Критична инфраструктура
Тестване, съобразено с критична инфраструктура.
Операторите на съществени услуги са изправени и пред строги задължения, и пред решителни противници. Помагаме ви да разберете действителната изложеност и да докажете мерките си за управление на риска по NIS2 — внимателно и безопасно.
Защо има значение
Къде пробивът се превръща в авария
В критичната инфраструктура инцидентът може да засегне не само данни, а и работата на физически системи. Компрометиране на системите за производство, електроразпределение, транспорт или водоснабдяване може да доведе до спиране на дейността, забавени доставки и риск за безопасността. Проникването често започва в корпоративната мрежа чрез имейл, откраднати данни за достъп или услуга, достъпна от интернет, и след това достига оперативните системи.
Различни противници търсят достъп до тези среди: групи, свързани с държави, могат да подготвят бъдещи действия, а операторите на ransomware използват натиска от прекъсването на дейността. Общи слабости са споделените идентичности между IT и OT, ненужният отдалечен достъп и сегментацията, която не е ефективна на практика. Ръководството се нуждае от доказателства кои пътища за атака са реално използваеми, събрани при мерки за защита на непрекъснатостта на работата.
Картина на заплахите
Как нападателите достигат до производството
Споделена идентичност, свързваща IT и OT
Когато инженерните работни станции, системите за съхранение на исторически производствени данни или междинните сървъри се доверяват на корпоративния Active Directory, компрометирането на администратор на домейна може да означава достигане до производството. Проследяваме пътищата на идентификационните данни, членствата в групи и кешираните входове, които превръщат офисен пробив в достъп до контролната мрежа.
Разрастване на достъпа на доставчици и отдалечения достъп
Интеграторите, производителите на оборудване и фирмите за поддръжка често разполагат с постоянни VPN акаунти, инструменти за отдалечена поддръжка или мобилни модеми, инсталирани преди години. Тези пътища често заобикалят централното наблюдение и многофакторното удостоверяване, давайки на нападател, който компрометира доставчик, доверен маршрут към оперативните мрежи.
Сегментация, която съществува само на хартия
Правилата на защитните стени между корпоративната зона, демилитаризираната зона и контролните зони се износват с времето заради временни изключения, хостове с по две мрежови връзки и прекалено широки разрешения за събиране на данни. Ransomware, достигнал една зона, след това може да се разпространи към системи, които всички са смятали за изолирани.
Остарели системи, които не могат да бъдат обновявани
Контролните системи често работят с операционни системи без поддръжка и промишлени протоколи без удостоверяване, защото замяната означава престой или повторна сертификация. Практическият въпрос не е дали са уязвими, а дали нападател може да ги достигне и дали компенсиращите контроли биха засекли опита.
Как тестваме
Тестване, което зачита операциите
Определяне на обхвата с участието на инженерите
Договаряме обхвата както с екипите по сигурността, така и с оперативните екипи, като документираме кои системи са в границите, кои са само за наблюдение и кои са недопустими. Системите с инструментална безопасност и работещите контролери се изключват от активно тестване, освен ако изрично не е договорено писмено.
Пасивно откриване в OT на първо място
В оперативните зони започваме с пасивни техники: преглед на архитектурата и конфигурациите на защитните стени и анализ на прихванат трафик от огледални портове. Това картографира активите, протоколите и комуникациите, без да се изпраща трафик към чувствителни устройства.
Валидиране на сегментацията откъм IT
Тестваме границата така, както нападател би подходил към нея: от корпоративни хостове и идентичности, които сме компрометирали, с опити да достигнем демилитаризираната зона на OT, междинните сървъри и инженерните работни станции. Доказването, че път съществува, рядко изисква докосване на контролер.
Координиране на всяка активна работа
При договорено активно тестване в близост до оперативни системи работим в период за поддръжка или с тестово и резервно оборудване. Оперативният екип е на разположение, има определено лице с право да спре теста и предварително договорен план за възстановяване на предишното състояние.
Регулация
Регулаторен контекст
Задълженията се различават според сектора, размера и държавата членка; ето как основните рамки обикновено оформят тестването на сигурността, като компетентният орган определя конкретиката.
На какво се съсредоточаваме
- Корпоративни и съседни на OT мрежи
- Отдалечен достъп и идентичност
- Active Directory и сегментация
- Готовност срещу ransomware
Директива NIS2 (съществени и важни субекти)
Енергетиката, транспортът, водите и определени производители попадат в обхвата. NIS2 изисква мерки за управление на риска, включително политики за оценка на тяхната ефективност, а независимото тестване е един практичен начин това да бъде доказано. Надзорът е по-строг при съществените субекти; националното транспониране и компетентните органи определят конкретиката.
Директива за устойчивостта на критичните субекти (CER)
CER обхваща общата устойчивост на критичните субекти, определени от държавите членки, включително физическия риск и подхода „всички опасности“, успоредно с NIS2. Тестване, което съчетава мрежови пътища за атака със социално инженерство и договорени опити за физически достъп, може да захрани оценките на риска и мерките за устойчивост, които тя очаква.
