top of page

Sökresultat

48 objekt hittat för ""

  • Nyhetsbrev OT-SĂ€kerhet #37

    Den hĂ€r gĂ„ngen avslöjar jag mitt nya jobb och letar efter nya kompisar som vill arbeta med OT-sĂ€kerhet tillsammans med mig, försöker komma ihĂ„g vad det Ă€r vi försöker skydda egentligen, funderar över hur man ska tĂ€nka kring riktigt extrema konsekvenser, tipsar om Ă„rets julklapp, tittar pĂ„ elektromagnetiska hot och en massa annat! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tipsa gĂ€rna om artiklar eller hĂ€ndelser som jag borde skriva om! Tack för hjĂ€lpen! Extrema konsekvenser? Hur ska man hantera risker med extremt allvarliga konsekvenser men som samtidigt Ă€r otroligt osannolika? Jag har varit inne lite pĂ„ detta tidigare, exempelvis i nyhetsbrev #24 och nyhetsbrev #26 nĂ€r jag skrev om CCE, "Consequence-driven, Cyber-informed Engineering". I CCE-metoden lĂ„ter man just konsekvenserna styra hur man arbetar med sĂ€kerhet. En av mina kĂ€pphĂ€star kring riskanalyser Ă€r fĂ€llorna kring att slentrianmĂ€ssigt anvĂ€nda enkla riskmatriser. Jag har tidigare skrivit om detta flera gĂ„nger och nyligen snubblade jag över ett forskningspapper kallat "The Risk of Using Risk Matrices". Det Ă€r skrivet med fokus pĂ„ olje- och gasindustrin men Ă€r extremt relevant för de flesta verksamheter. NĂ€r vi pratar om just extrema risker Ă€r ett tydligt problem det som man kallar "Range Compression", dvs att man tvingas klumpa ihop risker som egentligen har vĂ€ldigt olika karaktĂ€r pĂ„ grund av den skala man anvĂ€nder i sin matris. Om du Ă€r intresserad av den hĂ€r typen av utmaningar gav jag en del bra boktips i nyhetsbrev #16. SĂ€kerhetspodcasten pratade nyligen om Asymptotiska risker i avsnitt 211 och Ă€ven om det inte handlade om OT-risker sĂ„ Ă€r det vĂ€ldigt relevant för oss ocksĂ„. Lyssna gĂ€rna pĂ„ dem, det kommer mĂ„nga klokskaper dĂ€r! De hĂ€r resonemangen ligger ocksĂ„ nĂ€ra en av mina andra kĂ€pphĂ€star, nĂ€mligen att inte fokusera för mycket pĂ„ att enbart undvika problem. Man mĂ„ste balansera skyddet mot hĂ€ndelser med en tillrĂ€ckligt bra förmĂ„ga att upptĂ€cka och hantera de hĂ€ndelser som oundvikligen kommer intrĂ€ffa TROTS alla vĂ„ra fina skydd. DĂ€r kommer ju Ă€ven klassiska komponenter som katastrofplanering och krishantering in som viktiga delar för att kunna hantera allvarliga situationer utan att framstĂ„ som fullstĂ€ndigt inkompetent. MĂ„nga minns nog hur mycket beröm Norsk Hydro fick för sitt agerande under deras stora incident trots att de kanske inte var speciellt framstĂ„ende rent tekniskt. Lite beslĂ€ktat med detta Ă€r förstĂ„s risker som drabbar oss utifrĂ„n, exempelvis hĂ€ndelser i samhĂ€llet. MSB slĂ€ppte nyligen en samling riktigt intressant material kring hur företag kan tĂ€nka kring civil beredskap. Personligen kan jag tycka att det faktiskt finns en rejĂ€l nytta med att diskutera kring den hĂ€r typen av "svĂ„ra" risker eftersom lösningarna som kommer ur en sĂ„dan övning ofta Ă€r fantastiskt bra för att skapa tĂ„lighet mot alla typer av störningar! Lite som att seriöst planera för en zombie-attack kan ge nya idĂ©er för att hantera en "vanlig" pandemi eller upplopp pĂ„ stan. Under ny flagg! Som jag berĂ€ttade i förra nyhetsbrevet kommer jag byta arbetsgivare och nu kan jag avslöja vart jag tar vĂ€gen! FrĂ„n mitten av Januari kommer jag ingĂ„ i en rejĂ€l satsning pĂ„ OT-sĂ€kerhet pĂ„ AFRY. (Tidigare kanske mest kĂ€nt som ÅF i Sverige och Pöyry i Finland.) Jag kommer fortfarande vara tillgĂ€nglig för nya och gamla kunder som konsult och sĂ€kerhetsrĂ„dgivare en stor del av min tid. Nyhetsbrevet kommer jag fortsĂ€tta driva, precis som tidigare, helt i privat regi. Jag tar som alltid vĂ€ldigt gĂ€rna emot förslag till hur nyhetsbrevet kan bli bĂ€ttre. ( mats@ot-sakerhet.se ) Om du sjĂ€lv har nĂ„got du vill dela med dig av sĂ„ tar jag gĂ€rna in gĂ€st-skrivare! Det ska bli fantastiskt roligt att prova pĂ„ ett riktigt ingenjörsföretag med alla nya möjligheter som det ger kring OT-sĂ€kerhet! Speciellt ser jag fram emot att vara en del i "Greenfields-projekt", alltsĂ„ nĂ€r man bygger nya anlĂ€ggningar och dĂ€rmed kan "göra rĂ€tt" kring sĂ€kerheten frĂ„n början. En annan spĂ€nnande vinkel blir militĂ€ra OT-system som tillför en hel del nya roliga utmaningar. För mig egen del kommer det hĂ€r ge en rejĂ€l ny skjuts till min personliga utveckling tack vare alla nya kollegor med riktigt vassa kunskaper inom alla möjliga industriella verksamheter! Följ med! Nu finns det en fantastisk chans för fler att hoppa pĂ„ AFRY-tĂ„get redan frĂ„n start. Vi söker ett antal nya kollegor som vill fokusera pĂ„ OT-sĂ€kerhet i nĂ„gon form. Det kommer behövas bĂ„de vassa teknik-skills, folk som gillar ledningssystem, proffs pĂ„ industriell arkitektur eller nĂ„got annat omrĂ„de med nĂ„got slags anknytning till OT-sĂ€kerhet. Det spelar ingen roll var i landet du finns! Det finns en annons ute. Vad Ă€r det vi ska skydda egentligen? DNV slĂ€ppte tidigare i höstas dokumentet "Cyber security for power grid protection devices", som Ă€r en samling rekommendationer som tagits fram baserat pĂ„ forskning man gjort tillsammans med bland annat Svenska KraftnĂ€t. Dokumentet fick genast beröm frĂ„n lite olika hĂ„ll men ocksĂ„ viss kritik, den senare frĂ€mst i form av ett inlĂ€gg frĂ„n Joe Weiss. I rĂ€ttvisans namn ska det sĂ€gas att det inte bara kommer kritik frĂ„n Joe, han stjĂ€lper ocksĂ„ en stor skopa beröm över dokumentet för kopplingen till ISA/IEC 62443 och för att dokumentet fyller ett viktigt syfte i största allmĂ€nhet. Det Joe kritiserar Ă€r att dokumentet helt fokuserar pĂ„ att skydda systemen men inte tittar pĂ„ sĂ„rbarheter i sjĂ€lva kraftsystemet. (Det som brukar kallas nivĂ„ 0 och 1 enligt Purdue-modellen.) Det kan tyckas vara hĂ„rklyverier men det Ă€r nĂ„got som jag brukar gilla att pĂ„minna om ocksĂ„, nĂ€mligen att vĂ„ra sĂ€kerhetsĂ„tgĂ€rder Ă€r till för att skydda verksamheten - inte OT-systemen som verksamheten anvĂ€nder. Joe slĂ€ppte hĂ€romdagen ytterligare ett inlĂ€gg som belyser den stora mĂ€ngd styrsystem-relaterade olyckor och incidenter som finns dokumenterade runt om i vĂ€rlden. Det Ă€r alltsĂ„ hĂ€ndelser som direkt eller indirekt orsakats eller förvĂ€rrats av brister i styrsystem men som myndighetskrav frĂ„n organisationer som amerikanska TSA inte tar med i sitt scope. Riktigt intressant lĂ€sning! Man kan jĂ€mföra det med vanlig informationssĂ€kerhet dĂ€r ibland vi tenderar att fokusera lite för mycket pĂ„ datorerna och glömmer vad det Ă€r för nĂ„got vi försöker skydda egentligen. Jag tror personligen det finns en ytterligare koppling till just det exemplet eftersom min egen (och högst ovetenskapliga) spaning Ă€r att de som oftast tenderar att falla i den hĂ€r fĂ€llan kommer frĂ„n IT-sidan. Är man en "automations-mĂ€nniska" verkar det komma lite mer naturligt att tĂ€nka pĂ„ helheten. Kanske fördomsfullt frĂ„n min sida men jag tycker mig ha sett sĂ„dana tecken... Ordet "sĂ„rbarhet" betyder ocksĂ„ tvĂ„ helt olika saker beroende pĂ„ sammanhanget. Inom IT sĂ„ Ă€r det en rent teknisk term medan det i OT-vĂ€rlden avser vilken svaghet som helst som gĂ„r att utnyttja emot oss. Jag har sett samma missförstĂ„nd uppstĂ„ Ă€ven inom andra omrĂ„den, exempelvis inom sĂ€kerhetsskydd och inom olika typer av Safety-analyser. Annars tycker jag att DNVs dokument Ă€r vĂ€ldigt bra och definitivt förtjĂ€nar en genomlĂ€sning Ă€ven om man inte Ă€r i kraftindustrin! Det Ă€r förmodligen en av de bĂ€ttre introduktionerna jag sett till sĂ€kerhetsarbete inom OT, exempelvis har de ett vettigt exempel pĂ„ hur man kan bygga "Zones" och "Conduits". Rekommenderas! Jag ska ocksĂ„ passa pĂ„ att slĂ„ ett slag för en artikel av Ron Ross som talar om "glastaket" som vi slĂ„r i nĂ€r vi bara arbetar med sĂ€kerhet som ett tillĂ€gg till vĂ„ra system. Det Ă€r ju en viktig poĂ€ng med "Security by design" inom alla omrĂ„den men det blir lite extra tydligt och kraftfullt i vĂ„r OT-vĂ€rld! Vad vet du om elektromagnetiska hot? MSB har gett ut en riktigt bra webb-kurs kring elektromagnetiska hot! Det hĂ€r Ă€r ett omrĂ„de som ofta glöms bort i riskanalyser och sĂ€kerhetsarbete men som Ă€r bĂ„de relevant och intressant. Kursen har tre delar: Introduktion till EM-hotet - Som ger exempel pĂ„ hur hĂ€ndelser skulle kunna gĂ„ till och ger en introduktion till de vapen som kan vara aktuella. Incidenthantering, Rapportering och Skydd Risk- och SĂ„rbarhetsanalys kring EM-hot MSB har en massa bra resurser pĂ„ det hĂ€r omrĂ„det om man vill lĂ€ra sig Ă€nnu mer. Hur mĂ„nga svenskar blir vi pĂ„ S4x22? I januari Ă„terkommer det som vĂ€l mĂ„ste anses vara den mest kĂ€nda OT-sĂ€kerhetskonferensen i vĂ€rlden. S4x22 gĂ„r av stapeln 25:e - 27:e Januari med en utbildningsdag den 24:e. Det skulle ju vara vĂ€ldigt roligt om vi var en grupp svenskar som gjorde Miami South Beach osĂ€kert tillsammans! Utbildningsdagarna frĂ„n tidigare Ă„r finns numera att ta del av pĂ„ Youtube, OnRamp respektive Highway. Kan verkligen rekommendera dem! Den hĂ€r gĂ„ngen blir det "Autobahn", sĂ„ nu lĂ€r det vĂ€l bli Ă„ka av! Hör gĂ€rna av dig om du har planer pĂ„ att ta dig dit! mats@ot-sakerhet.se VĂ„r favorit har blivit befordrad! Allas vĂ„r favoritstandard ISA/IEC 62443 har blivit utnĂ€mnd till en "Horisontell standard"! Jaha? ...undrar du... Vad betyder det dĂ„? Ja, det undrade jag ocksĂ„! Tydligen Ă€r det en stor grej, det Ă€r en beteckning som utvalda standarder fĂ„r om de Ă€r anvĂ€ndbara inom ett vĂ€ldigt brett omrĂ„de, exempelvis mĂ„nga olika branscher. ISO 27001 Ă€r sedan tidigare en sĂ„dan. Om man lĂ€ser annonseringen sĂ„ Ă€r i alla fall ISA som utvecklar standarden vĂ€ldigt stolta över det hĂ€r och Ă€ven över en del annan uppmĂ€rksamhet som standarden fĂ„tt pĂ„ sistone. Bland annat har FN och NATO officiellt tagit upp den i olika sammanhang. Årtiondets sĂ„rbarhet? Det har varit svĂ„rt att missa super-sĂ„rbarheten Log4Shell i Apaches bibliotek Log4j och allt stĂ„hej som har varit kring den pĂ„ sista tiden. Tenable pĂ„pekar artigt att vi pĂ„ OT-sidan inte kan ignorera den heller och ger nĂ„gra goda rĂ„d. De har ju definitivt rĂ€tt i detta och som vanligt har man ju en extrem fördel om man har en uppdaterad bild av vilka hĂ„rd- och mjukvaror som faktiskt finns installerade i anlĂ€ggningen. Det hĂ€r Ă€r ju ocksĂ„ ett klockrent skolboksexempel pĂ„ varför det Ă€r sĂ„ viktigt att inte bara ha brandvĂ€ggsregler som begrĂ€nsar vad som fĂ„r ansluta till ett OT-nĂ€tverk utan Ă€ven hur OT-nĂ€tverket fĂ„r ansluta ut till omvĂ€rlden! Med tanke pĂ„ att det (ungefĂ€r som vanligt) har kommit flera uppdateringar som inte löste problemet fullt ut blir sitiationen vĂ€ldigt rörig. Den enda rekommendation jag kan ge Ă€r att anta att alla typer av produkter Ă€r pĂ„verkade och att noga bevaka de rekommendationer som respektive leverantör ger. Årets julklapp? En stark kandidat till Ă„rets julklapp mĂ„ste vara Pascal Ackermans bok "Industrial Cybersecurity" som kommit ut i en uppdaterad andra upplaga. Det Ă€r en rejĂ€l bok pĂ„ 800 sidor uppdelad i fem delar: Grunderna kring OT-sĂ€kerhet SĂ€kerhetsmonitorering Threat hunting SĂ€kerhetsgranskning Incidenthantering Som namnet hintar om Ă€r det hĂ€r en tekniskt inriktad bok. Är man istĂ€llet nyfiken pĂ„ riskanalyser utifrĂ„n verksamhetens perspektiv, utmaningar kring organisationsmodeller eller nĂ„gon annan "mjukare" frĂ„ga sĂ„ finns det andra böcker som fokuserar mer pĂ„ det. Jag har inte kommit sĂ„ lĂ„ngt i mitt lĂ€sande Ă€nnu sĂ„ jag ska inte komma med nĂ„got betyg Ă€nnu men sĂ„ hĂ€r lĂ„ngt verkar det vĂ€ldigt lovande och genomarbetat. Jag hör mĂ„nga positiva reaktioner frĂ„n andra som lĂ€st den, sĂ„ en försiktig rekommendation kan jag nog vĂ„ga mig pĂ„! Tips om event och mer lĂ€sning! MITRE slĂ€ppte nyligen en playbook kring hotmodellering för medicintekniska system. Förutom att vara superintressant för dig som jobbar med sĂ„dana system borde den ocksĂ„ kunna vara en bra introduktion till hotmodellering i största allmĂ€nhet, kanske i synnerhet för OT-folk med tanke pĂ„ att hoten indirekt Ă€r fysiska. Luftgap (alltsĂ„ att man inte har nĂ„gon nĂ€tverksanslutning till omvĂ€rlden) Ă€r en svĂ„r och omdiskuterad sĂ€kerhetsĂ„tgĂ€rd. ESET slĂ€ppte nyligen en studie över 17 familjer med skadlig kod som anvĂ€nder USB-enheter för att sprida sig Ă€ven i system utan nĂ€tverksanslutning. Det finns Ă€ven lite summerande information. EUs cybersĂ€kerhetsorganisation ENISA har slĂ€ppt en rapport kallad "Railway Cybersecurity - Good Practices in Cyber Risk Management" . Verkar (som vanligt nĂ€r det kommer frĂ„n ENISA) vara ett vettigt och kompakt dokument som ger stöd som Ă€r enkelt att omsĂ€tta i praktiken. Vi fĂ„r ett gĂ€ng exempelscenarier som beskriver attacker, konsekvenser, stakeholders, pĂ„verkade system och lĂ€mpliga Ă„tgĂ€rder. PĂ„ Ă„tgĂ€rdssidan refererar man till det ganska okĂ€nda NIS-dokumentet "Reference document on security measures for Operators of Essential Services" . (Som i sig inte Ă€r ett dumt dokument!) Ett intressant papper frĂ„n Dragos som tittar pĂ„ komplexiteten i OT-system och hur den kan hanteras i riskanalyser med speciellt fokus pĂ„ skydd mot ransomware. Vill du hacka industrirobotar? DĂ„ kan "Robot Hacking Manual" vara intressant för dig! Det Ă€r en enorm samling information som VĂ­ctor Mayoral-Vilches löpande sammanstĂ€ller och underhĂ„ller. Svenska KraftnĂ€t har publicerat en öppen hotbildsbeskrivning kopplad till elförsörjning. Mycket anvĂ€ndbart som input till riskanalyser om man Ă€r i den branschen men förmodligen riktigt nyttig i delar Ă€ven för helt andra verksamheter. En intressant artikel av Camille Singleton pĂ„ IBM X-Force om vad som Ă€r kĂ€nt kring angrepp mot OT-verksamheter. En ovanlig detalj Ă€r att de pekar pĂ„ vĂ„ra Historian-servrar som en viktig del i angrepp och försvar. De ger ocksĂ„ en radda handgripliga rekommendationer. CSA, Cybersecurity Agency of Singapore har slĂ€ppt en uppdaterad version av sitt ramverk för kompetenser kopplat till OT-sĂ€kerhet. VĂ€l vĂ€rd att ta inspiration av Ă€ven för oss i Sverige! Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #36

    Den hĂ€r gĂ„ngen blir det spĂ€nnande nyheter kring mig personligen och hur det kommer pĂ„verka nyhetsbrevet framöver. Du fĂ„r ocksĂ„ lite nyheter kring NIS2, jag funderar över tv-serien Hackad, lĂ€ser om NISTs nya syn pĂ„ tĂ„lighet, söker efter reskamrater och diskuterar konvergens mellan IT & OT! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket ocksĂ„ Ă€r anledningen till mina texter. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Nu fĂ„r vi NIS2! Eller? Kanske... Den 28:e oktober klubbade Europaparlamentets utskott ITRE igenom ett kompromissförslag för ett nytt och utökat NIS-direktiv med klar majoritet, 70 mot 3. I nĂ€sta steg ska detta, som jag tolkar det, vidare via Europeiska RĂ„det och sedan brukar lĂ€nderna fĂ„ 18 mĂ„nader pĂ„ sig att implementera. Det Ă€r Ă€nnu oklart nĂ€r vi kan förvĂ€nta oss ett slutgiltigt beslut men det hĂ€r steget har bedömts vara det viktigaste steget att passera pĂ„ vĂ€gen mot ett slutgiltigt direktiv. SĂ„ lĂ„ngt lĂ„ter det ju hoppfullt. MEN! NĂ€r jag pratar med personer som har mer insyn "bakom kulisserna" sĂ„ Ă€r tyvĂ€rr förhoppningarna om ett snabbt och slutgiltigt beslut betydligt svagare. En realistisk gissning verkar snarare vara mot slutet av vĂ„ren 2022. Vi fĂ„r se hur det gĂ„r... JĂ€mfört med det nuvarande NIS-direktivet har NIS2 en lĂ„ng rad utökningar bĂ„de i krav men kanske framför allt i vilka branscher som omfattas. Jag har skrivit om detta tidigare, senast i nyhetsbrev #32. Efter en snabb genomlĂ€sning av kompromissdokumentet sĂ„g jag ingenting som innebĂ€r nĂ„gon enorm skillnad mot de Ă€ndringsförslag som jag diskuterat hĂ€r tidigare. Det som var intressant var bland annat: Organisationer som sysslar med laddning av elfordon Ă€r inkluderade. Nationella CSIRT-organisationer ska utveckla en rad operativa tekniska förmĂ„gor som realtidsövervakning och filtrering av nĂ€tverk. Man har av nĂ„gon anledning lagt till extremt mycket tydlighet pĂ„ att OT ska vara inkluderat i samband med hantering av supplychain-risker. Bra, men varför bara just dĂ€r? Man tydliggör att bearbetning av personlig information som krĂ€vs för att uppfylla kraven enligt NIS2 Ă€r att betrakta som ett lagkrav. Man har tagit bort kravet att rapportera förĂ€ndringar i hotnivĂ„n till myndigheterna utan fokuserar