Soluções de segurança cibernética industrial para fabricantes

Proteção por zonas em camadas, SL1 a SL4 (Níveis de segurança da norma IEC 62443)

As diferentes zonas de uma fábrica exigem níveis de segurança distintos. Por exemplo, a zona onde estão as impressoras do escritório e a zona onde se encontram as válvulas das turbinas enfrentam ameaças diferentes, e a norma IEC 62443 existe para proteger cada uma delas de forma proporcional, sem aplicar medidas de segurança excessivas ou insuficientes em nenhuma zona.

• SL1 – O primeiro nível protege contra erros humanos e malware de baixo impacto, como um funcionário conectando um pen drive infectado. O Bacula criptografa o tráfego entre seus cinco componentes por padrão, utilizando TLS com troca automática de chaves, para que qualquer pessoa que invada a rede da fábrica encontre dados codificados em vez de backups legíveis.
• SL2 — O segundo nível foi criado para proteger um sistema OT contra cibercriminosos oportunistas que utilizam ferramentas de domínio público. Nesse nível, as permissões dos operadores são restritas por ação, o que impede que alguém com permissão para executar um backup apague um backup ou altere o Catálogo, e os dados são criptografados por cliente com AES-128, 192 ou 256 e novamente quando em repouso no destino de armazenamento.
• SL3 — O terceiro nível foi projetado para combater cibercriminosos organizados que possuem conhecimento técnico industrial. Aqui, a autenticação multifatorial é realizada por meio de um plug-in TOTP compatível com a RFC 6238 e requer um autenticador de celular para acesso ao console, enquanto mídias isoladas fisicamente mantêm a última cópia fisicamente desconectada.
• SL4 — O quarto nível, ou nível de segurança de grau militar, é utilizado para proteger infraestruturas críticas contra adversários de nível estatal. O Bacula executa criptografia validada pela FIPS 140-3 por meio de seu módulo OpenSSL-FIPS, substitui o CRAM-MD5 pelo SCRAM-SHA-256 para autenticação de daemons, grava logs de auditoria à prova de adulteração com cadeia de custódia para cada evento e oferece suporte a backups compartimentados em zonas classificadas por meio de seu perfil de Defesa e Militar.

Isolamento do Repositório de Backup

• Prevenção da escalada de ataques – O Daemon de Arquivos é executado no host do chão de fábrica que um invasor atinge primeiro e não possui nenhuma interface com o repositório de armazenamento de backup, o que significa que o controle total de uma IHM ou de uma estação de trabalho de engenharia não concede acesso aos backups.
• Arquitetura de conexão reversa – O Daemon de Armazenamento inicia a conexão com o Daemon de Arquivos, e nunca o contrário; portanto, um host do chão de fábrica comprometido não tem como abrir um caminho até o cofre. Ele só pode responder a uma conexão que não tenha iniciado.
• Formato de volume independente de máquina – O Bacula grava um formato de volume documentado e compatível com versões posteriores, de modo que volumes mais antigos sempre possam ser lidos, o que é importante em uma fábrica onde uma prensa ou um PLC permanece em serviço por trinta anos e os dados precisam sobreviver à implantação de backup que os gravou.
• Módulo de Segurança do Windows – Um módulo de segurança desenvolvido para dados e aplicativos do Windows protege as IHMs e as estações de trabalho de engenharia, que são os primeiros alvos atingidos por famílias de ransomware direcionadas ao Windows, enquanto o próprio mecanismo do Bacula é executado em um sistema Linux reforçado, fora desse raio de ação.
• Escopo das Chaves de Criptografia por Meio de Armazenamento – As chaves de criptografia são restritas a destinos de armazenamento individuais; assim, uma chave recuperada de um repositório não desbloqueia nada armazenado em qualquer outro local.
• Criptografia granular para armazenamento não confiável – Os dados enviados para o armazenamento de objetos na nuvem ou qualquer destino compartilhado são criptografados antes de saírem do cliente, com a criptografia global do Storage Daemon disponível adicionalmente para volumes em disco, fita e nuvem.

Detecção de ameaças pré-detonação

• Detecção de invasão do tipo “Tripwire” – As tarefas de verificação comparam os sistemas de arquivos em tempo real com o estado catalogado, utilizando assinaturas SHA256 e SHA512, e detectam binários substituídos, configurações de controladores alteradas, bem como scripts injetados em todos os hosts monitorados.
• Análise fora do host – O catálogo que contém esse estado conhecido como válido fica em um sistema seguro, separado dos clientes protegidos; um cibercriminoso que tenha acesso a uma estação de trabalho da fábrica não pode editar a linha de base contra a qual as medições são feitas, e qualquer tentativa de desativar um daemon de arquivos é registrada como um evento.
• Detecção de adulteração de dados – O BGuardian analisa estatisticamente o tamanho da tarefa, o número de arquivos e a duração, e relata desvios, o que permite detectar um backup completo que, de repente, não protege mais nenhum dado, bem como ataques de criptografia realizados em ritmo lento o suficiente para permanecer abaixo de um limite por host.
• Proteção automática contra malware – Verificações de hash em relação ao banco de dados abuse.ch são executadas durante o backup, a restauração e a verificação, e o plug-in antivírus ClamAV realiza varreduras no destino de armazenamento, onde um vírus proveniente de uma fonte infectada não pode ser executado nem escapar à detecção.
• Verificações silenciosas de corrupção de dados – As tarefas de verificação confirmam a integridade dos dados gravados sem a necessidade de um ciclo de restauração ou descriptografia, identificando pontos de recuperação defeituosos antes que um incidente obrigue o fabricante a utilizá-los.
• Alertas personalizados e métricas de segurança – O BGuardian gera resultados de detecção como alertas JSON configuráveis que são encaminhados automaticamente para qualquer plataforma SIEM, SOAR ou de monitoramento já presente na pilha.

Cobertura distribuída e heterogênea da fábrica

Cada gateway de borda, sensor IIoT e linha remota adicionados a uma fábrica inteligente representam um novo ponto de entrada, e qualquer elemento que a plataforma de backup não consiga alcançar torna-se uma lacuna no plano de recuperação.

• Cliente atrás de NAT e backup iniciado pelo cliente – Os dispositivos de borda e locais remotos iniciam seus próprios backups de saída. Nenhuma regra de firewall de entrada é aberta para o segmento OT, e os dados são capturados sem criar um novo ponto de entrada.
• Cobertura em sistemas legados e modernos – Um Director protege controladores proprietários Unix e Linux com quarenta anos de idade, juntamente com dispositivos IIoT conectados à nuvem, VMware, Hyper-V, Proxmox, Nutanix, Kubernetes e os bancos de dados nos quais os sistemas MES e de histórico são executados, cobrindo todos os níveis de Purdue, de L0 a L5, sem deixar nenhuma lacuna.
• Integração orientada por API sem necessidade de reconstrução – APIs abertas e configuração por daemon permitem que o Bacula se integre à infraestrutura existente de MES e da fábrica sem alterações no ambiente de produção, a fim de melhorar a postura de segurança sem a necessidade de desligar nenhuma linha para implementá-la.
• Licenciamento não baseado em capacidade – Ao contrário dos concorrentes, que cobram por terabyte, o Bacula vincula sua taxa de licença ao tamanho do ambiente, e não ao volume de dados, para manter os custos estáveis à medida que os dados de telemetria e do sistema de histórico crescem. A deduplicação global de endpoints mantém baixos os custos de armazenamento e largura de banda dessa telemetria, independentemente do volume.

• Controle de acesso baseado em funções e consoles restritos – Os operadores diários podem executar tarefas de backup, mas não podem excluir volumes nem cancelar tarefas, pois esses comandos destrutivos estão sujeitos a privilégios rigorosos de administrador. Os consoles restritos impõem essa restrição no nível do comando, limitando cada conta a um conjunto definido de caminhos e operações.
• Autorização por várias pessoas – Operações destrutivas, como a exclusão de volumes ou a substituição de políticas de retenção, exigem a aprovação de dois gerentes autorizados distintos antes da execução, a fim de impedir que uma única conta comprometida ou um funcionário insatisfeito apague o repositório de backup.
• Integração com LDAP e Active Directory – O Bacula integra-se ao Active Directory e ao LDAP, ao mesmo tempo em que aplica uma filtragem rigorosa por grupos, para garantir que uma violação do diretório corporativo geral não conceda acesso ao mecanismo de gerenciamento de backup.