OT Patch Management pentru medii izolate: Fluxul complet de lucru pentru aplicarea patch-urilor offline

• Gestionarea patch-urilor în domeniul OT nu este aceeași cu gestionarea patch-urilor în domeniul IT, doar cu un calendar mai extins. Dependențele legate de siguranță , configurațiile certificate ale furnizorilor, ciclurile de viață îndelungate ale activelor și toleranța aproape de zero față de repornirile neplanificate modifică aproape fiecare etapă a procesului.
• Rețelele izolate fizic își pierd acoperirea automată cu patch-uri, dar nu și necesitatea acestora. Dispozitivele finale care nu pot comunica cu serverul central dispar din serviciile de scanare și actualizare bazate pe cloud, cu excepția cazului în care un depozit offline și o gestionare locală restabilesc această vizibilitate în interiorul zonei izolate.
• Gravitatea CVSS nu ar trebui să fie niciodată singurul criteriu care determină prioritatea aplicării patch-urilor OT. Maturitatea exploit-ului , accesibilitatea rețelei, importanța activelor și consecințele asupra securității operaționale trebuie luate în considerare în procesul decizional alături de scor; în caz contrar, două vulnerabilități cu evaluări similare pot primi un răspuns greșit.
• Suporturile amovibile reprezintă un punct de control, nu un simplu avantaj. Fiecare pachet de patch-uri și dispozitivul pe care se află acesta trebuie tratate ca fiind neîncredere până când verificarea sursei, verificarea semnăturii și a hash-urilor, precum și inspecția pentru detectarea programelor malware confirmă că sunt sigure pentru transfer.
• MetaDefender Endpoint™ asigură gestionarea vulnerabilităților și a patch-urilor, protecția suporturilor amovibile și apărarea împotriva amenințărilor BadUSB prin intermediul unui singur agent pentru dispozitive finale, cu vizibilitate centralizată din My OPSWAT™ Central Management, însă guvernanța, testarea și aprobarea furnizorilor rămân în responsabilitatea organizației.

Terminalele care nu au acces la internet sunt excluse din procesul de scanare a vulnerabilităților bazat pe cloud, din depozitele de actualizări și din sincronizarea politicilor, ceea ce înseamnă că dispar și din rapoartele de conformitate, cu excepția cazului în care se restabilește această acoperire la nivel local. Aplicarea manuală a patch-urilor, pe baza unor foi de calcul, poate fi o soluție temporară, dar nu funcționează la scară largă: transferurile informale de fișiere „ USB ” rămân nedocumentate, rezultatele implementării nu sunt înregistrate, iar fiecare audit devine un exercițiu de reconstituire.

Un depozit de patch-uri offline, o gestionare centralizată la fața locului și o cale de transfer controlată reproduc acoperirea oferită de automatizarea în cloud într-un mediu conectat, fără a adăuga o conexiune activă care ar slăbi chiar bariera fizică de izolare.

• Achiziția și validarea inițială au loc în afara mediului de producție, într-o zonă cu acces la internet, pentru a descărca actualizările furnizorilor și a efectua verificări preliminare ale semnăturilor și valorilor hash.
• Depozitul de patch-uri offline gestionează actualizările aprobate ale sistemului de operare și ale aplicațiilor terțe, menținând în cadrul rețelei izolate înregistrări privind controlul versiunilor, urmărirea versiunilor înlocuite și sincronizarea.
• Gestionarea centralizată la nivel local asigură distribuirea politicilor, planificarea implementărilor, colectarea informațiilor privind starea terminalelor și generarea de rapoarte, fără a depinde de servicii cloud, de furnizori externi de identitate sau de licențe de tip „call-home”.
• Aplicarea și implementarea finală a politicilor rămân sub controlul OT local, astfel încât o sursă externă compromisă sau întârziată nu poate niciodată să introducă o modificare direct în mediul de producție.

Un flux de lucru repetabil pentru aplicarea patch-urilor offline se împarte în șase etape, fiecare generând o decizie, un artefact și o înregistrare a aprobării bine definite, astfel încât procesul să poată fi verificat de la început până la sfârșit.

