identidade, como para contratantes que iniciam sessão na sua rede

• Localizar pontos únicos de falha na sua rede, identificar problemas em segmentos de rede específicos e reduzir atrasos e estrangulamentos de largura de banda

Riscos e desafios exclusivos para redes OT

Muitas vezes, as arquiteturas de rede OT diferem da infraestrutura de TI tradicional. Os sistemas OT utilizam tecnologia exclusiva com protocolos proprietários e podem ter plataformas de envelhecimento e conectividade e energia limitadas. As redes OT também podem ter requisitos de segurança específicos e exposições exclusivas a ataques físicos ou locais, tais como através de contratantes externos que iniciam sessão na sua rede.

Uma vez que os sistemas OT suportam frequentemente infraestruturas de rede críticas, são muitas vezes concebidos para priorizar a segurança física ou a disponibilidade através do acesso seguro e da monitorização. Por exemplo, as suas redes OT podem funcionar separadamente de outro tráfego de rede empresarial para evitar períodos de indisponibilidade para manutenção regular ou para mitigar problemas de segurança específicos.

À medida que mais redes OT migram para ambientes baseados na cloud, a aplicação de princípios de Confiança Zero pode apresentar desafios específicos. Por exemplo:

• Os sistemas OT podem não ser concebidos para vários utilizadores e políticas de acesso baseado em funções e podem ter apenas processos de autenticação simples.
• Os sistemas OT podem não ter a capacidade de processamento disponível para aplicar totalmente políticas de acesso seguro e, em vez disso, confiar em todo o tráfego recebido como seguro.
• A tecnologia de envelhecimento apresenta desafios na retenção de conhecimentos organizacionais, na aplicação de atualizações e na utilização de ferramentas de análise de segurança padrão para obter visibilidade e impulsionar a deteção de ameaças.

No entanto, um compromisso de segurança nos sistemas críticos da sua missão pode levar a consequências do mundo real para além dos incidentes tradicionais de TI e a não conformidade pode afetar a capacidade da sua organização de cumprir os regulamentos governamentais e do setor.

Aplicar princípios de Confiança Zero a redes OT

Continue a aplicar os mesmos princípios de Confiança Zero nas suas redes OT como faria nas redes de TI tradicionais, mas com algumas modificações logísticas conforme necessário. Por exemplo:

• Certifique-se de que todas as ligações entre redes e dispositivos são identificadas e geridas, impedindo interdependências desconhecidas entre sistemas e contendo qualquer período de indisponibilidade inesperado durante os procedimentos de manutenção.

  Uma vez que alguns sistemas OT podem não suportar todas as práticas de segurança de que precisa, recomendamos que limite as ligações entre redes e dispositivos a um número limitado de anfitriões jump. Em seguida, os anfitriões jump podem ser utilizados para iniciar sessões remotas com outros dispositivos.

  Certifique-se de que os anfitriões de salto têm medidas de segurança e práticas de autenticação mais fortes, como a autenticação multifator e os sistemas de gestão de acesso privilegiado.

• Segmente a rede para limitar o acesso aos dados, garantindo que todas as comunicações entre dispositivos e segmentos são encriptadas e protegidas e impedem a movimentação lateral entre sistemas. Por exemplo, certifique-se de que todos os dispositivos que acedem à rede estão pré-autorizados e protegidos de acordo com as políticas da sua organização.

  Poderá ter de confiar na comunicação em todos os sistemas de informações de segurança e controlo industrial (ICS e SIS). No entanto, muitas vezes, pode segmentar ainda mais a sua rede em áreas mais pequenas, facilitando a monitorização de segurança e manutenção.

• Avalie sinais como a localização, o estado de funcionamento e o comportamento do dispositivo, utilizando dados de estado de funcionamento para controlar o acesso ou sinalizar para remediação. Exigir que os dispositivos tenham de estar atualizados para acesso e utilizar a análise para obter visibilidade e dimensionar defesas com respostas automatizadas.

• Continue a monitorizar as métricas de segurança, como dispositivos autorizados e a linha de base de tráfego de rede, para garantir que o perímetro de segurança mantém a integridade e as alterações na sua organização ocorrem ao longo do tempo. Por exemplo, poderá ter de modificar os segmentos e as políticas de acesso à medida que as pessoas, os dispositivos e os sistemas mudam.

Confiança Zero com o Defender para IoT

Implemente Microsoft Defender para sensores de rede IoT para detetar dispositivos e monitorizar o tráfego nas suas redes OT. O Defender para IoT avalia as vulnerabilidades dos seus dispositivos e fornece passos de mitigação baseados no risco e monitoriza continuamente os seus dispositivos quanto a comportamentos anómalos ou não autorizados.

Ao implementar sensores de rede OT, utilize sites e zonas para segmentar a sua rede.

• Os sites refletem muitos dispositivos agrupados por uma localização geográfica específica, como o escritório num endereço específico.
• As zonas refletem um segmento lógico dentro de um site para definir uma área funcional, como uma linha de produção específica.

Atribua cada sensor de OT a um site e zona específicos para garantir que cada sensor de OT abrange uma área específica da rede. Segmentar o sensor entre sites e zonas ajuda-o a monitorizar qualquer tráfego que passe entre segmentos e a impor políticas de segurança para cada zona.

Certifique-se de que atribui políticas de acesso baseadas no site para que possa fornecer acesso com menos privilégios aos dados e atividades do Defender para IoT.

Por exemplo, se a sua empresa em crescimento tiver fábricas e escritórios em Paris, Lagos, Dubai e Tianjin, poderá segmentar a sua rede da seguinte forma:

Próximas etapas

Crie sites e zonas à medida que integra sensores de OT no portal do Azure e atribua políticas de acesso baseadas no site aos utilizadores Azure.

Utilize livros incorporados do Defender para IoT e crie livros personalizados para monitorizar o perímetro de segurança ao longo do tempo.

Para saber mais, confira:

• Criar sites e zonas ao integrar um sensor OT
• Gerir o controlo de acesso baseado no site
• Monitorizar a rede OT com princípios de Confiança Zero

Para saber mais, confira:

• Azure funções de utilizador e permissões para o Defender para IoT
• Centro de Orientação da Confiança Zero