IEC 62443
Серията за сигурност на промишлената автоматизация определя зони, канали и целеви нива на сигурност. Тестването може да провери дали внедрените зони и канали съответстват на проекта и дали компонентите и отдалеченият достъп отговарят на нивата на сигурност, определени за всяка зона.
ISO/IEC 27001
Много оператори сертифицират корпоративната си среда по ISO 27001. Неговите контроли за управление на техническите уязвимости и за мрежова сигурност обикновено се подкрепят с периодично тестване за проникване, като констатациите захранват плана за третиране на риска и доказателствата за сертификационните одити.
Мрежов кодекс за киберсигурност (електроенергетика)
За електроенергийните субекти с трансгранично въздействие Делегиран регламент (ЕС) 2024/1366 добавя секторни изисквания за оценка на киберриска и контроли. Тестването може да осигури доказателства за тези оценки; приложимостта зависи от класификацията на всеки субект и от съответния орган.
От нашата работа
Анонимизирани примери от практиката в този сектор
-
Производство (IT и OT)
От мрежов достъп до компрометиране на Active Directory
2 критични — многослоен план за укрепване на защитата
Прочетете казуса -
Производство
Добре защитен периметър — и атака в ход
2 критични проблема и данни за активна атака
Прочетете казуса -
Транспорт и логистика
Добре защитен периметър — и доказателствата за това
Няма доказани критични или високи уязвимости в проверения обхват
Прочетете казуса
Кога ви е нужно
Типични ангажименти
Ангажиментите се оформят около въпросите, които операторите, бордовете и надзорните органи действително задават.
Оценка на пътя за атака от IT към OT
С начало от стандартен корпоративен потребител или работна станция, станала жертва на фишинг, определяме дали нападател би могъл да достигне оперативните мрежи, кои идентичности и хостове правят това възможно и кои целеви промени биха затворили пътя.
Преглед на отдалечения достъп и връзките с трети страни
Изброяваме и тестваме маршрутите към оперативната среда, включително VPN на доставчици, инструменти за отдалечена поддръжка, междинни сървъри и мобилни шлюзове, като проверяваме силата на удостоверяването, контрола на сесиите, журналите и дали достъпът е ограничен във времето.
Готовност срещу ransomware за оперативните обекти
Контролирана симулация на поведението на оператор на ransomware срещу корпоративната среда, която измерва докъде би могъл да се разпространи към производството, дали екипите по откриване и реакция го забелязват и как биха издържали плановете за възстановяване на системите на обекта.
Доказателства по NIS2 и упражнения, водени от заплахи
За съществени и важни субекти, подготвящи се за надзор, съчетаваме тестване за проникване с red teaming по сценарии, изведени от относима разузнавателна информация, и произвеждаме констатации и проследяване на отстраняването, съотнесени към мерките за управление на риска.
Често задавани въпроси
Често задавани въпроси
Ще наруши ли тестването нашите операции?
Избягването на смущения е първото проектно ограничение на всеки ангажимент в този сектор. Тестваме предимно откъм IT страната, използваме пасивни техники в оперативните зони и не експлоатираме активно работещи контролни системи, освен ако това не е изрично договорено писмено. Всяка активна работа в близост до операциите се планира с вашия инженерен екип, с поименно лице, което може да спре тестването по всяко време.
Тествате ли PLC и други контролни устройства директно?
Само когато това е изрично договорено и за предпочитане срещу тестово, резервно или оборудване в режим на готовност, а не срещу продукционно. В повечето ангажименти по-ценната констатация е дали нападател изобщо би могъл да достигне тези устройства, което може да бъде установено без взаимодействие с тях.
Нужен ли ви е достъп до нашата OT мрежа?
Не непременно. Много ангажименти започват изцяло от корпоративната мрежа и пътищата за отдалечен достъп, защото именно там започват повечето прониквания. Когато е нужна видимост към OT, можем да работим с архитектурни документи, конфигурации на защитни стени и пасивно прихванат трафик, предоставени от вашия екип.
Можете ли да тествате отдалечения достъп на нашите доставчици?
Да, в границите на това, което имате право да разрешите. Тестваме връзките, акаунтите и контролите от вашата страна на границата. Когато са засегнати собствените системи на доставчик, обхватът и разрешението се договарят с него предварително.
Регулаторната информация на тази страница правен съвет ли е?
Не. Това е обща насока за това как рамки като NIS2, CER и IEC 62443 обикновено се отнасят към тестването на сигурността. Дали и как се прилагат за вас зависи от вашия сектор, размер и националното транспониране, а компетентният орган определя конкретиката, затова вашите правни съветници или съветници по съответствие следва да потвърдят задълженията ви.
Какво получаваме накрая?
Доклад, написан за две аудитории: резюме за ръководството, описващо оперативния риск и приоритетите на разбираем език, и технически констатации с доказателства, пътища за атака и стъпки за отстраняване, по които вашите IT и OT инженери могат да действат. Преглеждаме резултатите и с двете аудитории и можем да тестваме повторно, след като корекциите са налице.
Относими услуги
Регулаторните бележки на тази страница са обща насока, а не правен съвет. Вашият компетентен орган, одитор или оценител определя какво се отнася за вас.
Определете обхвата на ангажимент за критична инфраструктура.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност