Vägen bort från sårbara direktanslutningar i industriell drift

Behovet av fjärrunderhåll har blivit en permanent del av industriell drift. Leverantörer behöver kunna felsöka en PLC, analysera ett SCADA-larm eller uppdatera en HMI utan att vara fysiskt på plats. Samtidigt är produktionsmiljöer, energianläggningar och VA-system beroende av hög tillgänglighet och förutsägbara förändringar. En felaktig åtgärd eller ett avbrott i kommunikationen kan därför få större konsekvenser än en vanlig IT-störning.

Problemet uppstår när snabb åtkomst löses med öppna portar, delade konton eller en VPN-tunnel som placerar en extern dator på samma nätverk som styrsystemen. En sådan tunnel kan ge bred nätverkssynlighet och göra det möjligt att röra sig vidare mellan system efter ett intrång. Även om VPN-lösningen är krypterad betyder det inte att åtkomsten är tillräckligt begränsad, att användaren är entydigt identifierad eller att varje ändring kan rekonstrueras i efterhand.

Det avgörande är därför inte att avskaffa fjärråtkomst, utan att göra den kontrollerbar. Direktanslutningar bör ersättas med en arkitektur där extern trafik passerar en industriell DMZ, en dedikerad hoppserver och tydliga godkännandepunkter. Med tidsbegränsad behörighet, stark autentisering och fullständig sessionsloggning kan verksamheten behålla felsökningskapaciteten utan att ge fjärrtekniker mer åtkomst än uppgiften kräver.

Arkitekturens grundpelare med DMZ och segmenterade jump hosts

En säker OT-arkitektur börjar med att skilja mellan zoner med olika skyddsbehov. Kontors-IT, industriell DMZ, övervakningssystem och själva processnäten bör inte betraktas som ett enda nätverk. I stället definieras tillåtna kommunikationsvägar mellan zonerna, normalt med brandväggar som tillämpar principen om nekad trafik som standard. Segmenteringen ska utgå från processens funktion, konsekvensen av ett avbrott och vilka system som faktiskt behöver kommunicera.

En industriell DMZ fungerar som ett kontrollerat mellanlager. Där kan exempelvis fjärråtkomsttjänster, uppdateringsservrar och administrativa komponenter placeras utan att en extern användare får direkt trafikväg till PLC:er eller SCADA-servrar. En hoppserver, ofta kallad jump host, blir den enda godkända slussen för administrativ interaktion. Den ska vara härdad, ha så få installerade funktioner som möjligt och endast kunna nå de resurser som krävs för ett definierat serviceuppdrag.

Arkitekturen behöver anpassas till anläggningens krav på redundans och säker drift. En brandvägg eller hoppserver får inte bli en ensam felpunkt som stoppar kritiska processer. Samtidigt får redundans inte innebära att alternativa, odokumenterade anslutningsvägar lämnas öppna. NIST SP 800-82 Rev. 2 är numera tillbakadragen och ersatt av revision 3, men beskriver fortfarande många centrala principer för ICS-säkerhet, bland annat zonindelning, gränsskydd och kontrollerad fjärråtkomst.

• Separera kontors-IT, industriell DMZ och processnät med dokumenterade trafikregler.
• Använd dedikerade hoppservrar i stället för direktanslutning till PLC, HMI eller SCADA.
• Begränsa åtkomst efter användare, tillgång, protokoll, port och tidsfönster.
• Planera redundans och återställning så att säkerhetskomponenter inte skapar oacceptabla driftstopp.

Traditionell fjärråtkomst ställs mot modern och härdad drift

En traditionell punkt-till-punkt-VPN löser i första hand kryptering och nätverksanslutning. När användaren väl är inne kan åtkomsten däremot vara bred, särskilt om VPN-klienten placerar användaren i ett nätsegment med många möjliga mål. Modellen bygger ofta på att den externa användaren eller leverantörskontot redan är betrott. Nolltillit vänder på detta antagande. Varje åtkomst ska verifieras utifrån identitet, enhet, ändamål, resurs och aktuell risk.