istĂ€llet enbart pĂ„ faktiska incidenter. Rapporteringen ska nu ske inom 24 timmar. Tydliggör att tillsynsmyndigheterna har rĂ€tt att utföra eller bestĂ€lla sĂ€kerhetsgranskningar som bekostas av den granskade organisationen! Sanktionsmöjligheterna Ă€r fortsatt begrĂ€nsade till det högsta av 10 MEUR eller 2% av global omsĂ€ttning. För "Essential Services" kan man dessutom tillfĂ€lligt "plocka bort" enskilda personer i organisationens ledning, exempelvis VD, om de inte driver sĂ€kerhetsarbetet pĂ„ ett sĂ€tt som myndigheten gillar. Man trycker pĂ„ att EUs cybersĂ€kerhetsorganisation ENISA fĂ„r nya uppgifter vilket kommer förutsĂ€tta att de fĂ„r mer resurser. Man kan förstĂ„s ha en massa Ă„sikter om den hĂ€r typen av kravstĂ€llningar frĂ„n samhĂ€llet, bĂ„de i allmĂ€nhet och om de hĂ€r specifika kraven. Personligen sĂ„ Ă€r jag (numera) oerhört positiv, Ă€ven om jag förstĂ„s egentligen tycker det Ă€r synd att det ska behövas. Efter att ha sett den stora pĂ„verkan det nuvarande NIS-direktivet faktiskt har börjat fĂ„ pĂ„ mĂ„nga aningslösa verksamheter kĂ€nns det som ett vettigt sĂ€tt att flytta fram skamgrĂ€nsen för vad som Ă€r vĂ€rt att kallas sĂ€kerhetsarbete. I Sverige har vi möjligen inte sett sĂ„ stora skillnader Ă€nnu jĂ€mfört med flera andra lĂ€nder, dĂ€r det Ă€r mycket större skillnad mot tidigare. Störst skillnad i aktivitet bland svenska organisationer har jag personligen tyckt mig se frĂ„n landets vattenverk, sĂ„ en rejĂ€l tumme upp för det gĂ„r vĂ€l till Livsmedelsverket dĂ„ antar jag? Lugn! Nyhetsbrevet kommer finnas kvar! Nu kan jag officiellt berĂ€tta att jag kommer byta arbetsgivare i Januari. Men var lugn, tanken Ă€r att bytet inte ska pĂ„verka nyhetsbrevet överhuvudtaget! Vill ni nĂ„ mig sĂ„ gĂ€ller mats@ot-sakerhet.se frĂ„n och med nu. Precis pĂ„ samma sĂ€tt som tidigare kommer jag driva nyhetsbrevet helt privat och Ă€ven i fortsĂ€ttningen med min arbetsgivares goda minne. Jag vill pĂ„minna om att jag verkligen försöker undvika att "smygsĂ€lja" hĂ€r, det Ă€r inte avsikten med det hĂ€r initiativet Ă€ven om jag inser att hanterar en svĂ„r balans emellanĂ„t - speciellt nĂ€r jag skriver om produkter. Vart jag tar vĂ€gen och vad jag kommer göra dĂ€r fĂ„r du lĂ€sa om i nĂ€sta nyhetsbrev. För gamla och nya kunder kommer jag fortsĂ€tta vara tillgĂ€nglig som sĂ€kerhetsrĂ„dgivare och konsult. Det kommer bli roligt och spĂ€nnande! Vad kan "Hackad" lĂ€ra folk om OT-sĂ€kerhet? Precis som alla andra i sĂ€kerhets-branschen har jag fĂ„tt en hel del frĂ„gor kring SVTs serie "Hackad" frĂ„n bĂ„de sĂ€kerhetsfolk och "vanliga" :-) mĂ€nniskor. Först och frĂ€mst mĂ„ste jag sĂ€lla mig till hyllningskören. Det Ă€r en riktigt bra serie som lyckats fĂ„ folk (och organisationer) som inte brytt sig tidigare att börja fundera över sin sĂ€kerhet. Har du inte sett serien sĂ„ gör det! Visst Ă€r handlingen vĂ€ldigt forcerad tidsmĂ€ssigt och visst Ă€r det lite skruvat för att bli "bra TV" men jag tycker det blev mycket bĂ€ttre Ă€n jag befarade. Riktigt starkt av de frivilliga offren att stĂ€lla upp som de gjorde, guldstjĂ€rna till dem allihop! Och vĂ„ra superhjĂ€ltar hackarna ska förstĂ„s ha massor av beröm ocksĂ„, snyggt jobbat och dessutom kul tack vare en underhĂ„llande klippning. Jag kan verkligen rekommendera avsnitt 212 och 213 av podden "SĂ€kerhetspodcasten" som kör "behind the scenes" frĂ„n inspelningen. Nu var det ju tyvĂ€rr ingen koppling till OT-sĂ€kerhet med i nĂ„got av avsnitten. Det nĂ€rmaste vi kom var vĂ€l "det högautomatiserade hemmet" och visst var det nĂ„got "PLC-liknande" hos bostadsbolaget? Men med lite tur fĂ„r vi en sĂ€song till och dĂ„ kanske det kan bli lite OT ocksĂ„? Det skulle ju vara roligt! :-) Jag har inte helt klart för mig vad som skulle passa i ett OT-avsnitt, men ett vattenverk skulle ju kunna vara TV-mĂ€ssigt? Eller kanske en fabrik för toalettpapper? TvĂ„ saker som engagerar folk om det tar slut... FrĂ„gan Ă€r om det finns nĂ„gon sĂ€kerhetsansvarig pĂ„ en sĂ„dan anlĂ€ggning som Ă€r modig nog att bli hackad i TV? Vill man dra lite slutsatser för OT frĂ„n första sĂ€songen sĂ„ Ă€r det vĂ€l framför allt en radda klassiska sanningar som gĂ€ller inom bĂ„de IT-sĂ€kerhet och OT-sĂ€kerhet: NĂ€r en angripare fĂ„r fysisk Ă„tkomst till dina system eller ditt nĂ€t Ă€r det oftast game-over. Det gĂ€ller ju definitivt för de flesta OT-system. Lösenord och hashar tenderar att kunna bli liggande lite hĂ€r och dĂ€r i systemen av olika skĂ€l. Mycket anvĂ€ndbart för den som rĂ„kar hitta dem. Medvetenhet och kunskap hos alla i organisationen Ă€r helt avgörande för att dina sĂ€kerhetsĂ„tgĂ€rder kommer tillföra nĂ„gonting i praktiken. En sĂ€kerhetsmedveten person i receptionen kan rĂ€dda dagen Ă€ven om det finns brister i den tekniska sĂ€kerheten! Som angripare behöver man inte ha sĂ„ mycket tid pĂ„ sig om man inte bryr sig om att bli upptĂ€ckt. Har man Ă„ andra sidan mer tid kommer man nĂ€stan alltid lyckas. Hör gĂ€rna av dig om du har fler tankar kring detta! mats@ot-sakerhet.se Hur mĂ„nga svenskar blir vi pĂ„ S4x22? I januari Ă„terkommer det som vĂ€l mĂ„ste anses vara den mest kĂ€nda OT-sĂ€kerhetskonferensen i vĂ€rlden. S4x22 gĂ„r av stapeln 25:e - 27:e Januari med en utbildningsdag den 24:e. Det skulle ju vara vĂ€ldigt roligt om vi var en grupp svenskar som gjorde Miami South Beach osĂ€kert tillsammans! Utbildningsdagarna frĂ„n tidigare Ă„r finns numera att ta del av pĂ„ Youtube, OnRamp respektive Highway. Kan verkligen rekommendera dem! Den hĂ€r gĂ„ngen blir det "Autobahn", sĂ„ nu lĂ€r det vĂ€l bli Ă„ka av! Hör gĂ€rna av dig om du har planer pĂ„ att ta dig dit! mats@ot-sakerhet.se Fnys inte Ă„t konvergensen! NĂ„got som ofta dyker upp Ă€r "IT-OT Convergence", alltsĂ„ tendensen att IT och OT nĂ€rmar sig varandra. Det hĂ€r gĂ€ller inte bara tekniken utan Ă€r nĂ€stan Ă€nnu mer tydligt i hur ansvar utdelas och hur organisationsstrukturer Ă€ndras. Jag trĂ€ffar allt fler IT-chefer som fĂ„tt OT och dĂ€rmed OT-sĂ€kerhet i knĂ€t. PĂ„ samma sĂ€tt lyfts OT upp mĂ„nga organisationer och fĂ„r den uppmĂ€rksamhet som det förtjĂ€nar med tanke pĂ„ hur avgörande det Ă€r för verksamheten. Ibland anvĂ€nds begreppet "Industri 4.0" lite felaktigt för det hĂ€r men oavsett vad vi kallar det sĂ„ Ă€r det precis samma digitaliseringsresa som vi ser i samhĂ€llet i övrigt - det finns en massa information "dolt" i OT-systemen som skapar en enorm nytta om vi har tillgĂ„ng till den utanför OT-systemen. I en ny artikel frĂ„n Security Magazine lĂ€ste jag en radda ovanligt bra tankar kring det hĂ€r. (Det kan vara sĂ„ att jag gillar dem eftersom de liknar det jag brukar ta upp nĂ€r jag Ă€r ute och predikar kring OT-sĂ€kerhet.) Saker som att: IT och OT har vĂ€ldigt olika prioriteringar sĂ„ vi behöver kunna kommunicera dem för att kunna hitta kompromisser som blir bra för bĂ„da vĂ€rldarna. Vi behöver förstĂ„ att vare sig IT eller OT Ă€r "bĂ€ttre" och vi ska inte sikta pĂ„ att stoppa in tĂ€nket frĂ„n den ena i den andras vĂ€rld. Initiativ kring OT-sĂ€kerhet behöver ta samma helhetsgrepp som IT Ă€r vana att göra. Vi kan inte fortsĂ€tta skydda oss system för system. VĂ„rt systematiska riskarbete behöver omfatta bĂ„da vĂ€rldarna tillsammans om vi ska lyckas utan att skapa enorma kostnader och dolda risker. ISO 27001 + ISA 62443 = SANT! Den 19:e oktober gick ISAs "Cybersecurity Standards Implementation Virtual Conference" av stapeln. Namnet Ă€r ganska sjĂ€lvförklarande och det fanns en hel del intressanta presentationer att ta del av. En av favoriterna var Pierre Kobes som presenterade "Applying ISO/IEC 27001/2 and the ISA/IEC 62443 series for Operational Technology Environments". Det hĂ€r Ă€r en av mina kĂ€pphĂ€star för alla typer av OT-verksamheter: "Försök inte göra vĂ„ld pĂ„ ditt ledningssystem för informationssĂ€kerhet, ofta baserat pĂ„ ISO 27000, för att fĂ„ det att fungera för dina OT-funktioner. Kombinera det du har med valda delar av ISA 62443 istĂ€llet sĂ„ blir det mycket bĂ€ttre". Pierres presentation Ă€r kopplad till ett white-paper som ISA gav ut nyligen, som Ă€r lĂ€svĂ€rt! Pierre gĂ„r igenom materialet pĂ„ ett pedagogiskt sĂ€tt och pekar speciellt pĂ„ de delar dĂ€r det kan upplevas som att 27000 och 62443 sĂ€ger emot