.png)
Jag ger dig en snygg lösning på utmaningarna kring Industri 4.0 när vi tittar på NAMUR NOA, jag prövar sprillans nya ruggade nätverksgrejor från Keysight som jag kopplar upp tillsammans med andra spännande prylar i mitt labb, bland annat en Nozomi Networks Guardian och en OT-diod från Advenica. En titt på EUs nya krav på CE-märkning av OT-säkerhet från det nya maskindirektivet blir det också och så gnäller jag över alldeles för mycket segmentering. Åsså en massa annat förstås!
Om det är första gången du läser ett av mina nyhetsbrev kanske du undrar vad det där "OT" är som jag pratar om? OT står för Operational Technology vilket är ett syskon till IT, Information Technology. Med IT använder man teknik för att hantera information. Inom OT använder man liknande teknik men för "Operations", alltså att få fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT är fokus ofta på att skydda hemligheter men inom OT blir det oftast viktigast att hålla en funktion tillgänglig och korrekt. Det innebär att säkerhetsarbetet kommer se väldigt annorlunda ut, vilket är anledningen till mina texter. Jag skrev nyligen ett inlägg på Atea-bloggen som förklarar mer.
Jag vill ge er ett stort tack för alla trevliga mejl jag får med frågor, förslag och uppmuntrande ord. Som vanligt vill jag gärna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som läser, desto bättre möjligheter får jag att producera bra innehåll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsättningen är det bara att dra ett mejl till mig på mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte används till något annat än detta!
Du hittar alla tidigare utgåvor av nyhetsbrevet på www.ot-säkerhet.se. När det kommer nytt material så annonserar jag det på en massa ställen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen Säkerhetsbubblan, på Twitter och på en egen Facebook-sida. Du kan också prenumerera via RSS på www.ot-säkerhet.se. Framöver kommer också vissa artiklar från nyhetsbreven publiceras på Ateas officiella blogg tillsammans med en del annat som jag skriver där.
Ge mig gärna mothugg, frågor eller förslag på LinkedIn där den här utgåvan delades. Tänk på att du kan hjälpa mig, mer än du kanske tror, genom att trycka "like" på artikeln och genom att dela den vidare. Tack för hjälpen!
Segmentering är kass!
Alla som arbetar inom någon form av OT-säkerhet är van vid att segmentering är en av de viktigaste säkerhetsåtgärderna. Oavsett om det är klassiska Purdue-tankar från ISA 95, "zones and conduits" enligt 62443, ACL:er, SDN-nät eller mikrosegmentering så använder vi segmentering för att skära upp helheten. Vi skapar de där lagren som i en lök så enbart de prylar som behöver kommunicera med varandra kan göra det. Efter att ha sett ett antal segmenterings-projekt så inser jag också att segmentering är den enkla delen. Det svåra är att få till bra integration, det vill säga en säker kommunikation mellan de olika segmenten. Beroende på var i vår segmenteringsmodell vi tittar så är det dessutom olika protokoll och kommunikationsmetoder så vi använder olika former av gateways och tjänster för att översätta så att olika språk kan användas i olika situationer.
I de flesta av mina uppdrag agerar jag rådgivare åt olika grupper av personer i olika typer av organisationer. Jag har regelbundna träffar med IT-säkerhetschefer, automationsfolk, IT-chefer, lösningsarkitekter, R&D-folk, produktionschefer och informationssäkerhetschefer från alla möjliga typer av organisationer, allt från kärnkraftverk, via sjukvård och fastighetsförvaltning till skogsindustri och högteknologisk tillverkande industri. Jag reflekterar ofta över att alla dessa människor och deras organisationer har så många gemensamma utmaningar trots att förutsättningarna på ytan är så olika. Det finns mycket att lära av varandra mellan helt olika branscher!
Den absolut vanligast problematiken i alla dessa organisationer har med segmenterad kommunikation att göra. Fast då inte den sorten som går på nätverk, utan den som är mellan människor. Lite som i våra nätverk har man oavsiktligt skapat segmentering genom uppdelade organisationsstrukturer, åtskilda produktionsenheter och genom att man har olika mål och utmaningar i vardagen. Och även här har man olika "protokoll", eller sätt att uttrycka sig, som gör att det är svårt att få till en vettig kommunikation mellan olika enheter. Det här är definitivt ett problem som jag ser i precis alla branscher och oavsett storlek på organisation.