1. Inventariere și identificare. Mențineți un inventar al activelor care să includă versiunile de hardware și software, zona de rețea, funcția de securitate și starea asistenței tehnice, apoi corelați-l cu avizele furnizorilor și cu scanările offline de vulnerabilități pentru a identifica actualizările relevante.

2. Prioritizați riscurile. Evaluați fiecare patch candidat în funcție de posibilitatea de exploatare, gradul de expunere, importanța activului și consecințele asupra siguranței, nu doar pe baza scorului de gravitate, și verificați compatibilitatea cu firmware-ul, sistemul de operare și suportul oferit de furnizor înainte ca acesta să intre în fluxul de lucru.

3. Validați și aprobați pachetul. Verificați autenticitatea sursei, semnăturile digitale și hash-urile criptografice, efectuați o scanare pentru detectarea programelor malware într-un mediu de testare izolat și efectuați teste reprezentative înainte de aprobarea oficială a modificării.

4. Transfer și pregătire. Transferați pachetul aprobat pe un suport de stocare amovibil controlat, verificați-l din nou după transfer și pregătiți-l local înainte de perioada de implementare.

5. Implementați în etape. Lansați patch-ul în timpul unei ferestre de întreținere autorizate, cu ținte definite pentru dispozitivele finale, setări de instalare silențioasă acolo unde este posibil, controale pentru repornire și condiții de oprire.

6. Verificați, reveniți la starea anterioară și raportați. Confirmați starea instalării, starea de funcționare a serviciului și comportamentul funcțiilor de siguranță; declanșați o revenire la starea anterioară testată în cazul în care criteriile de acceptare nu sunt îndeplinite și înregistrați rezultatul, excepțiile și dovezile pentru revizuirea de audit.

O matrice de priorități care pune în balanță probabilitatea unui incident cibernetic și consecințele operaționale oferă echipelor o metodă coerentă de a lua decizii, în loc să trateze în același mod fiecare constatare cu grad ridicat de gravitate.

Atunci când un patch este amânat în loc să fie aplicat, excepția trebuie să aibă un responsabil, o justificare tehnică, o dată de expirare și măsuri de control compensatorii, care să fie revizuite de fiecare dată când se înregistrează modificări în ceea ce privește activitatea de exploatare a vulnerabilităților sau în îndrumările furnizorului. Excepțiile permanente, care nu sunt revizuite, reprezintă prima lacună pe care o identifică auditorii.

Un pachet de patch-uri și suportul amovibil pe care este stocat acesta trebuie considerate, ambele, ca fiind nesigure până când politica de securitate le verifică. Un lanț de custodie bazat pe inspecție prealabilă stabilește proveniența, integritatea și siguranța conținutului înainte ca un fișier să devină accesibil în interiorul rețelei OT.

• Verificarea sursei. Descărcați actualizările numai de pe portalurile furnizorilor sau din canalele de distribuție autentificate și înregistrați sursa, ora descărcării, versiunea pachetului și identitatea persoanei care a efectuat descărcarea.
• Validarea semnăturii și a hash-ului. Verificați semnăturile digitale, valabilitatea certificatelor și hash-urile criptografice publicate de furnizor înainte de transfer. O semnătură validă confirmă autenticitatea; însă, în sine, aceasta nu dovedește că pachetul este sigur pentru un anumit mediu OT.
• Verificarea programelor malware. Se scanează întregul pachet, inclusiv arhivele imbricate, programele de instalare, scripturile și driverele, într-un mediu de testare izolat, cu acțiuni definite de carantină și respingere pentru rezultatele suspecte.
• Protecție împotriva suporturilor amovibile și a atacurilor BadUSB. Se impune autorizarea dispozitivelor și scanarea înainte de acces, astfel încât unitățile infectate și dispozitivele falsificate, inclusiv atacurile BadUSB care se prezintă ca o tastatură, să fie blocate înainte de a putea executa orice acțiune pe un terminal OT.
• Înregistrări privind lanțul de custodie. Se înregistrează identitatea suportului de stocare, persoana responsabilă, valorile hash, rezultatele inspecțiilor, aprobările, ora transferului și destinația, astfel încât fiecare transfer să poată fi reconstituit în cazul unui audit.