varandra. Jag tror att det gĂ„r bra att registrera sig i efterhand till konferensen för att fĂ„ tillgĂ„ng till presentationerna. Det Ă€r vĂ€rt det om det sĂ„ bara Ă€r för Pierres presentation. Jag ser tyvĂ€rr att mĂ„nga av mina kunder tidigare har gjort mer eller mindre ambitiösa egna försök att fĂ„ sina ledningssystem och regelverk baserade pĂ„ 27000 att fungera Ă€ven för sina OT-system (utan att anvĂ€nda 62443). Än sĂ„ lĂ€nge har jag inte trĂ€ffat pĂ„ en enda som faktiskt lyckats... Jag tror att en kombination av de tvĂ„ standarderna Ă€r nödvĂ€ndig för att komma i mĂ„l pĂ„ ett bra sĂ€tt. NIST Ă€r tĂ„ligt! Jag har tidigare skrivit om dokument frĂ„n NIST, framför allt i Nyhetsbrev #28 dĂ€r jag gick igenom "NIST Cybersecurity Framework", "NIST Special Publication 800-53" och "NIST SP 800-82". I förra nyhetsbrevet var det dags för NIST SP 1800-10. Den hĂ€r gĂ„ngen pekar jag pĂ„ ett utkast till en revision av SP 800-160 Vol. 2, "Developing Cyber-Resilient Systems: A Systems Security Engineering Approach". Det handlar alltsĂ„ om tĂ„lighet, om hur vi bygger system och verksamheter som tĂ„l störningar och angrepp. Fokuset Ă€r pĂ„ att hantera angrepp och de listar fyra övergripande mĂ„l: Att FÖRUTSE vad som kan hĂ€nda och göra omfallsplanering utifrĂ„n det. Att MOTSTÅ störningarna som ett angrepp skapar sĂ„ att verksamheten kan fortsĂ€tta. Att ÅTERSTÄLLA verksamheten och dess funktioner efter ett angrepp. Stort fokus pĂ„ att förstĂ„ vilket förtroende man kan ha för den Ă„terstĂ€llda funktionen. Att ANPASSA sina förmĂ„gor över tid sĂ„ att förĂ€ndringar i omvĂ€rld och förutsĂ€ttningar hanteras pĂ„ ett bra sĂ€tt. Det Ă€r ett omfattande dokument som Ă€r skrivet pĂ„ ett ganska akademiskt sĂ€tt vilket kan kĂ€nnas lite tungt. Men det Ă€r vĂ€rt att lĂ€sas. Inte minst för att det kĂ€nns komplett och dĂ€rför ocksĂ„ tar upp möjligheter som man kanske normalt inte tĂ€nker pĂ„. HĂ€r Ă€r exempelvis de 14 tekniker man tar upp som anvĂ€ndbara: En del klassiska som segmentering, behörighetsstyrning och redundans men ocksĂ„ spĂ€nnande omrĂ„den som att agera oförutsĂ€gbart, att ha falska system eller med flit blanda olika typer av tekniker. Det hĂ€r dokumentet Ă€r inte specifikt för OT men man diskuterar vad som typiskt Ă€r viktigt för OT och det Ă€r inte pĂ„ nĂ„got vis ett "IT-dokument". Även om man inte tar till sig alla delar av metodiken tycker jag att valda delar vara riktigt bra som inspiration nĂ€r man gör riskanalyser, systemdesign eller utformar sina verksamhetsprocesser. Rekommenderas! Tips om event och mer lĂ€sning! MSBs finfina dokument "Den robusta sjukhusbyggnaden" som gavs ut i Augusti innehĂ„ller massor av godis som inte bara Ă€r intressant för sjukvĂ„rden. Har du verksamhet som Ă€r beroende av en robust driftsĂ€kerhet kan du fĂ„ massor av inspiration och information kring elförsörjning, skydd mot farliga Ă€mnen, brandskydd, vĂ€rmeförsörjning, ventilation och fysiskt skydd. Det Ă€r ett stadigt dokument pĂ„ 450 sidor som verkligen ger handgripliga rĂ„d. Det har redan börjat dyka upp intressanta kunduppdrag som utgĂ„r frĂ„n klokskaper i dokumentet vilket ger en vĂ€ldigt bra utgĂ„ngspunkt i kravstĂ€llningsarbetet. Per Erik Strandberg har i sin doktorsavhandling pĂ„ MĂ€lardalens Högskola fokuserat pĂ„ testning av mjukvaran i nĂ€tverksanslutna inbyggda system. Jag ska inte försöka ge mig pĂ„ att göra nĂ„gon egen sammanfattning hĂ€r utan rekommenderar en genomlĂ€sning om du Ă€r det minsta intresserad av utveckling, testning och testverktyg med koppling till industriella system och nĂ€tverk. I samarbete med vĂ€lkĂ€nda svenska företaget Westermo (som tillverkar nĂ€tverksutrustning) har han tittat pĂ„ utmaningar och möjligheter till förbĂ€ttringar i det hĂ€r spĂ€nnande omrĂ„det. VĂ€nnerna pĂ„ TDI Technologies har gjort en enkel men vettig mognadsmodell för det viktiga och kluriga omrĂ„det fjĂ€rranslutning. Om inte annat sĂ„ Ă€r det ett bra material att diskutera kring eftersom det hjĂ€lper till att sĂ€tta olika angreppssĂ€tt i relation till varandra. Deras produkt ConsoleWorks Ă€r inte sĂ„ dum den heller... En kort liten text frĂ„n ISA om skillnaderna mellan Arkitektur och Design som pekar pĂ„ varför det Ă€r viktigt att inte förvĂ€xla dem! ...sĂ€rskilt inte inom OT! Nozomi har ett helt gĂ€ng artiklar kring hur deras sĂ„rbarhetsforskare tar isĂ€r bĂ„de hĂ„rdvaror, applikationer och nĂ€tverksprotokoll med koppling till OT. Ett par exempel Ă€r "Extract Firmware from OT Devices for Vulnerability Research" och "The Clever Use of Postdissectors to Analyze Layer 2 Protocols" . Rekommenderas! Clarotys forskargrupp "Team82" raddar verkligen upp brutala sĂ„rbarhetsrapporter nu. Den hĂ€r gĂ„ngen Ă€r det en genomgĂ„ng av Busybox. Busybox Ă€r en samling Linux-baserade funktioner som ofta anvĂ€nds i system med begrĂ€nsade resurser, vilket inte Ă€r helt ovanligt kring OT och IoT. 40% av de cirka 10000 firmware-filer som granskades innehöll sĂ„rbara Busybox-funktioner! Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #35

    Den hĂ€r gĂ„ngen skriver jag om tvĂ„ nya delar i standarden ISA 62443, acceptabla dödssiffror, personliga tankar kring sĂ€kerhetskultur, nyheter frĂ„n NIST, cybersĂ€kerhet i kĂ€rnkraftsbranschen, farliga backuper och smartare segmentering! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket ocksĂ„ Ă€r anledningen till mina texter. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! En ny del i ISA 62443! En sprillans ny del i 62443-standarden Ă€r pĂ„ vĂ€g att spikas. Det Ă€r "ISA-62443-2‑2: IACS Security Protection" som Ă€r ute pĂ„ sin andra remissrunda. Det Ă€r fritt fram för alla med tillgĂ„ng till arbetsmaterial frĂ„n ISA99 att komma med kommentarer fram till slutet av November. Den hĂ€r delen ger ledning kring hur man skapar, mĂ€ter och validerar nĂ„got som man valt att kalla "SPS, Security Protection Scheme". En SPS Ă€r helt enkelt en bild av det totala skyddet, alltsĂ„ kombinationen av de stödprocesser som kommer frĂ„n del 2-1 av standarden och de tekniska skydden (inklusive segmenteringen i "Zones and Conduits") frĂ„n del 3-2. Det viktigaste som vi fĂ„r i del 2-2 Ă€r ett (nĂ„gorlunda) entydigt sĂ€tt att mĂ€ta hur vĂ€l vi i verkligheten implementerat de skyddsĂ„tgĂ€rder som tagits fram. Det Ă€r anvĂ€ndbart bĂ„de som en del av SAT inför driftsĂ€ttningen men ocksĂ„ regelbundet för att följa upp att utvecklingen gĂ„r Ă„t rĂ€tt hĂ„ll. Personligen kan jag vĂ€l tycka att 2-2 (precis som de flesta andra delar i standarden) Ă€r nĂ„got i överkant vad gĂ€ller komplexitet och detaljeringsgrad kring hur man ska göra. Att inte kunna se skogen för alla trĂ€d Ă€r ett talessĂ€tt som kĂ€nns lĂ€mpligt i sammanhanget... Men syftet Ă€r bĂ„de viktigt och bra; det Ă€r lĂ€tt att man bestĂ€mmer och utformar en massa bra skydd som man sedan inte riktigt lyckas implementera fullt ut. HĂ€r fĂ„r man stöd att hĂ„lla ögonen pĂ„ bollen Ă€ven över tid... PĂ„ det hela taget kĂ€nns det hĂ€r som en viktig pusselbit som saknats tidigare. Det ska bli spĂ€nnande att se de första organisationerna börja implementera den! ...och en till! Det Ă€r faktiskt en draft till som Ă€r kopplad till 62443 ute pĂ„ remiss just nu. Det Ă€r "62443-1-5, Scheme for IEC 62443 cyber security profiles" som Ă€r ute pĂ„ sin första runda. Förutom att det Ă€r ett nytt dokument sĂ„ Ă€r det ocksĂ„ det första tecknet pĂ„ en kommande ny serie av dokument, serie 5. Tidigare har standarden haft fyra serier och sett ut ungefĂ€r som pĂ„ bilden. Serie 1 Ă€r allmĂ€nna delar, serie 2 fokuserar pĂ„ administrativa processer, serie 3 Ă€r teknik och serie 4 gĂ€ller de som tillverkar OT-komponenter. Nu kommer vi sĂ„ smĂ„ningom fĂ„ en femte serie dĂ€r nĂ„got som kallas profiler ska finnas. Profiler Ă€r enkelt uttryckt anpassningar av en eller flera delar av standarden till specifika behov för en viss bransch eller ett visst syfte. Det nya dokumentet "62443-1-5" beskriver hur man tar fram dessa profiler. En profil Ă€r inte tĂ€nkt att tillföra nĂ„gra nya krav utan ska enbart peka ut vilka krav som Ă€r relevanta och vilka miniminivĂ„er som ska uppnĂ„s. Det hĂ€r tror jag kan underlĂ€tta införandet av standarden i mĂ„nga typer av organisationer. Hur vĂ€l det kommer fungera Ă€r svĂ„rt att bedöma baserat pĂ„ dokumentet sĂ„ vi fĂ„r vĂ€nta tills de första profilerna börjar dyka upp. Vad kan sĂ€kerhet lĂ€ra av sĂ€kerhet? En vanlig frĂ„ga jag brukar fĂ„ Ă€r om det Ă€r bĂ€ttre att försöka lĂ€ra IT-sĂ€kerhetsfolk att förstĂ„ OT-vĂ€rlden eller att uppfostra OT-folk i IT-sĂ€kerhet. Mitt första svar brukar vara att det beror mer pĂ„ individen Ă€r dess utbildning. Men jag har pĂ„ senare tid insett att det finns ett annat svar ocksĂ„... Som jag tror jag egentligen gillar bĂ€ttre... Det viktigaste Ă€r nog att man arbetat nĂ€ra nĂ„gon form av produktion - helt oavsett vad man haft för jobb. Och dĂ„ menar jag fysiskt nĂ€ra, sĂ„ att man har fĂ„tt lĂ€ra sig det lite speciella grundtĂ€nket och kĂ€nslan som finns i verksamheter dĂ€r saker kan hĂ€nda som kan vara farliga för dig sjĂ€lv, för utrustningen eller för dina kollegor. DĂ€r det Ă€r viktigt att jobba med sĂ€kerhetskultur av andra skĂ€l Ă€n att folk inte ska klicka pĂ„ spam-lĂ€nkar. DĂ€r sĂ€kerhet handlar om att maskiner inte ska gĂ„ sönder, folk inte ska bli skadade och miljön inte ska ta stryk. Kanske man lĂ€rt sig förstĂ„ eller praktiskt anvĂ€nda mystiska begrepp som "HuP-verktyg", "TAK-mĂ€tning", "kompiskoll", "FAT/SAT", "stĂ€lltider", "Poka-Yoke" eller "takt". Man förstĂ„r instinktivt de vĂ€ldigt annorlunda förutsĂ€ttningarna som (nĂ€stan) alltid rĂ„der jĂ€mfört med IT-sĂ€kerhet och informationssĂ€kerhet. DĂ€r nĂ€stan allt man gör pĂ„ ett eller annat (indirekt) sĂ€tt har med sĂ€kerhet i nĂ„gon form att göra. Fast dĂ„ Ă€r det ju traditionellt inte OT-sĂ€kerhet som stĂ„tt i fokus utan det mer traditionella arbetet med skydd mot personskador och miljöpĂ„verkan. Viktiga frĂ„gor utan tvekan men jag ser tyvĂ€rr fortfarande att man missar OT-aspekter i dessa riskanalyser. Jag tror det hĂ€r Ă€r vĂ€gen in för OT-sĂ€kerhet pĂ„ de platser dĂ€r den fortfarande inte Ă€r en naturlig del i det övergripande sĂ€kerhetsarbetet. Jag provocerar sĂ€kert en och annan med detta men jag tror att de flesta kan lĂ€ra sig segmentera nĂ€tverk eller programmera PLCer efter nĂ„gra vĂ€l valda kurser och lite övning. Att ta till sig en sĂ€kerhetskultur som passar i typiska OT-miljöer tar tid och praktisk erfarenhet... HĂ€r vet jag att det kommer finnas mĂ„nga Ă„sikter och förmodligen mĂ„nga som inte hĂ„ller med mig. Hör gĂ€rna av dig eller kommentera den hĂ€r utgĂ„van pĂ„ LinkedIn. Jag vill uppriktigt förstĂ„ fler synvinklar och erfarenheter! NIST ger oss ett facit! Jag har tidigare skrivit om dokument frĂ„n NIST, framför allt i Nyhetsbrev #28 dĂ€r jag gick igenom "NIST Cybersecurity Framework", "NIST Special Publication 800-53" och "NIST SP 800-82". Nu har NIST slĂ€ppt en draft av ett nytt dokument i 1800-serien som har det smidiga namnet "NIST 1800-10 Protecting Information and System Integrity in Industrial Control System Environments: Cybersecurity for the Manufacturing Sector". Om du inte kĂ€nner till 1800-serien sĂ„ Ă€r det en samling dokument som Ă€r tĂ€nkta att vara "how-tos", alltsĂ„ handfasta och praktiska rekommendationer kring hur man hanterar olika kniviga Ă€mnen - i det hĂ€r fallet OT-sĂ€kerhet för tillverkande industri. Det som Ă€r lite speciellt Ă€r att man gör det i samarbete med ett antal tillverkare och anvĂ€nder deras produkter rĂ€tt av som exempel pĂ„ hur man kan göra. För min egen del hade jag inte koll pĂ„ Dispel och GreenTec sedan tidigare men i övrigt Ă€r det idel vĂ€lkĂ€nda namn som medverkar. Vissa har förekommit i nyhetsbrevet tidigare, exempelvis ConsoleWorks frĂ„n TDI Technologies som var med redan i nyhetsbrev #18! Det hĂ€r Ă€r ett massivt dokument pĂ„ drygt 300 sidor, uppdelat i tre delar. Det huvudsakliga innehĂ„llet beskriver hur man implementerar funktioner frĂ„n "NIST CSF" med hjĂ€lp av dessa produkter. Som synes Ă€r det vĂ€ldigt olika produkter: SĂ€kerhetsfokuserade produkter som applikationskontroll i Carbon Black, sĂ„rbarhetshantering i Tenable.ot eller styrsystem-nĂ€ra sĂ€kerhet i Dragos och Azure Defender FjĂ€rrĂ„tkomst pĂ„ ett sĂ€kert sĂ€tt via ConsoleWorks Generella historian-funktioner mm via OsiSoft PI Server. Tillsammans kokar de en ganska heltĂ€ckande soppa som bör gĂ„ alldeles utmĂ€rkt att utnyttja Ă€ven om man inte anvĂ€nder just de hĂ€r produkterna. I grunden Ă€r det ett ganska bra sĂ€tt att tĂ€nka brett genom att utgĂ„ frĂ„n CSF. Jag kallade skĂ€mtsamt dokumentet för ett facit i rubriken, men man ska nog hellre se det som en receptsamling. Man kan byta ut de ingredienser som man saknar mot andra som man redan har hemma i skafferiet. Men det hjĂ€lper förstĂ„s ocksĂ„ till att sĂ€tta ljuset pĂ„ eventuella hĂ„l i det egna sĂ€kerhetsarbetet. Personligen ser jag vĂ€ldigt ofta en stark slagsida mot preventiva skyddsĂ„tgĂ€rder. En av mina favoritdelar i CSF Ă€r de fem grundlĂ€ggande delarna, "Identify", "Protect", "Detect", "Respond" och "Recover". NĂ€r man diskuterar utifrĂ„n dessa blir det ofta vĂ€ldigt tydligt att alltför mycket tid och pengar Ă€gnas Ă„t "Protect" medan de övriga fĂ„r betydligt mindre att dela pĂ„. Slarvar man med "Identify" blir alla de andra delarna (inklusive "Protect") betydligt mindre effektiva. Missar man nĂ„gon av delarna i trojkan "Detect", "Respond" och "Recover" blir man vĂ€ldigt sĂ„rbar om det hĂ„rda skalet man försöker skapa via "Protect" skulle brista. Hur mĂ„nga ska dö det hĂ€r Ă„rtusendet? Sinclair Koelemij ger oss första delen i en serie blogginlĂ€gg om komplexa riskanalyser i sammanhang dĂ€r det stĂ€lls detaljerade krav frĂ„n samhĂ€llet. Det kan vara saker som hur ofta ett visst antal mĂ€nniskor "fĂ„r" dödas i olyckor. En speciellt intressant del av den hĂ€r typen av riskbedömningar Ă€r att kraven frĂ„n samhĂ€llet innehĂ„ller sannolikheter (eller egentligen frekvenser, hur ofta fĂ„r det hĂ€nda en dödlig hĂ€ndelse) eftersom kraven traditionellt Ă€r utformade för slumpmĂ€ssiga hĂ€ndelser som jordbĂ€vningar, utrustningsfel eller översvĂ€mningar. Men nĂ€r vi pratar om angrepp frĂ„n mĂ€nniskor försöker vi oftast undvika att prata om just sannolikheter eftersom det blir nĂ€st intill omöjligt att definiera hur ofta en mĂ„linriktad angripare lyckas. Hur hanterar man den hĂ€r skillnaden pĂ„ ett bra sĂ€tt i sitt riskarbete? Om verksamheten sedan ska hanteras enligt det svenska sĂ€kerhetsskyddet dĂ€r man frĂ„n myndigheterna uttryckligen sĂ€ger att man inte ska ta hĂ€nsyn till sannolikheter utan enbart gĂ„ pĂ„ konsekvenser, dĂ„ gĂ€ller det att hĂ„lla tungan rĂ€tt i munnen! Om du har funderat över begrep som SIS, SIL och SIF fĂ„r du hĂ€r en genomgĂ„ng med ett tydligt exempel. Vi fĂ„r lite diskussioner kring skillnaden mellan attacker mot "vanliga" styrsystem gentemot attacker mot skyddssystemen, de sĂ„ kallade SIS-systemen (dĂ€r TRISIS/TRITON Ă€r det, Ă€n sĂ„ lĂ€nge, mest kĂ€nda exemplet). Kort sagt - lĂ€s den! IAEA levererar igen! Internationella Atomenergiorganisationen IAEA har levererat ett nytt dokument! "IAEA Nuclear Security Series No. 42-G - Computer Security for Nuclear Security". IAEA Ă€r en organisation med nĂ€ra band till FN, den rapporterar till FNs sĂ€kerhetsrĂ„d och till dess general-församling. Uppdraget Ă€r att verka för fredlig anvĂ€ndning av kĂ€rnteknik och samtidigt motverka farlig eller aggressiv anvĂ€ndning. Jag Ă€r ju sjĂ€lv "uppvuxen" i kĂ€rnkraftsbranschen och mĂ„ste sĂ€ga att jag gillar de flesta av IAEAs dokument inom mĂ„nga omrĂ„den. Det hĂ€r dokumentet Ă€r bara 86 sidor och Ă€r inte speciellt inriktat pĂ„ OT utan har ocksĂ„ ett stort fokus pĂ„ att skydda kĂ€nslig information och pĂ„ fysiskt skydd av kĂ€nsliga anlĂ€ggningar. Det Ă€r faktiskt inte skrivet för enskilda organisationer utan har stater som sin publik! Trots detta kan det vara en bra inspiration för hur man kan driva sitt sĂ€kerhetsarbete som enskild organisation, kanske i synnerhet om man har en verksamhet som Ă€r av det mer kĂ€nsliga slaget. Ett viktigt koncept i den kĂ€rntekniska vĂ€rlden Ă€r "Graded Approach", dvs att man ska har rĂ€tt skydd pĂ„ rĂ€tt plats - vare sig mer eller mindre! Det Ă€r verkligen nĂ„got jag tagit med mig frĂ„n min tid i kĂ€rnkraftsvĂ€rlden. HĂ€r kan verkligen andra typer av verksamheter lĂ€ra sig av IAEA och andra organisationer i den hĂ€r branschen. Inte minst verksamheter som lyder under sĂ€kerhetsskyddslagen, dĂ€r jag allt för ofta ser att man överreagerar, nĂ€stan i blindo, och applicerar nĂ€rmast förlamande skyddsĂ„tgĂ€rder med bred pensel över alldeles för mĂ„nga verksamhetsdelar. Det Ă€r svĂ„rt att fĂ„ medarbetarna att respektera sĂ€kerhetsĂ„tgĂ€rder som uppenbart Ă€r överdrivna och dĂ€rmed bara stör verksamheten! LĂ€s gĂ€rna detta och andra IAEA-dokument Ă€ven om du Ă€r i helt andra branscher! Farliga backupsystem! Team82 frĂ„n Claroty har pĂ„ senare tid hittat vansinnigt spĂ€nnande sĂ„rbarheter i OT-produkter. Den hĂ€r gĂ„ngen har de tittat pĂ„ applikationer som (bland annat) hanterar backup av komponenter och system inom OT med nĂ€rmast skrĂ€ckinjagande resultat. Det blir ju inte bĂ€ttre av att varje produkt hade en hel radda sĂ„rbarheter... Rockwell Automation FactoryTalk AssetCentre, 9 sĂ„rbarheter (CVSS 10.0) MDT AutoSave, 7 sĂ„rbarheter (CVSS 10.0) AUVESY Versiondog, 17 sĂ„rbarheter (CVSS 9.8) Precis som i IT-vĂ€rlden Ă€r backupsystem extremt viktiga att skydda ordentligt och sĂ„rbarheter i dem blir dĂ€rmed oftast katastrofala. Dessutom har dessa system en tendens att sĂ€tta nĂ€tverkssegmenteringen ur spel eftersom de kan ha bakvĂ€gar till system som annars Ă€r separerade frĂ„n varandra. Kloka ord kan hittas Ă€ven i reklam... Ett bra white-paper frĂ„n Cisco kring "Edge"-baserade arkitekturer för OT-nĂ€t i en modern vĂ€rld dĂ€r det klassiska DMZ-tĂ€nket inte duger lĂ€ngre. Det hĂ€r Ă€r egentligen inget nytt men det blir allt fler som inser att det inte fungerar speciellt bra nĂ€r man bara sĂ€tter likhetstecken mellan Purdue-modellen och nĂ€tverkssegmentering. Om man implementerar nĂ„gonting som liknar Industri 4.0 ovanpĂ„ en befintlig "klassisk" OT-miljö sĂ„ blir det extremt tydligt att tĂ€nket inte hĂ„ller! Jag har skrivit om en del liknande resonemang tidigare, exempelvis "NAMUR Open Architecture" i nyhetsbrev #27 och #30. De pekar elegant pĂ„ de tvĂ„ beslĂ€ktade omrĂ„dena synlighet och segmentering. Ett av standardrĂ„den jag ger till mina kunder Ă€r att inte ha för brĂ„ttom med segmentering. För att kunna segmentera behöver man först ha örnkoll pĂ„ vad som finns i nĂ€tverket och hur det som finns dĂ€r kommunicerar. Med ett bra verktyg som förstĂ„r OT-protokoll och som kartlĂ€gger miljön blir det sedan vansinnigt mycket enklare och bĂ€ttre att segmentera. NĂ€r det gĂ€ller synlighets-delen jĂ€mför de lösningar sĂ„som TAP, SPAN mm. De slĂ„r förstĂ„s ett slag för sina egna switchar som gör det möjligt att fĂ„ synlighet överallt utan att bygga en extra infrastruktur för synligheten. Kombinerat med Cisco Cyber Vision Ă€r det faktiskt en riktigt snygg lösning som ser en massa fördelar i praktiken. (Som faktiskt funkar hyfsat Ă€ven om man inte har switchar frĂ„n Cisco.) Tips om event och mer lĂ€sning! CSA (Cyber Security Agency of Singapore) verkar vara en intressant organisation som producerar en del spĂ€nnande lĂ€sning. HĂ€rom veckan kom "Operational Technology Cybersecurity Competency Framework (OTCCF)" som Ă€r ett dokument som försöker beskriva kompetenser och roller kring OT-sĂ€kerhetsomrĂ„det tillsammans med en stiliserad beskrivning av karriĂ€rvĂ€gar. Jag har inte sjĂ€lv landat i vad jag tycker om innehĂ„llet men det kan definitivt vara bra som inspiration för den som Ă€r sugen pĂ„ att arbeta inom det hĂ€r fantastiska omrĂ„det. Det kan nog ocksĂ„ vara ett bra stöd för den som har den otacksamma uppgiften att författa rollbeskrivningar eller platsannonser... En bra artikel av Jason Christopher som ger rekommendationer för vad man ska spendera sin sĂ€kerhetsbudget pĂ„. Jag hĂ„ller verkligen med om grundteserna som Ă€r det gamla citatet "Prevention is ideal, but detection is a must!" kombinerat med "But detection without response is of little value!". Jag ser ofta att allt för mycket tid och pengar spenderas pĂ„ att försöka förhindra angrepp och andra hĂ€ndelser men att man samtidigt missar att bygga förmĂ„gor kring att upptĂ€cka incidenter och att hantera dem. TvĂ„, lite olika, perspektiv kring kopplingen mellan "Zero Trust" och "OT". PricksĂ€kra ord frĂ„n Dale Peterson och andra tankar, Ă€ven de Ă€r kloka, frĂ„n KPMG. Kloka rĂ„d frĂ„n Accenture kring hur man kan bli bĂ€ttre pĂ„ riskhantering inom OT. En presentation av Daniel Ehrenreich pĂ„ GTACS 2021 kring hur man genomför vettiga hotanalyser i OT-vĂ€rlden. Ett kort dokument som belyser tre viktiga aktiviteter för att fĂ„ sĂ€kerhetsarbetet inom IT och OT att fungera tillsammans. De tre matchar vad jag brukar mĂ€ssa om nĂ€r jag Ă€r ute och förelĂ€ser om det hĂ€r: Se till att ledningen förstĂ„r konsekvenserna om OT skulle haverera eller saboteras. VĂ€lj ett gemensamt sĂ€tt att vĂ€rdera risker över hela organisationen. Utbilda IT i OT-sĂ€kerhet och OT i IT-sĂ€kerhet! Om man förstĂ„r varför den andra gruppen mĂ€nniskor beter sig som de gör blir samarbetet mycket bĂ€ttre! En bra artikel som sammanfattar allt det viktiga med hantering av certifikat i OPC UA. Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #34

    Nu fick du vĂ€nta lite lĂ€ngre Ă€n vanligt sedan senaste nyhetsbrevet, jag ber om ursĂ€kt för det. Jag har helt enkelt varit ute och njutit av att fĂ„ trĂ€ffa mina kunder i den fysiska verkligheten igen och av att prata pĂ„ fysiska event! Fantastiskt roligt! Men den som vĂ€ntar pĂ„ nĂ„got gott... Den hĂ€r gĂ„ngen fĂ„r du Zero Trust i OT-vĂ€rlden, grĂ€nsdragningar mot IT, nya NIS-föreskrifter, dĂ„liga bilförare i hemkokta psykologiteorier och en massa annat spĂ€nnande! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Är vi mogna nog att förstĂ„ hur omogna vi Ă€r? Du kanske kĂ€nner till "Dunning Kruger Effekten"? Det Ă€r en psykologisk effekt som (lite förvanskat) sĂ€ger att en person som har mindre kunskap i nĂ„got Ă€mne gĂ€rna överskattar sin egen kunskap medan nĂ„gon som kan mycket mer ofta underskattar sin egen kompetens. Det hĂ€r Ă€r vĂ€ldigt förrĂ€diskt eftersom det Ă€r lĂ€tt att se hos andra personer men nĂ€stan omöjligt att genomskĂ„da för sig sjĂ€lv! En klassiskt variant Ă€r att 95% av alla bilförare anser sig tillhöra den bĂ€ttre halvan av alla i trafiken... Det hĂ€r Ă€r förstĂ„s extremt sant Ă€ven inom sĂ€kerhetsarbete i alla former. PĂ„ sistone har jag funderat kring en variant av effekten som jag med sedvanlig ödmjukhet kallar "Karlsson LandrĂ© Effekten". Den gĂ„r ut pĂ„ att precis samma resonemang ocksĂ„ fungerar pĂ„ organisationer och pĂ„ sĂ€kerhetsmognad. Jag menar att man i omogna organisationer inte inser sin egen omognad, inte ser hoten mot organisationen och inte ens förstĂ„r behovet av ett strukturerat sĂ€kerhetsarbete. Det skapar förstĂ„s ocksĂ„ en massa frustration för de personer i organisationen som faktiskt har en bra personlig kompetens och hög personlig sĂ€kerhetsmognad, eftersom de helt enkelt har svĂ„rt att fĂ„ gehör för sina insikter. Den omvĂ€nda effekten kan i nĂ„gon mĂ„n ocksĂ„ vara ett problem, fast pĂ„ ett annat sĂ€tt. En organisation med vĂ€ldigt hög sĂ€kerhetsmognad kanske tenderar att bli lite vĂ€l paranoid och börjar sikta lite FÖR högt i sin risk-eliminering? Det krĂ€vs nog ocksĂ„ mĂ€nniskor med en lite annan syn pĂ„ vad som Ă€r roligt nĂ€r organisationen Ă€r vĂ€ldigt mogen, det finns helt enkelt ingen plats för vilda sĂ€kerhets-comboys! Jag inser att jag inte kan vĂ€nta mig nĂ„got nobelpris i sĂ€kerhetspsykologi och det var förstĂ„s inte meningen att det hĂ€r skulle vara nĂ„gon revolutionerande tanke heller. IstĂ€llet hoppas jag att detta kan vara en hjĂ€lp i att bli lite mer sjĂ€lvkritisk och kanske hjĂ€lpa oss alla att vĂ„ga leta efter vĂ„ra egna "blindspots" och svaga punkter. Hur bra bilförare Ă€r ni i din organisation? Egentligen... Hur ska vi tĂ€nka kring Zero Trust i OT-vĂ€rlden? "Zero trust" Ă€r ett koncept som jag personligen har stora förhoppningar för i IT-vĂ€rlden Ă€ven om begreppet lider av att det har blivit ett riktigt floskel-ord som anvĂ€nds vĂ€ldigt slarvigt i mĂ„nga sammanhang. Om du inte har koll pĂ„ vad det gĂ„r ut pĂ„ sĂ„ kan man vĂ€ldigt enkelt förklara det som ett sĂ€tt att bygga sin systemarkitektur baserat pĂ„ att allting Ă€r behörighetsstyrt snarare Ă€n begrĂ€nsat av nĂ€tverksbegrĂ€nsningar. Det hĂ€r Ă€r en gammal tanke som har fĂ„tt nytt liv i och med att tekniken ger oss nya möjligheter. Jag minns att jag var pĂ„ konferens i London i början av 2000-talet med nĂ„got som hette Jericho Forum dĂ€r liknande tankar drevs. NIST slĂ€ppte förra hösten dokumentet NIST SP 800-207 "Zero Trust Architecture" som har blivit tongivande i diskussionen kring Zero trust. Det ger ingen vĂ€gledning alls kring OT-vĂ€rldens utmaningar och hur Zero trust skulle passa dĂ€r. Det försöker nu "Operational Technology Cyber Security Alliance" (OTCSA) rĂ„da bot pĂ„ med ett whitepaper kallat "Review of Zero Trust - Inspiration for OT environments". Det Ă€r bara 6 sidor att lĂ€sa och ger dessutom en riktigt bra inflygning till bĂ„de Zero trust och NIST-dokumentet. Det Ă€r lĂ€tt att man fastnar i utmaningen att mĂ„nga OT-utrustningar idag har vĂ€ldigt dĂ„ligt stöd för identiteter och behörigheter. OTCSA höjer blicken lite grann och resonerar istĂ€llet kring beröringspunkterna mellan NIST-dokumentet och ISA/IEC 62443. De kommer kanske inte fram till nĂ„got vĂ€rldsomvĂ€lvande men det Ă€r en vĂ€ldigt bra sammanfattning av ett antal kluriga utmaningar och möjligheter. Jag ska inte ge mig pĂ„ att försöka sammanfatta en sĂ„ bra dokument utan rekommenderar varmt att du lĂ€ser det! Det Ă€r som sagt föredömligt kort och koncist! Var slutar OT och var börjar IT? I ett kunduppdrag insĂ„g vi nyligen att synen pĂ„ vad som var "OT" varierade ovĂ€ntat mycket mellan olika delar av organisationen. Kunden hade sedan tidigare lĂ„tit alla delar av organisation göra en sjĂ€lvskattning av sina förmĂ„gor inom OT-sĂ€kerhet. Det blir naturligtvis lite klurigt att skapa en samlad bild av hur det stĂ„r till med OT-sĂ€kerheten nĂ€r de olika bedömningarna handlar om olika saker... Det Ă€r lĂ€tt gjort att man omedvetet sĂ€tter nĂ„got slags likhetstecken mellan OT och PLCer. Det kanske stĂ€mmer i vissa verksamheter men för de flesta gĂ„r "grĂ€nsen" mellan IT och OT nĂ„gon annanstans. För nĂ„gon Ă€r MES-systemet en del av OT och för en annan kan det till och med inkludera produktionsplanering. Jag ska inte försöka mig pĂ„ att ge dig ett facit pĂ„ vad "OT" Ă€r. Jag tycker det kan fĂ„ vara ok att det varierar mellan olika organisationer utifrĂ„n deras egna förutsĂ€ttningar och behov. MEN! Det Ă€r viktigt att man i varje organisation Ă€r överens eller i alla fall tydlig med vad man menar med "OT"! NĂ„gra av de varianter som jag stött pĂ„ och som alla gĂ„tt att fĂ„ fungera hyfsat för de organisationer som valt dem Ă€r: Layer 1, 2 och 3 enligt ISA 99 Ă€r OT - det hĂ€r borde teoretiskt sett vara den bĂ€sta definitionen men det visar sig ofta att man inte alltid Ă€r överens om var saker hör hemma eller att vissa system spĂ€nner över flera olika lager. Man lurar sig lĂ€tt genom att sĂ€tta likhetstecken mellan lagermodellen och segmenteringens nĂ€tverkszoner. Det som Ă€gs av IT-avdelningen Ă€r IT - resten Ă€r OT - kan tyckas lite som en bakvĂ€nd eller till och med fĂ„nig definition men om man Ă€r strukturerad i sina processer för IT Services Management kan det fungera. De hĂ€r nĂ€tverken Ă€r OT - allt annat Ă€r IT - inte en av mina egna favoriter men kan funka om man Ă€r tydlig med ansvarsfördelningen man samtidigt duktig pĂ„ att samarbeta för att utnyttja den kompetens som finns. DomĂ€nen prod Ă€r OT och acme Ă€r IT - om man har valt att ha tvĂ„ domĂ€ner kan det vara ett sĂ€tt att tĂ€nka. Vi gör ingen skillnad - alla system hanteras pĂ„ sina egna villkor - lĂ„ter bra pĂ„ pappret men krĂ€ver en extrem mognad för att fungera i praktiken... Det handlar om var i verksamheten systemet anvĂ€nds - lĂ„ter ocksĂ„ bra tills ett system anvĂ€nds pĂ„ flera stĂ€llen. I slutĂ€nden spelar det mindre roll vilken metod man vĂ€ljer sĂ„ lĂ€nge den Ă€r tydligt, har fĂ„ undantag och att alla Ă€r överens om vad som gĂ€ller i praktiken! Som vanligt Ă€r det klokt att vara vĂ€ldigt tydlig med vad man menar och inte bara anta att den man pratar med har samma syn pĂ„ begreppen... Exploits - Hur mĂ„r OT? VĂ€nnerna pĂ„ Dragos har givit ut en intressant analys av sĂ„rbarheter och exploits i OT-prylar baserat pĂ„ över tio Ă„rs information. Det Ă€r en snygg och lĂ€ttillgĂ€nglig analys som jag rekommenderar att du tittar nĂ€rmare pĂ„! Det finns mycket godis i deras tabeller och grafer som hjĂ€lper oss förstĂ„ hur vĂ„r bransch utvecklats. Samtidigt finns ett antal oklarheter och Ă€n sĂ„ lĂ€nge oförklarade trender. De noterar i förbigĂ„ende att av alla organisationer som köper sĂ„rbarheter sĂ„ verkar det bara vara Zero Day Initiative (ZDI) som verkligen satsar pĂ„ att ta hand om sĂ„rbarheter i OT-vĂ€rlden. (ZDI har jag skrivit om tidigare (Nyhetsbrev #31 och #23 eftersom deras koppling till TxOne Ă€r sĂ„ spĂ€nnande.) De stĂ„r ensamma för hĂ€lften av alla CVE-registreringar med OT-koppling! Hur översĂ€tter man förresten "Exploit" till svenska pĂ„ ett bra sĂ€tt? "Attackmetod" Ă€r ju kanske nĂ€rmast men tappar lite i tydlighet... Vill du hjĂ€lpa till med svenskan? Initiativet "The Top 20 Secure PLC Coding Practices Project" som jag skrev om i Nyhetsbrev #29 har fĂ„tt mycket uppmĂ€rksamhet vilket Ă€r vĂ€lförtjĂ€nt! Men bara för att man nu givit ut sin första version kommer de inte att ligga pĂ„ latsidan, nu kommer bland annat en rad översĂ€ttningar skapas. Jag har sjĂ€lv rĂ€ckt upp handen för att se till att det blir en version pĂ„ svenska. Om du vill hjĂ€lpa till Ă€r det bara att höra av dig! mats@ot-sakerhet.se Jag Ă€r verkligen ingen PLC-programmerare sĂ„ det skulle vara bra att fĂ„ hjĂ€lp av nĂ„gon som Ă€r duktig pĂ„ det! Tar gĂ€rna ytterligare en eller tvĂ„ översĂ€ttare och framför allt ett gĂ€ng som vill tycka till om innehĂ„llet och sprĂ„ket i vĂ„rt utkast nĂ€r det Ă€r klart! NIS-föreskrifter frĂ„n Transportstyrelsen Den 6:e september slĂ€ppte Transportstyrelsen sina nya NIS-föreskrifter pĂ„ remiss. Du har till den 4:e oktober pĂ„ dig att tycka till. Det Ă€r föreskrifter kopplade till det nuvarande NIS-direktivet och inte det kommande NIS2. (Men det matchar Ă„ andra sidan förslaget till NIS2 ganska bra redan nu.) Man har fokuserat pĂ„ att sĂ€tta ett slags hygiennivĂ„ som uttryckligen ska ses som en grund att bygga vidare pĂ„. De flesta kraven gĂ„r ut pĂ„ att ta fram styrande dokument och att tillĂ€mpa dem. InnehĂ„llet innehĂ„ller inga överraskningar alls. Det liknar de flesta krav-standarder med omrĂ„den som "Inventera vad du har", "omvĂ€rldsbevaka hot och sĂ„rbarheter", "gör Ă„tgĂ€rdsplaner frĂ„n dina riskanalyser", "följ upp alla sĂ€kerhetsĂ„tgĂ€rder", "driftsĂ€tt inte osĂ€kra system", "Ă€ndringshantering Ă€r viktigt", "testa din sĂ€kerhet", "utbilda kring sĂ€kerhet", "hĂ€rda dina system", "segmentera", "kryptera", "ge alla en unik identitet som autentiseras", "administratörer ska jobba sĂ€kert", "skydda utrustning fysiskt", "upptĂ€ck intrĂ„ng" och "hantera kriser och Ă„terstĂ€llning". Alla omrĂ„den beskrivs i nĂ„gra enstaka meningar pĂ„ vĂ€ldigt hög nivĂ„, sĂ„ det Ă€r upp till varje organisation att bedöma vad som Ă€r "lagom". Enligt konsekvensutredningen bygger föreskrifterna pĂ„ NIS Cooperation Groups referensdokument CG Publikation 01/2018 istĂ€llet för att ta fram helt egna. Förmodligen ett klokt val Ă€ven om innehĂ„llet i princip ser ut att vara en extremt förkortad version av ISO 27002. De föreslĂ„r att reglerna ska gĂ€lla frĂ„n 1:a Januari 2022. NĂ„got nytt om NIS2? Jag och mĂ„nga med mig vĂ€ntar otĂ„ligt pĂ„ att NIS2 ska spikas men det verkar tyvĂ€rr vara lĂ€ngre bort Ă€n vad det verkat tidigare. Jag skrev senast en uppdatering i Nyhetsbrev #32, men sedan dess har det varit vĂ€ldigt lite nyheter som lĂ€ckt ut. Slovenien tog över presidentskapet för EU-rĂ„det i somras och pekade bland annat pĂ„ att NIS2 var prioriterat. Den som vĂ€ntar pĂ„ nĂ„got gott... Tips om event och mer lĂ€sning! Du kommer vĂ€l till Ă„rets upplaga av IT-arenan i Örebro? Jag kör dragningen "StĂ„ stadigt med sĂ€ker OT" men du kan ocksĂ„ komma förbi i sĂ€kerhetsmontern och snacka OT hela dagen! SpĂ€nnande rapport frĂ„n Trend Micro som bygger pĂ„ en hotmodellering av kraven frĂ„n FNs arbetsgrupp WP.29 för cybersĂ€kerhet i fordonsbranschen. Kanske inte den vanligaste typen av OT men vĂ€ldigt intressant! Hög