Hur ska vi då få till en bra kommunikation? Vilken motsvarighet har vi till bra integrationer och gateways? Eftersom vi knappast kan få alla att ha samma prioriteter, få att alla att använda samma språk eller ge alla samma utmaningar så får vi hitta ett sätt att kommunicera som överbryggar dessa olikheter. Mycket handlar förstås om grundläggande verksamhetsstyrning som strategiarbete, målnedbrytning och internkommunikation. Men om vi fokuserar på säkerhetsarbete här så finns det speciella utmaningar i att få till bra kommunikation. Sysslar du med informationssäkerhet har du ett sätt att utrycka dig kring risker, hot och sårbarheter. Om du arbetar med miljöfrågor har du en annan uppsättning begrepp, likaså har du ytterligare andra ord om du sysslar med fysiskt skydd, GDPR, brandskydd, maskinsäkerhet, Seveso-frågor eller SIS-system.
De flesta har stött på CIA-triaden från informationssäkerhet, "Confidentiality - Integrity - Availability" ("Hemlighet - Riktighet - Tillgänglighet"). Det här är begrepp som passar väldigt bra när man resonerar kring skyddet av information. Om man sysslar med risker kopplade till automationssystem passar inte "CIA" så bra och därför har en annan triad blivit populär "Control - Observe - Operate" som utifrån styrsystemets perspektiv beskriver dess förmåga att styra processen, att låta oss observera processen och att låta oss påverka processen. Är man mer fokuserad på processen och dess riskers påverkan på oss har ytterligare en triad "Safety - Resilience - Performance" blivit populär eftersom vi kan beskriva hur farlig processen är för omgivningen, hur tålig processen är mot påverkan och hur effektiv processen är på att leverera det resultat som den är till för. (Du kan läsa mer i mitt nyhetsbrev #24.)
Dessa olika kombinationer av tre är väldigt användbara. Det diskuteras flitigt vilken kombination som är bäst, vilket jag tycker är helt fel sätt att närma sig det här. För att få till den där integrationen mellan olika delar av organisationen och mellan personer med olika vardag behöver vi krydda vårt språk med alla dessa ord för att vara säker på att vi beskriver verkligheten på ett sätt som alla förstår oavsett av deras bakgrund. Det är så vi skapar vår integrationsplattform för mänsklig kommunikation som överbryggar skillnader i vår världsbild.
En annan viktig bit är förstås organisationen i sig själv. Större organisationer med verksamhet på flera platser låter ofta varje enskild "fabrik" bli en separat produktionsenhet med en egen produktionschef som är ansvarig för resultat och risker i den egna verksamheten. Varje enhet har egna resurser som bygger och underhåller automationssystemen som driver verksamheten. Det är väldigt mänskligt att man som automationsingenjör prioriterar den egna enhetens behov och möjligheter över hela organisationens möjligheter. Det är lätt att detta, rätt eller fel, skapar situationer som ser ut som suboptimering för en utomstående. Något som jag personligen tycker är viktigt är att det företagsgemensamma säkerhetsarbetet fokuserar på att skapa möjligheter för varje enskild produktionsenhet som de själva inte har resurser att få till var för sig.
Vi måste bli bättre på att kommunicera! Så precis som inom nätverkssegmentering är det integrationen mellan de olika segmenten som är både svårt och viktigt. Lyckas vi med integrationen kan vi dra nytta av alla fördelar som segmenteringen ger men utan den stör helhetens förmågor och utan att vi tar genvägar som förstör effekten av segmenteringen.
CE-märkt OT-säkerhet!
Ett förslag till nytt maskindirektiv lades fram av EU-kommissionen i slutet av April. Om du inte inte känner till vad maskindirektivet är för något så kan man enkelt förklara det som att det är gemensamma krav på hur man konstruerar, tillverkar, underhåller och använder maskiner och utrustningar för att undvika olyckor. Det är det kravunderlag som används för maskiner som CE-märks. I Sverige är det arbetsmiljöverket som ansvarar för regelverket.
