Sådan designer du et sikkert OT-netværk

It-sikkerhed i produktions- og industrielle miljøer har i lang tid været et nedprioriteret område i danske virksomheder, og det har hackerne opdaget. God it-sikkerhed og minimal nedetid er essentielle ingredienser for enhver produktionsvirksomhed – og derfor forlanger langt de fleste ledelser og bestyrelser nu, at der også er styr på it-sikkerheden i produktionen.

Og det er her at design kommer ind i billedet. Vi oplever desværre ofte at der er OT-netværk, der ikke er bygget ud fra de principper, der anses som de bedste, så her kommer en guide til, hvordan du kan designe dit OT-netværk:

Der var engang, hvor beskyttelse af de kritiske processer i en produktions- eller forsyningsvirksomhed ikke var vigtigt. Da enhederne blev installeret, havde de ikke netværksforbindelse; der var kun seriel kommunikation. Modernisering med styring og monitorering over IP-netværk er kommet til senere, og sikkerhed har ikke altid været it-driftsafdelingens fokus.

En anden årsag er, at der hele tiden skal flere data på tværs af systemer. F.eks. vil man kunne styre mere og mere centralt. Produktionsdata, print og backups kopieres ind på de administrative netværk og autentifikation lægges sammen med det eksisterende domæne i kontornettet, så hver brugere kan nøjes med ét login.

Uanset årsagen bliver sikkerheden udhulet – hvis den altså ikke var tænkt rigtigt ind fra starten.

En af metoderne til at sikre sig en god adskillelse af de administrative og de tekniske systemer er at designe ud fra Purdue-modellen. Det er den, vi tager udgangspunkt i, når et produktionsnetværk skal inspiceres, designes, udbygges eller gentænkes.

I Purdue-modellen hører hvert system til i en zone:

• Proceskontrolzonen indeholder de enheder, der rent faktisk udfører operationer i produktionen, PLC’er, RTU’er, SCADA-servere, dataopsamling samt de maskiner i kontrolcentret, teknikerne benytter til styring og programmering.
   
• Operationszonen indeholder ovenstående enheder plus testsystemer, simuleringer og analyseværktøjer.
   
• Dmz-zonen indeholder f.eks. patch-management og anti-virus for OT-systemerne, jump hosts og autentifikationsservere (f.eks. et separat Microsoft Active Directory).
   
• Forretningszonen er alt det, der ikke har med produktion at gøre: Mail, filservere, print, økonomi osv. Det er også kun herfra, der er forbindelse til internettet.

Hvis systemerne bygges rigtigt kan der kun oprettes forbindelser fra proceskontrol til operation, fra operation til dmz og fra dmz til forretning – og ikke den anden vej. Desuden så er nedlukkede firewalls, der er bygget til at se på protokollerne i produktionsnetværk, et must.

Vi har på OT-feltet gode erfaringer med både produktioner og forsyning, og så er vi certificeret hos SANS/GIAC i Global Industrial Cyber Security Professional (GICSP) og i GIAC Critical Infrastructure Protection (GCIP). Du er velkommen til at tage fat i mig eller en af mine kolleger, hvis du står overfor at skulle lave om på eller udvide jeres netværk eller hvis du ønsker en vurdering af, hvordan jeres nuværende sikkerhed er.