I praktiken innebär en modern modell att leverantören inte får en generell väg in i OT-nätet. Användaren autentiseras mot en central identitetslösning, begär åtkomst till en bestämd resurs och kopplas därefter till en övervakad session via hoppservern. Det minskar möjligheten till lateral rörelse, men måste införas med respekt för äldre OT-utrustning. Många PLC:er och industriella protokoll saknar själva stark autentisering och kryptering. Skyddet måste därför ofta placeras runt tillgången, i nätverket och i åtkomsttjänsten.

Skillnaden handlar alltså inte om att en viss produkt automatiskt är säker. Rätt val beror på processkrav, äldre system, redundans, leverantörsflöden och organisationens förmåga att övervaka åtkomsten. En lösning som kräver en omstart av känslig utrustning för att införa säkerhet kan vara olämplig. Säkerhetskontroller ska därför testas i en representativ miljö och införas stegvis.

Tidsbegränsad behörighet genom Just in Time och stark multifaktorsautentisering

Just in Time, eller tidsstyrd åtkomst, innebär att underhållsbehörighet inte finns aktiv hela tiden. Ett konto kan finnas i identitetsplattformen, men rättigheten att ansluta till en viss hoppserver eller tillgång aktiveras först när ett servicebehov är godkänt. När servicefönstret löper ut tas behörigheten automatiskt bort. Det minskar värdet av stulna lösenord och eliminerar många gamla leverantörskonton som annars blir liggande efter avslutade uppdrag.

Arbetsflödet bör vara konkret. En tekniker identifieras med personlig identitet och stark multifaktorsautentisering, anger vilket system som ska hanteras och beskriver ändringen. En driftansvarig godkänner begäran manuellt, eller så används ett automatiskt flöde för fördefinierade, låg-risk-uppgifter. För ändringar i säkerhetslogik, regulatoriska parametrar eller styrprogram bör manuellt godkännande och en dokumenterad arbetsorder normalt krävas.

Nolltillit i OT ska inte tolkas som att varje kontrollsignal i en realtidsprocess måste passera en tung identitetskontroll. Den praktiska tillämpningen sker främst vid gränserna, där användare, tjänster och administrativa sessioner får tillgång till styrmiljön. CMU Software Engineering Institutes analys av Zero Trust i ICS betonar att segmentering, inventering, övervakade hoppservrar och minsta privilegium är riskbaserade sätt att minska tillitszonerna utan att störa själva processen.

• Använd individuella konton och förbjud delade administratörsinloggningar där det är tekniskt möjligt.
• Kräv multifaktorsautentisering för externa tekniker och privilegierade användare.
• Knyt varje åtkomst till arbetsorder, tillgång, syfte och definierat tidsfönster.
• Stäng behörigheten automatiskt när servicefönstret avslutas eller sessionen avbryts.

Fullständig sessionsloggning och revisionsspårbarhet i realtid

En inloggningslogg visar att en användare anslöt, men inte nödvändigtvis vad som hände därefter. Därför bör fjärrmiljön kunna spela in grafiska sessioner via exempelvis RDP eller VNC och samtidigt registrera kommandobaserade anslutningar som SSH. Relevanta händelser omfattar inloggning, autentiseringsförsök, åtkomst till tillgångar, filöverföringar, kommandon, ändrade parametrar och avslutade sessioner.

För PLC- och SCADA-miljöer är detta särskilt viktigt eftersom små ändringar kan påverka fysiska processer. En ändrad gränsnivå, en modifierad larmparameter eller ett nytt styrprogram måste kunna kopplas till rätt användare och rätt arbetsorder. Loggarna hjälper både vid en pågående incident och vid en efterhandsutredning efter exempelvis ett produktionsstopp. De kan även visa avvikelser, som att en tekniker försöker nå andra system än de som godkänts.

Revisionsspåret måste skyddas lika omsorgsfullt som själva styrsystemet. Loggdata bör skickas till separat lagring med striktare behörigheter än den operativa miljön. Skrivskydd, tidsynkronisering, hashbaserad integritetskontroll och central korrelation i ett SIEM-system kan göra manipulation svårare att dölja. Samtidigt måste lagringen dimensioneras för stora mängder sessionsvideo och konfigurationshändelser, med tydliga regler för bevarande, åtkomst och gallring.