Att det behövdes ett nytt direktiv slogs fast i en rapport från förra året, "Report on the safety and liability implications of Artificial Intelligence, the Internet of Things and robotics", som pekade på hur modern teknik påverkar maskinsäkerheten. Observera att när jag använder ordet "säkerhet" här så menar jag "safety", alltså att maskinen inte skadar människor. För att klara det krävs också att tekniken har god "security" så att den inte kan bli farlig genom exempelvis manipulation eller ändring.
Jag ska direkt erkänna att maskindirektivet inte är något som jag är jättehemma i, men eftersom det nu verkar bli ett intressant överlapp mellan OT-säkerhet och direktivet så blev jag förstås nyfiken. Precis som med nya NIS-direktivet (läs mer här och här!) så blev det en övning i att läsa komplexa EU-dokument.
Man ger sex huvudskäl till att ett nytt direktiv behövs. Det första skälet, och kanske mest intressanta, är att det gamla direktivet inte täcker risker som kommer ur ny teknik. Man vill förstärka förtroendet för nya tekniska lösningar och därmed behövs legal tydlighet. Man listar sedan fem intressanta riskområden kopplat till just ny teknik:
Direkt samarbete mellan människor och robotar. Det här är ju ett område som verkligen börjat växa på sistone med så kallade co-bots.
Uppkopplade maskiner.
Förändringar i maskiners "beteende" på grund av uppdateringar till mjukvaran efter godkännandet.
Svårigheterna att göra riktiga riskbedömningar på lösningar som bygger på Machine Learning.
Autonoma eller fjärrstyrda maskiner som inte har en förare eller operatör på plats.
Det är inga detaljerade krav vi får så det blir ju intressant att se hur detta kommer tolkas i praktiken när man ska kravställa eller granska maskiner framöver.
Man gör en poäng av att trycka på att direktivet är i linje med en kommande EU-reglering kring Artificiell Intelligens och med EUs policy för cybersäkerhet. För just kopplingen mellan safety och cybersäkerhet finns det egentligen två kravtexter, en kring skydd mot allmän påverkan och en kring utformningen av styrsystem:
Maskinen ska vara konstruerad och byggd på ett sätt som gör att farliga situationer inte kan orsakas av anslutningar till andra prylar oavsett om det handlar om oavsiktlig påverkan eller ett medvetet angrepp. Det finns ett krav på att alla former av förändringar ska loggas och lagras för både hårdvara, mjukvara, konfiguration och data.
Styrsystem ska kunna stå emot angrepp så att inte farliga situationer uppstår. På samma sätt ska inte fel i hårdvaran eller i styrsystemet kunna skapa risker. Speciellt ska Safety-system inte kunna ändras utanför gränserna för vad som anses vara säkert. Loggar för förändringar ska vara tillgängliga i fem år och loggar för safety-händelser ska vara tillgängliga i ett år. Speciellt intressant är att man trycker på funktioner som utvecklas under tiden maskinen används, det vill säga AI och Machine Learning. En annan intressant fråga som alltid brukar dyka upp är synen på trådlös styrning och vad som ska hända om den fallerar på något vis. Man trycker speciellt på att safety-funktioner ska vara lokala i maskinen så att den kan avvisa fjärrstyrning i farliga situationer.
En intressant del är Bilaga 1 som definierar högriskmaskiner som nu även innehåller AI-baserade skyddssystem förutom cirkelsågar, industriella pressar, sopkompressorer, fordonslyftar och en massa andra farliga saker. Eftersom man också pratar om att det inte ska vara möjligt att påverka skyddssystem så att de slutar fungera enligt riskanalysens antaganden blir det här väldigt viktigt att skydda på ett bra sätt.
Just samarbetet mellan människa och autonom maskin lyfter de i ergonomiavsnittet, där det speciellt trycks på en bra två-vägskommunikation. Maskinen ska kommunicera sina avsikter och reagera på ett bra sätt när den får order.
Det är som sagt långt ifrån några detaljerade krav som vi får. Det är inte helt klart för mig hur det här kommer omsättas i praktiska åtgärder och vad som kommer bli något slags hygien-nivå för att uppnå CE-märkning. Om någon av mina läsare vet mer om det här så får ni väldigt gärna kommentera eller höra av er!