Implementarea unui patch validat reprezintă în continuare o modificare operațională, iar o implementare reușită trebuie să asigure menținerea controlului asupra proceselor, a siguranței și a capacității de recuperare, la fel de mult pe cât remediază o vulnerabilitate.

• Creați un mediu de testare reprezentativ. Reproduceți componentele hardware esențiale, versiunile sistemului de operare, aplicațiile și canalele de comunicații, acolo unde este posibil, și documentați diferențele inevitabile dintre mediul de testare și cel de producție.
• Confirmați compatibilitatea înainte de implementare. Verificați instrucțiunile furnizorului de echipamente, certificarea aplicațiilor și dependențele driverelor și solicitați o aprobare suplimentară atunci când un patch nu se încadrează în configurația acceptată de furnizor.
• Organizați implementarea în etape. Începeți cu resurse reprezentative, ale căror consecințe sunt mai reduse, evaluați rezultatul și extindeți treptat, în loc să modificați întregul mediu dintr-o dată, stabilind criterii clare de întrerupere și autoritatea de oprire de urgență.
• Controlați instalarea și repornirile. Utilizați instalarea fără distrageri acolo unde este acceptată și suprimați sau coordonați repornirile în conformitate cu instrucțiunile furnizorului, proiectul de redundanță și aprobarea uzinei.
• Verificați starea de funcționare, apoi finalizați procesul. Verificați pornirea serviciului, logica de control, alarmele și funcțiile de siguranță în raport cu criteriile de acceptare măsurabile și asigurați-vă că aveți pregătit un plan de revenire la starea anterioară, inclusiv copii de rezervă ale configurației și suporturi de recuperare, înainte de începerea implementării.

Sistemele cu durată lungă de viață, care utilizează versiuni vechi de sisteme de operare și aplicații specializate de inginerie, nu sunt adesea acoperite de instrumentele standard de aplicare a patch-urilor din domeniul IT; prin urmare, acestea necesită o abordare separată, în loc să fie excluse complet din program.

• Pentru terminalele cu sisteme de operare mai vechi este necesar un inventar detaliat al ediției, arhitecturii și configurației de referință aprobate de furnizor înainte de selectarea oricărei actualizări, procesul trebuind să includă suport pentru pachete offline și capacitatea de revenire la starea anterioară.
• Aplicațiile terțe, precum browserele, mediile de execuție și instrumentele de acces la distanță, nu sunt adesea incluse în canalele native de actualizare ale sistemului de operare și necesită propriile mecanisme de detectare a versiunii, de rezolvare a dependențelor și suport pentru instalarea offline.
• Sistemele care nu pot fi actualizate au totuși nevoie de documentație: motivul pentru care actualizarea nu este disponibilă sau este nesigură, un responsabil, o dată de revizuire și un plan de înlocuire sau migrare.
• Măsurile compensatorii, precum segmentarea rețelei, listele de aplicații autorizate și restricțiile privind suporturile amovibile, reduc expunerea activelor care nu pot fi actualizate, dar nu elimină vulnerabilitatea de bază și necesită o revizuire periodică pe măsură ce condițiile de amenințare se schimbă.

Colectarea centralizată a dovezilor transformă raportarea conformității într-un rezultat de rutină al fluxului de lucru privind aplicarea patch-urilor, în loc să fie un exercițiu de reconstituire manuală de fiecare dată când este programat un audit.

