Azpiegitura bat babestea zerk osatzen duen jakitearekin hasten da. Hala ere, aktiboen ikuspegi eguneratua mantentzea bereziki konplexua izan daiteke industria-sareetan eta SCADA sistemetan.

PLCak, kontrol-sistemak, instrumentazioa, IoT ekipamenduak eta konektatutako gailuak elkarrekin bizi daitezke ekipamenduen arteko komunikazioa aktiboak bezain garrantzitsua den inguruneetan.

Kasu hauetan, inbentario batek esan diezaguke zer konektatu behar den. Sareko trafikoak benetan gertatzen ari dena egiaztatzeko aukera ematen digu.

Hau da SAT-ICS-k eskaintzen duen gaitasunetako bat, CCN-CERT-en Abisu Goiztiarreko Sistemak, ingurune mota hauek monitorizatzeko diseinatua. Trafiko-analisi pasiboaren bidez, sistemak monitorizazioan parte hartzen duten aktiboak eta elkarren artean, beste sare batzuekin edo Internetekin mantentzen dituzten komunikazio-fluxuak identifikatu ditzake.

Inbentariotik Sarearen Benetako Ikuspegi batera

Desberdintasuna garrantzitsua da. Gailu jakin bat existitzen dela jakiteak ez du esan nahi norekin komunikatzen ari den, zer protokolo erabiltzen dituen edo bere portaera aldatu den jakitea.

SAT-ICS-ek pasiboki sortzen du monitorizatutako sareetako aktiboen eta haien konexioen mapa. Erakundeak informazio hau SAT atariaren bidez kontsulta dezake, non komunikazio normalak eta anomaloak bistaratzen diren, eta monitorizazioan zehar lortutako informazio gehigarria sartzen den.

Ikuspegi hau bereziki erabilgarria izan daiteke gertakari baten ikerketan. Komunikazio ustekabekoa gertatzen bada, taldeak testuingurua du zein aktibo dauden inplikatuta, nola erlazionatzen diren eta portaera hori sarearen funtzionamendu normalarekin bat datorren egiaztatzeko.

Monitorizazioa ez dago soilik eredu ezagunak identifikatzen dituzten arauen mende. SAT-ICS-ek sarearen portaera tipikoan oinarritutako detekzio mekanismoak eta industria-protokoloen trafikoaren ikuskapen sakoneko gaitasunak ere barne hartzen ditu.

Horri esker, eraso sinadura ezagun bati dagozkionak ez diren egoerei arreta jartzea, baina espero denetik aldentzen direnei. Aktiboen arteko komunikazio berriak, sistema batzuen erabilera ezohikoa edo ekintza arriskutsu potentzial bat aztertzeko moduko seinale bihur daitezke.

Azpiegitura mota honetan, anomalia erakundearen funtzionamendurako ezinbestekoak diren sistemekin erlazionatuta egon daiteke. Aktiboei, haien komunikazioei eta sarean gertatzen diren aldaketei buruzko informazioa izateak portaera ezohikoak identifikatzea errazten du.

Aplikazio-eremua zabala da eta hainbat sektoretako industria-azpiegiturak hartzen ditu barne, non zein aktibo dauden konektatuta eta elkarren artean nola erlazionatzen diren jakitea funtsezkoa den haien jarraipena hobetzeko.

Gure aktiboen ikusgarritasun beharrezkoa al dugu?

Tresna berriak kontuan hartu aurretik, merezi du babestu nahi ditugun sareak zein ondo ezagutzen ditugun egiaztatzea.

Galdera batzuek lagun dezakete:

• Sarean dauden aktiboen inbentario eguneratua al dugu?
• Badakigu zein gailuk komunikatzen diren elkarren artean aldizka?
• Badakigu zein konexio mantentzen dituzten beste sare batzuekin edo Internetekin?
• Lehen existitzen ez zen komunikazioaren agerpena detektatu al dezakegu?
• Portaera anomaloak identifikatzeko gaitasuna al dugu, eraso sinadura ezagun batekin bat ez badator ere?
• Gure sistemetan erabiltzen diren protokolo espezifikoak azter al ditzakegu?

Galdera hauetakoren bat erantzuteko zaila bada, arazoa ez dago soilik... eraso bat detektatzeko gaitasuna. Baliteke babesten ari den inguruneari buruzko aurretiko ezagutza falta egotea.

SAT-ICS-k, hain zuzen ere, inbentarioaren, aktiboen mapaketaren, komunikazioen analisiaren eta anomalien detekzioaren konbinazio hori eskaintzen du. Monitorizazioa modu pasiboan egiten da, trafikoaren kopia bat erabiliz, monitorizatutako prozesuan eragin gabe. Sistema nagusiaren kudeaketa, eguneratzea eta mantentzea CCN-CERT-en ardura dira.

Sarea hobeto ulertzeak ez du, berez, gertakari bat saihesten, baina arautik aldentzen denaren interpretazio testuinguruatuagoa ahalbidetzen du. Sistemen jarraitutasuna eta funtzionamendu egokia bereziki garrantzitsuak diren inguruneetan, informazio hori gertakari bat areagotu baino lehen izateak aldea eragin dezake.