Fullt ös i labbet!
I mitt OT-testrack finns just nu en hel radda roliga och imponerande prylar. Jag har gjort en lite större installation nu där ett antal av burkarna får leka tillsammans och tänkte gå igenom helheten i den här artikeln. Framöver kommer jag titta närmare på prylarna var för sig i kommande nyhetsbrev. Hör av dig om det är något speciellt du är nyfiken på och vill att jag tittar extra noga på!
Det den här testmiljön gör är att generera stora mängder trafik mellan hundratals fejkade system där trafiken också innehåller attacker och skadlig kod. Denna trafik kopieras sedan av ett antal olika nätverkstappar och aggregeras så att summan av all trafik kan kopieras till ett antal mottagare. Dessa mottagare analyserar trafiken och presenterar sina insikter. Tanken med hela upplägget är att simulera en nätverksmiljö för en verksamhet som vill förbättra synligheten i sina nätverk. På köpet får vi möjlighet att låta var och en av komponenterna visa upp vad den kan!
Om vi tar det från vänster till höger så har vi:
Mjukvaran "BreakingPoint" som körs i en "PerfectStorm One" från Keysight som du fick en glimt av i nyhetsbrev #25. Trafiken skickas i mitt fall mellan tre par nätverksinterface där var och en av dessa par simulerar ett nätverk med hundratals klienter och servrar. I mitt fall har jag valt en riktigt jobbig blandning av IT- och OT-trafik där jag även skjuter in skadlig trafik av lite olika typer.
Tre stycken nätverkstappar från Keysight skapar en kopia av den trafik som skickas genom dem. I ett verkligt fall skulle de kunna vara anslutna mellan viktiga switchar i nätverket. I mitt fall är det en mer IT-anpassad IxTap och två ruggade varianter där "Copper Tough Tap" har RJ45-anslutningar och "Flex Tough Taps" har fiberanslutningar. Jag skrev om IxTap i nyhetsbrev #18.
Trafiken från de tre tapparna samlas in av en paketaggregator, "Vision T1000" från Keysight. Det här är en ruggad aggregator som är tänkt att kunna sitta ute i en anläggning eller ett ställverk. Den tar nätverkstrafik från flera håll, sammanställer den och skickar sedan vidare till en eller flera analysburkar. Jag skrev om en besläktad produkt, "Vision Edge 1S", i nyhetsbrev #21.
"Guardian NSG-R 50" från Nozomi Networks" analyserar trafik den får till sig och sammanställer en otrolig mängd information utifrån den passivt insamlade trafiken. Den är utformad i grunden för att passa de speciella förutsättningar som råder inom OT. Resultatet blir en makalös insyn i vad som finns på nätet, hur de kommunicerar, vad som är normalt eller onormalt och vilka hot som behöver hanteras.
TxOne EdgeIPS Pro träffade du i förra nyhetsbrevet, där du fick en glimt av detta muskedunder till nätverks-IPS för OT-miljöer som identifierar olika typer av angrepp på nätet. I det här exemplet kommer jag köra den som en IDS, dvs den kommer enbart larma när den ser något otrevligt.
En nätverksdiod DD1G från Advenica som kan vara lösningen på ett klurigt problem när man segmenterat sitt nätverk. Ofta vill man exempelvis använda gemensamma säkerhetslösningar för IT- och OT-världen, men hur vet man att den utrustning som skickar nätverkstrafik för analys är säker och inte är en bakväg från IT till OT? En möjlighet är att skicka den kopierade nätverkstrafiken via en diod för att vara säker på att nätverkspaketen verkligen bara kan ta sig åt ena hållet. Superenkelt att få till dessutom, saknar helt konfiguration. Gigabit-sladd in och gigabit-sladd ut, det är allt! Du kan läsa mer om dioder i nyhetsbrev #22.
Ett första intryck är att alla delarna imponerar stort! Att kunna skapa testtrafik på ett så brutalt sätt som BreakingPoint gör är fantastiskt för alla former av nätverkstester. De olika tapparna sköter sig exemplariskt och levererar de kopior av trafiken som vi är ute efter. Aggregatorn är precis så lättjobbad som man vill att en så viktig funktion är. TxOne EdgeIPS Pro vet vi sedan tidigare är ett monster i sin nisch. Nozomi Guardian vet jag själv sedan tidigare är en imponerande lösning men jag blir ändå fascinerad av hur mycket information den kan plocka ut bara genom att passivt "tjuvlyssna" på nätverkstrafik! Dioden är i sin enkelhet en fantastisk lösning på ett riktigt svårt problem! Framöver kommer jag titta vidare på de här olika delarna var för sig.
Lyssna på OT-trafiken!
Vi kastar oss direkt över de helt nya prylarna från Keysight! Det är tre typer av utrustningar, två är nätverkstappar och en är en aggregator. Jag har tidigare tittat på en liten smidig tapp från Keysight som inte var speciellt anpassad för OT-världens behov, läs mer i nyhetsbrev #17. I nyhetsbrev #21 tittade jag på ett syskon till aggregatorn som inte heller var OT-stukad. I och med de här nya produkterna har Keysight verkligen tagit ett tydligt kliv framåt i OT-världen och det här är riktigt coola prylar!
Copper Tough Tap är en nätverkstapp med vanliga RJ45-anslutningar. Den kopplas in i linje på en nätverksförbindelse som du vill ha insyn i där den blir helt osynlig men skickar en exakt kopia av all trafik till en tredje och fjärde utgång. Så långt är det inget konstigt, som tappar är mest. Men...
Det här är en ruggad enhet i extruderad aluminium som monteras på DIN-skena. Den är fläktlös men som trots det fungerar från -40 grader till +85 grader! Den har dubbel strömmatning men skulle den tappa ström kommer den ändå inte störa kommunikationen. Den genomsnittliga tiden för den att går sönder (MTBF) är över 142 år! Behöver man många på samma ställe har Keysight en lösning för att effektivt montera och fördela ut ström till dem alla.
Eftersom den själv inte har någon IP-adress går den heller inte att angripa. Den har vad Keysight kallar "airgapped monitor ports", dvs att det inte finns någon fysisk möjlighet att störa genom att mata in trafik "bakvägen". Kör du PoE, Power over Ethernet, så skickas spänningen vidare utan problem. Riktigt cool och imponerande pryl! Bra jobbat Keysight!
Flex Tough Taps är på motsvarande sätt en nätverkstapp för fiberanslutning. Det första man kanske blir förvånad över är att det inte finns någonstans att koppla in strömmen! Det här är en helt passiv enhet som helt enkelt "stjäl" lite av ljuset i fibern (30% för att vara exakt) för att skicka vidare som en kopia av trafiken.
Här får du fyra stycken tappar per burk men i övrigt har den samma imponerande spec som koppar-tappen! Den finns i två varianter beroende på fibertyp, för OM1 och för OM5. Har man fiberanslutningar i sitt nätverk är det här ett klockrent sätt att få insyn i trafiken!
Vision T1000 presenteras som en "Industrial Network Packet Aggregator". Men vaddå "Industrial", tänker du, den ser ju ut som vilken 19-tums nätverkspryl som helst? Men skenet bedrar! Den är fläktlös, fungerar från -40 grader till +85, kan matas med 48V DC eller 240V AC, har reläutgång för att markera spänningsfel och tål vibrationer, stötar och fall enligt IEC 60068-2. Det gör inte andra nätverksprylar! Att det här är en industriell pryl märks om inte annat i att det går att prata MODBUS med den. Det ger möjlighet att läsa av en väldig massa intressant information.
Nyttan med den här prylen är att den samlar ihop trafik på ett gäng (20st SFP och 6st RJ45) ingångar som kommer från tappar och SPAN-portar. All den här trafiken kan man sedan filtrera för att slippa onödig belastning och sedan skicka ut till en eller flera mottagare som får analysera trafiken. Det man vill uppnå är att skapa insyn i många olika nätverk och segment för att sedan enklare kunna låta flera verktyg titta på den trafiken. Du kan läsa mer om tänket i nyhetsbrev #21.
Tillsammans blir de här tre komponenterna en fantastisk kombo! Med hjälp av tapparna kan du enkelt få kopior av trafik utan att störa nätverket även om du inte har nätverksswitchar som erbjuder SPAN-portar. Aggregatorn gör att alla dessa kopior enkelt kan slås samman till en samlad bild och skickas på analys.
Är det enkelt att få till då? Ja, det måste man faktiskt säga! Tapparna har ju i princip ingen konfiguration alls och aggregatorns webbinterface är riktigt lättjobbat. I grunden handlar det om att definiera vilka av de 26 portarna som ska ta emot trafik och till vilka portar denna trafik ska skickas. Mappningen kan kompletteras med olika filterregler och regler för lastbalansering. Förvisso skulle man kunna önska sig vissa mer avancerade finesser som saknas, kanske framför allt deduplicering av nätverkspaket som fångats upp flera gånger, men enkelheten är å andra sidan också en stor vinst. Just deduplicering skapar man ju ändå oftast i en mer central funktion och då vill man inte betala för den i onödan här.
Sammantaget är det här en makalös kombination av prylar som löser ett svårt problem i många OT-nätverk. Den trafik man inte ser kan fortfarande ställa till elände!
Med en unik kombination av fysisk robusthet, genomtänkt konstruktion och smidig funktionalitet är lätt att få den insyn i nätverket som är helt nödvändig för både säkerhetsverktyg och andra analysbehov.
Ett stort beröm till Keysight för den här raddan nya produkter som verkligen är en fullträff!
Klurigt med Industri 4.0? Svaret är NOA!
I förra nyhetsbrevet startade jag en serie texter om olika standarder och ramverk. Först ut var ISA 62443 som ju får betraktas som en riktig kändis jämfört med den här omgångens huvudperson, "NOA" eller "NAMUR Open Architecture". NAMUR är en gammal organisation som grundades 1949, som en samarbetsorganisation för tyska kemikaliefabrikanter. Sedan dess har den utvecklats på många sätt, både genom att numera adressera automation i största allmänhet och genom att bli helt internationell. (Även om ursprunget fortfarande är väldigt tydligt...)
NAMUR har en väldig massa arbetsgrupper som publicerar rekommendationer inom så skilda områden som projektledning, ingenjörskonst, MES-system, sensorteknik, asset management, säkerhet och en massa annat. Men det som jag tittar på nu, NOA, "NAMUR Open Architecture", är faktiskt inte i första hand tänkt att vara något för säkerhetsfolket. NOA handlar i grunden om "Industri 4.0" (som ju också var en tysk uppfinning från 2011) och hur man på ett bra (och indirekt därmed säkert) sätt ansluter stora mängder med informationsinsamling i nya och befintliga automationsmiljöer. Det är nu vi försöker få OT och IoT att bli kompisar på riktigt!
Jag skulle spontant säga att jag inte kan komma på en enda av mina OT-kunder, oavsett bransch, som inte brottas med precis den här frågan! Hur man ansluter en massa nya sensorer och hur man tankar ut en massa information ur styrsystem utan att riskera pålitligheten, säkerheten och utan att skapa en enormt rörig systemmiljö. Dessutom drar man ju ofta på sig omaket att man får en massa känslig information som man inte är riktigt van vid att hantera i dessa delar av organisationen. Klurigt!
NOA är helt anpassad till ISA 62443 och är tänkt att fungera lika bra när man utökar en existerande installation som när man bygger helt nytt från scratch. Hela idén illustreras riktigt bra av pyramidbilden här ovanför. Istället för att försöka lirka in en massa nytt i den existerande pyramiden, lägger man istället på ett lager på sidan. När man tränger in i detaljerna är det förstås inte riktigt fullt så enkelt men grundtänket är helt i linje med en av mina egna gamla käpphästar: "Blanda inte ihop grejor på samma nätverk bara för att de råkar sitta i samma maskiner eller i samma fysiska process".
Arbetet med NOA har sex styrande principer som ju onekligen låter alldeles utmärkta:
Man ska enbart lägga till lösningar - inte ersätta eller ändra. Perfekt för att kunna bygga vidare i existerande anläggningar.
Vara öppen för nytt tänk från Industri 4.0. NOA fokuserar på mätning och optimering snarare än processkontroll vilket ger en enkel väg mot Industri 4.0.
Bygga på enbart öppna standarder - enkel integration stöttar ju dessutom effektiv segmentering.
Ska tillåta att snabbt föränderlig IT-teknik integreras ända nerifrån vår fysiska process och hela vägen upp till affärssystemet. Ja tack!
Rejält minska kostnaden för information genom öppna, skalbara och integrerade lösningar. Då får vi pengar över till säkerhetsarbetet!
Inte på något vis påverka tillförlitlighet eller säkerhet i den fysiska processen! Naturligtvis helt avgörande för att vi ens ska vara intresserade!
Som så mycket annat i OT-säkerhetsvärlden är NOA fortfarande under arbete. Av fem dokument som är tänkta att tas fram är två klara. "NE 175 – NOA Concept" släpptes i höstas och "NE 177 – NOA Security Zones and NOA Security Gateway" dök upp för ett par veckor sedan. Vi har att se fram emot "NE 176 – NOA Information Model", "NE 178 – NOA Verification of Request", "NE 179 – NOA Aggregating Server". Som sagt, det här är inte en säkerhetsstandard utan ett arkitektuellt tänk med högt fokus på säkerhet. Precis som det ska vara!
Väldigt få saker här i livet är gratis, inte heller NOA! Man kan köpa de separata dokumenten för 53 Euro styck eller prenumerera på hela NAMURs dokumentbibliotek för 200 Euro per år. Jag kan direkt säga att det är väl värt pengarna att skaffa sig tillgång till dem! Det är oerhört välskrivna dokument, tydligt och exakt utan att bli långt i onödan. Kan det vara det noggranna tyska arvet? Dokumentet NE 175 som beskriver hela det grundläggande konceptet är inte mer än på 22 sidor! En viktig del kan också vara att dessa dokument inte är tänkta att vara standarder utan enbart rekommendationer. I vilket fall som helst är de väldigt tydligt skrivna!
Jag måste trycka på att man verkligen lyckats med att hålla sig till de 6 principerna! Inte minst att man skiljer extremt tydligt på kärnprocessen som inte ska påverkas och det nya som NOA tillför. Eftersom de olika delarna har helt olika uppgifter och därmed kravbilder ska de hanteras på helt olika sätt! Man är också väldigt verklighetsförankrad, till exempel har man redan från början med faktumet att de flesta organisationer har många produktionssajter och därmed separata OT-system, vilket ju så klart måste hanteras på ett bra sätt! På samma tema är man tydlig med att kärnan i de flesta OT-system bygger på proprietära lösningar och att vi ska akta oss för att försöka "jacka in oss" i dem! Även omvänt är det väldigt viktigt att inte de nya delarna som vi tillför "av misstag" blir nödvändiga för att kunna köra processen på ett säkert och effektivt sätt. Därmed kan vi sätta helt olika krav, både för säkerhet och annat, vilket förstås skapar nya möjligheter!
"Jaha? Molnet nästa då?" hör jag att du undrar! Ja! Precis! I och med att NOA-tilläggen inte på något vis påverkar säkerheten i den fysiska processen öppnar vi säkerhetsmässigt dörren till att enklare besluta om att inte nödvändigtvis implementera allting i lokal teknik utan flytta det till något slags molnfunktion. Men det kan förstås finnas andra skäl till att en lokal edge-lösning passar bättre!
Rent tekniskt pekar NOA med hela handen på OPC UA för kommunikation med existerande OT-system, vilket ska kombineras med en rekommenderad datamodell som kommer inom kort. Men tro inte att NOA-tillägg i en process enbart kan syssla med datainsamling och analys! NOA-modellen öppnar för att feedback och ordrar skickas till OT-systemet, som i så fall måste ha lämpliga skydd (manuella eller automatiska) för att granska den input som tas emot så att den är relevant. Där påverkan ska vara helt omöjlig pekar NOA på en "diod-lösning" som man inte beskriver tekniskt men där kraven på den är specade i "NE 177". Man kan tänka sig flera olika sätt att lösa det praktiskt beroende på vilka krav på man har i den aktuella situationen.