• Înregistrări care trebuie păstrate: sfera de aplicare a activelor , starea vulnerabilităților, aprobările, hash-urile fișierelor, rezultatele semnăturilor, concluziile inspecțiilor, activitatea suporturilor de stocare, rezultatele implementării, excepțiile și evenimentele de revenire la starea anterioară, toate însoțite de marcaje temporale identificabile.
• Indicatori de acoperire: monitorizați acoperirea inventarului, rata de implementare a patch-urilor, remediările restante și excepțiile, segmentate pe locație și gradul de importanță al activelor, astfel încât procentajele agregate să nu ascundă lacunele cu consecințe grave.
• Indicatori de reducere a riscurilor: corelați valorile referitoare la timpul necesar pentru aplicarea patch-urilor și la fereastra de expunere cu rata de revenire la versiunea anterioară și cu timpii de nefuncționare neplanificați, astfel încât aplicarea mai rapidă a patch-urilor să nu fie niciodată considerată un succes atunci când provoacă instabilitate.
• Alinierea la cadru: corelarea inventarului, a evaluării riscurilor, a controlului modificărilor și a practicilor de monitorizare cu obiectivele relevante din standardul IEC 62443 și din NIST SP 800-82, revizia 3, ghidul actual privind securitatea tehnologiilor operaționale (OT). Alinierea la cadru constituie un sprijin pentru desfășurarea unui audit; aceasta nu înlocuiește certificarea și nu garantează, în sine, conformitatea.

Cerințele independente de furnizor ar trebui să stea la baza evaluării înainte ca vreun produs specific să fie luat în discuție: funcționare offline efectivă, gestionare centralizată la sediu, acoperire extinsă a terminalelor și aplicațiilor, protecția suporturilor periferice și raportare centralizată care generează dovezi gata de audit, fără a depinde de cloud.

• Funcționalitate offline, dovedită, nu presupusă. Solicitați o demonstrație într-un mediu izolat fizic, în loc să acceptați pur și simplu că un produs conectat la internet va funcționa la fel și în modul offline.
• Endpoint și acoperirea aplicațiilor. Verificați compatibilitatea efectivă cu sistemele Windows, macOS, Linux și cele mai vechi instalate în cadrul organizației, inclusiv formatele de pachete offline și vizibilitatea operațiunilor de revenire la versiunea anterioară.
• Protecția dispozitivelor periferice. Asigurați-vă că platforma autorizează dispozitivele, efectuează scanări înainte de accesarea fișierelor și oferă protecție împotriva amenințării BadUSB, în loc să lase gestionarea transferului în seama unui instrument separat și deconectat.
• Raportare și guvernanță centralizate. Testați accesul bazat pe roluri, starea implementării, fluxurile de lucru pentru excepții și exportul de dovezi în funcție de scenarii care includ suporturi respinse și instalări eșuate, nu doar execuții reușite.

MetaDefender Endpoint™ este soluția avansată de protecție a terminalelor oferită de OPSWAT, menită să protejeze terminalele împotriva amenințărilor provenite de pe suporturi periferice, să monitorizeze conformitatea dispozitivelor, să detecteze vulnerabilitățile și să permită aplicarea patch-urilor atât în medii conectate la internet, cât și în medii izolate (air-gapped). Aceasta detectează vulnerabilități în peste 980 de aplicații și sisteme de operare și permite aplicarea automată a patch-urilor pentru peste 580 de aplicații terțe și actualizări ale sistemelor de operare, printr-un proces de aplicare a patch-urilor care nu distrage atenția și evită întreruperea afișajului operatorului în timpul unei ferestre de întreținere.

Protecția pentru suporturile amovibile se bazează pe tehnologiile Metascan™ Multiscanning și Deep CDR™: MetaDefender Endpoint detectează automat și blochează accesul la unitățile USB până când fiecare fișier este scanat și se confirmă că este curat, și oferă protecție împotriva atacurilor de tip BadUSB, „rubber ducky” și a altor atacuri de falsificare a dispozitivelor, fără a fi necesară executarea prealabilă a fișierului pe terminal.

Vizibilitatea centralizată este asigurată de soluția OPSWAT™ „ My ” Central Management, disponibilă atât în mediul local, cât și în cloud, care distribuie politici, colectează informații privind starea implementării și generează rapoarte la nivelul tuturor locațiilor, fără a depinde de accesul la internet, astfel încât echipa de securitate să poată derula același flux de lucru offline în mai multe locații OT izolate, dintr-un singur loc.