• Spela in grafiska sessioner när operatörsgränssnitt eller engineeringverktyg används.
• Logga SSH-kommandon, filöverföringar, autentisering och systemändringar.
• Separera logglagringen från den miljö som administreras.
• Skapa larm för otillåtna mål, ovanliga tider, flera misslyckade inloggningar och försök att ändra kritiska parametrar.

Spårbarheten behöver dessutom kopplas till verksamhetens krav på kontinuitet, incidenthantering och samhällsviktig verksamhet. Myndigheten för samhällsskydd och beredskaps vägledning om industriella informations- och styrsystem lyfter bland annat systemkartläggning, externa anslutningar, zonindelning, försvar i flera lager och övervakning av oönskad trafik. Loggning är därmed inte en isolerad teknisk funktion, utan en del av den samlade förmågan att upptäcka, förstå och hantera störningar.

Steg för steg mot en säker och kontrollerad fjärrmiljö

Införandet bör börja med nuläget, inte med valet av produkt. Många anläggningar har äldre modem, tillfälliga brandväggsregler, leverantörskonton och fjärranslutningar som ingen längre äger. En komplett bild av dessa vägar är nödvändig innan osäkra anslutningar kan avvecklas utan att kritisk supportförmåga går förlorad.

1. Inventera PLC:er, SCADA-servrar, HMI:er, modem, VPN-tunnlar, brandväggsregler, fjärrskrivbord och leverantörskonton. Dokumentera ägare, syfte, beroenden och senaste användning.
2. Riskklassificera tillgångarna utifrån fysisk påverkan, tillgänglighetskrav och konsekvensen av felaktiga ändringar. Prioritera öppna portar och okända anslutningar först.
3. Etablera en industriell DMZ och placera säkra hoppservrar där. Använd central identitetshantering, personliga konton, multifaktorsautentisering och minsta privilegium.
4. Definiera godkännandeprocesser för olika typer av service. Koppla åtkomsten till arbetsorder, tidsfönster och specifika mål.
5. Inför sessionsinspelning, central loggning, larm och automatisk avstängning. Testa även hur åtkomsten kan spärras snabbt vid misstänkt aktivitet.
6. Granska externa sessioner regelbundet och genomför återkommande tester av brandväggsregler, återställning, reservvägar och leverantörsavtal.

Genomförandet måste ske tillsammans med drift, automation, IT och leverantörer. En tekniskt elegant modell fungerar inte om driftpersonalen kringgår den under tidspress eller om en leverantör saknar ett praktiskt sätt att få godkänd åtkomst. Bör prioriteras först är därför de mest exponerade anslutningarna, följt av tydliga rutiner och utbildning. Därefter kan mer avancerad automatisering, riskbaserade policyer och djupare analys byggas på en stabil grund.

Bygg en framtidssäkrad motståndskraft i din produktionsmiljö

Att ersätta öppna portar och breda VPN-tunnlar med DMZ, segmenterade hoppservrar, tidsbegränsad behörighet och fullständig sessionsloggning ger en bättre balans mellan tillgänglighet och skydd. Teknikern kan fortfarande felsöka och underhålla system på distans, men åtkomsten blir begränsad till rätt person, rätt tillgång och rätt tid. Det minskar attackytan, begränsar lateral rörelse och gör incidenter möjliga att utreda.

Den långsiktiga effekten avgörs ändå av mer än nätverksarkitekturen. Regelbunden inventering, uppdaterade ansvar, fungerande godkännanden, realistiska reservrutiner och gemensam förståelse mellan IT och OT är lika viktiga. Nästa steg är att kartlägga varje extern anslutning, stänga det som saknar legitimt behov och bygga en kontrollerad fjärrmiljö kring de åtkomster som faktiskt krävs. Där börjar en säkrare och mer motståndskraftig drift.