Den som sysslar med Industri 4.0 eller arkitektur i allmänhet kan ha kommit kontakt med "RAMI 4.0" (The Reference Architectural Model Industrie 4.0), med den karakteristiska 3-dimensionella modellen. Den kommer från en annan tysk organisation "Zvei", där främst tillverkande industrier inom el- och elektronik är med. Glädjande är att Zvei och NAMUR nu samarbetar kring NOA vilket förstås ger resultatet ännu bättre möjligheter att "slå igenom"! Vi får bara hoppas att det inte sinkar arbetet med de sista delarna...
Så här långt har jag egentligen bara berört de allmänna delarna som beskrivs i "NE 175 – NOA Concept" här i den här texten. Jag tänker återkomma med en djupdykning i lite mer detaljer från "NE 177 – NOA Security Zones and NOA Security Gateway" i ett kommande nyhetsbrev. Och när de tre återstående delarna dyker upp så tar vi förstås oss en titt på dem.
Jag måste säga att jag är väldigt positiv till NOA, både för det nonsensfria sätt som den är skriven på och för den rättframma lösningen på ett klurigt problem!
Det blir intressant att se hur snabbt det här tänket kommer anammas. Det har den där härliga känslan av att vara självklart, så där att det nästan känns onödigt att ha dokument som beskriver det. Klassiskt tecken på en riktigt bra idé!
Om någon av mina läsare har egna erfarenheter så utbyter jag gärna lite sådana!
Lästips!
Ett litet provocerande blogginlägg som jag själv skrev för att jämföra ISA 62443 och ISO 27000. Handlar framför allt om vikten av att välja ett verktyg som passar bra till det som du tänker göra.
För den som vill läsa fler av mina alster så finns några artiklar med koppling till OT-säkerhet på Ateas officiella blogg:
Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/
Vad är OT-säkerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/
I veckan fick vi det tråkiga beskedet att årets CS3STHLM ställs in. Jag vet att de försökte in i det sista att få till en fysisk träff i år men pandemin har tyvärr skördat ytterligare ett offer i och med att vår favoritkonferens ställs in. Det låter lyckligtvis som att de kommer satsa på en revansch 2022. Om du inte redan gjort det kan du stötta dem genom att köpa tillgång till alla spännande presentationer från förra året: https://vod.cs3sthlm.com/product/cs3sthlm-2020-video-on-demand/
En avhandling från tyska Saarbrucken Graduate School of Computer Science, Saarland University som tittat på praktiska utmaningar och säkerhetsmässiga snubbeltrådar i OPC UA.
Goda råd från Center of Internet Security (CIS, mest kända för CIS Controls) kring hur man gör RDP lite säkrare. RDP är ju (tyvärr) ett vanligt sätt att ta sig mellan olika system och nätverkszoner. I de fall man inte vill eller kan göra något lite bättre kan man ju i alla fall försöka få till säkerheten så bra det går.
Sarah Fluchs skriver om säkerhet i två perspektiv, "Security" och "Safety" för att ge oss lite nya perspektiv på hur de hänger ihop. Möjligheter och utmaningar för dem som dra nytta av de gemensamma aspekter som dessa områden har.
CISA har släppt tolkar för OT-protokoll att använda i Zeek (tidigare "Bro"), en välkänd open-source IDS. De har lagt till stöd för BACnet, BSAP, Ethercat, Ethernet/IP och CIP. Dessutom har de utökat logg-funktionaliteten för DNP3 och Modbus.
Det här nyhetsbrevet skickas till mottagare med intresse av säkerhet inom OT. Det produceras av Mats Karlsson Landré på Atea Sverige och får spridas vidare fritt.
Tanken är att det ska innehålla tips om intressanta resurser kombinerat med mina egna tankar om aktuella händelser. Återkoppla gärna med egna idéer eller funderingar till mats.karlsson-landre@atea.se! Förslag till ämnen eller innehåll tas förstås emot med tacksamhet!
Om du önskar få nyhetsbrevet direkt till din inkorg i fortsättningen kan du gärna kontakta mig på mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte används till något annat än detta!
Du hittar tidigare nyhetsbrev på ot-säkerhet.se .