kvalitet from vanligt frĂ„n Phoenix Contact nĂ€r de gĂ„r igenom nyheterna som Ă€r pĂ„ vĂ€g i det nya maskindirektivet. Inspelningen frĂ„n huvudpresentationen finns pĂ„ Youtube tillsammans med den uppföljande frĂ„gestunden som Nisse och Co körde dĂ€refter. Det hĂ€r Ă€r ett spĂ€nnande omrĂ„de som jag skrev om i Nyhetsbrev #27. Ett bra whitepaper frĂ„n Garland som beskriver viktiga principer (och förstĂ„s deras egna produkter) för att fĂ„ synlighet i vad som hĂ€nder i OT-nĂ€tverk. Titeln pratar om Industri 4.0 men innehĂ„llet Ă€r generellt OT. De tar upp viktiga saker men grundlĂ€ggande saker som att vĂ€lja rĂ€tt mellan en nĂ€tverks-tap eller en span-port men Ă€ven en del andra klurigheter som det Ă€r lĂ€tt att missa i detta vĂ€ldigt viktiga omrĂ„de! HalvĂ„rsrapporten frĂ„n Clarotys Team82 Ă€r som vanligt spĂ€ckad med information kring vad de sett "dĂ€r ute"... Alltid retar det nĂ„gon? Intressant artikel frĂ„n Velta Technology om vad OT kan lĂ€ra sig av IT. Jag hĂ„ller med om mycket men inte allt. En del intressanta insikter kring exempelvis skillnader i synen pĂ„ investeringar mellan de bĂ„da vĂ€rldarna. BerĂ€tta gĂ€rna om dina tankar dĂ€r du lĂ€ser den! Intressant dragning DEF CON ICS Village av Aaron Boyd frĂ„n Dragos. Ämnet Ă€r penetrationstester i OT-system dĂ€r man av olika skĂ€l inte har tillgĂ„ng till verktyg utöver det som finns att tillgĂ„ i systemen man angriper. Ofta handlar det om att ta sig runt vitlistning eller nĂ„got liknande skydd genom att bara anvĂ€nda redan kĂ€nda mjukvaror. Nyttigt för bĂ„de angripare och försvarare. SpĂ€nnande insikter frĂ„n Dale Peterson kring hur försĂ€kringsbranschen förĂ€ndras snabbt just nu i det förĂ€ndrade risklandskapet. Det Ă€r verkligen en bransch som kĂ€mpar för att hitta sitt nya sĂ€tt att hantera samtiden! Du kan se min dragning frĂ„n Xday 2021 pĂ„ YouTube nu tillsammans med ett antal andra snack som Ă€r riktigt intressanta Ă€ven om de inte handlar om OT. Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #33

    Den hĂ€r gĂ„ngen kommer vi halvvĂ€gs till NIS2, vi lyssnar pĂ„ Gartner som sĂ€ger att nĂ„gra av oss kommer att dö senast 2025, jag tittar nĂ€rmare pĂ„ ISO 27019, vi har drömmar om sĂ€ker PLC-programmering pĂ„ svenska och vi bedömer en vanlig slagsida i sĂ€kerhetsarbetet. Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Gartner sĂ€ger att vi kommer att dö! Gartner slĂ€ppte nyligen en rapport som förutspĂ„r att senast 2025 kommer angripare framgĂ„ngsrikt ha dödat eller skadat mĂ€nniskor genom att angripa OT-system. De bedömer att redan 2023 kommer den ekonomiska konsekvensen av dödliga angrepp vara över 50 MUSD. Det mest kĂ€nda fallet Ă€n sĂ„ lĂ€nge Ă€r angreppet mot en petrokemisk anlĂ€ggning i Saudiarabien 2017 (TRITON/TRISIS) som dock misslyckades pĂ„ grund av vad som verkar vara buggar i den skadliga koden. Det var ett angrepp mot skyddssystemen vid anlĂ€ggningen som ju Ă€r dĂ€r för att förhindra att riktigt allvarliga situationer uppstĂ„r. Hur dessa sĂ„ kallade SIS-system ska separeras frĂ„n ordinarie processtyrning Ă€r en populĂ€r diskussionspunkt inom OT-sĂ€kerhetsvĂ€rlden. Gartners förslag till Ă„tgĂ€rder Ă€r i princip hederligt gammalt sĂ€kerhetsarbete dĂ€r förutom tydliga ansvarsomrĂ„den, utbildning, incidentberedskap mm tas upp de Ă€ven pekar pĂ„ saker som Ă€r speciellt viktiga och svĂ„ra inom OT-sĂ€kerhet: logganalys, hantering av bĂ€rbara lagringsmedia, asset-hantering, nĂ€tverkssegmentering och fokus pĂ„ sĂ€kerhet vid konfiguration. OT-sĂ€kerhet i ISO 27000? NĂ„got som man kan ha mĂ„nga Ă„sikter om Ă€r hur man bĂ€st anvĂ€nder standarderna inom ISO 27000 för OT-sĂ€kerhet. Vad som Ă€r rĂ€tt beror pĂ„ vilka delar av 27000 man tĂ€nker pĂ„ men ocksĂ„ vad man menar med OT-sĂ€kerhet... Det hĂ€r Ă€r sjĂ€tte delen i min serie om standarder och ramverk. Första avsnittet handlade om ISA/IEC 62443 och finns i nyhetsbrev #26. I nyhetsbrev #27 och #30 tittar jag pĂ„ NAMUR NOA. I nyhetsbrev #28 tittade jag pĂ„ NIST CSF, NIST 800-53 och NIST 800-82 men du fick ocksĂ„ lite mer om NOA som en bonus. I nyhetsbrev #29 tittade jag pĂ„ den nya versionen av CIS Controls och funderade pĂ„ hur den passar för OT. Har du önskemĂ„l om vad jag ska ta upp framöver sĂ„ fĂ„r du vĂ€ldigt gĂ€rna höra av dig! Det Ă€r vanligt att man bygger sitt informationssĂ€kerhetsarbete kring ISO 27001, det har verkligen blivit den absolut populĂ€raste standarden. NĂ€r man sedan tĂ€nker sig att "styra upp" sin OT-sĂ€kerhet sĂ„ ligger det förstĂ„s nĂ€ra till hands att bara bygga pĂ„ det man redan har. Och det Ă€r dĂ€r som det kan bli lite utmanande vilket jag var inne pĂ„ i förra nyhetsbrevet men som jag ocksĂ„ konstaterade dĂ€r sĂ„ finns det inga hinder att kombinera ISO 27001 med ISA 62443. Det Ă€r ju för övrigt hĂ€r som mina andra frĂ„ga blir sĂ„ tydlig: "Vad menar vi med OT-sĂ€kerhet?". Bilden visar en vanlig modell för att beskriva informationssĂ€kerhet, IT-sĂ€kerhet och relationen mellan dem. NĂ€r vi sedan ska försöka göra motsvarande bild för OT-sĂ€kerhet blir gĂ€rna den första reaktionen att ersĂ€tta rutan "IT-SĂ€kerhet" med "OT-SĂ€kerhet". Det finns tvĂ„ viktiga problem med det sĂ€ttet att tĂ€nka. Dels att det rimmar illa med att det överordnade syftet för informationssĂ€kerhet Ă€r att skydda information. Men ocksĂ„ att viktiga delar av OT-sĂ€kerhetsarbetet gĂ„r ut pĂ„ att analysera verksamhetsrisker och adressera dem, vilket Ă€r nĂ„got som typiskt brukar landa inom "InformationssĂ€kerhet". I praktiken betyder det att OT-SĂ€kerhet mĂ„ste finnas pĂ„ tvĂ„ platser i bilden och dessutom blir en delmĂ€ngd av sig sjĂ€lv. Som gjort för missförstĂ„nd alltsĂ„! Jag ser ingen enkel lösning pĂ„ detta utom att vara vĂ€ldigt tydlig med vad man menar. Men om vi Ă„tervĂ€nder till 27000-serien sĂ„ finns det ju andra delar av standarden som man kan titta pĂ„ ocksĂ„. Idag tĂ€nkte jag att vi tittar pĂ„ ISO 27019 som har titeln "Informations-sĂ€kerhetsĂ„tgĂ€rder för energiförsörjningssektorn" för att se om den kan hjĂ€lpa oss. Jag har inte sjĂ€lv anvĂ€nt 27019 i nĂ„got verkligt fall sĂ„ jag Ă€r vĂ€ldigt nyfiken pĂ„ att höra frĂ„n er som praktisk erfarenhet! 27019 bygger vidare pĂ„ 27000, 27001 och 27002 men ger dem ytterligare substans för att fungera inom elsektorn med ett stort fokus pĂ„ OT-system och safety-utmaningar. I praktiken gör man det genom att ge ytterligare vĂ€gledning för krav frĂ„n 27002 i ljuset av elsektorns utmaningar och genom att lĂ€gga till ytterligare krav utöver de som finns i 27002. Personligen tycker jag att 27019 fyller pĂ„ med en del bra saker. Min uppfattning om den Ă€r att den Ă€r bra men vĂ€ldigt allmĂ€nt hĂ„llen. (Precis som 27002...) Men den Ă€r nog en riktigt bra ögonöppnare för den som inte Ă€r van vid omrĂ„det och som kanske behöver förstĂ„ att allt inte Ă€r riktigt som man Ă€r van vid frĂ„n IT/Info-sĂ€k. Riktigt centrala delar som nĂ€tverkssegmentering och Ă€r alldeles för kortfattade för att man ska fĂ„ nĂ„gon handgriplig hjĂ€lp framĂ„t. Och det Ă€r förstĂ„s dĂ€r som det passar vĂ€ldigt bra att kombinera med ISA 62443. Lite trĂ„kigt att 62443 Ă€r gömd sist i 27019, i en lista över internationella standarder och helt utan specifik hĂ€nvisning. Att utgĂ„ frĂ„n 27001, 27002 och 27019 kommer nog funka alldeles utmĂ€rkt i lite enklare miljöer om man fĂ„r med sig tillrĂ€cklig kompetens frĂ„n start som förstĂ„r de specifika utmaningarna kring OT. Annars tror jag man ska utgĂ„ frĂ„n 27000-serien men tidigt fylla pĂ„ med det viktigaste frĂ„n 62443, vilket för de flesta förmodligen Ă€r tĂ€nket kring zone&conduit samt hur man gör en riskanalys att basera segmenteringen pĂ„. 27019 ger definitivt ett bra "klister" mellan 27000-vĂ€rlden och 62443-vĂ€rlden! SĂ€ker PLC-programmering pĂ„ svenska? Initiativet "The Top 20 Secure PLC Coding Practices Project" som jag skrev om i Nyhetsbrev #29 har fĂ„tt mycket uppmĂ€rksamhet vilket Ă€r vĂ€lförtjĂ€nt! Men bara för att man nu givit ut sin första version kommer de inte att ligga pĂ„ latsidan, nu kommer bland annat en rad översĂ€ttningar skapas. Jag har sjĂ€lv rĂ€ckt upp handen för att se till att det blir en version pĂ„ svenska. Om du vill hjĂ€lpa till Ă€r det bara att höra av dig! mats@ot-sakerhet.se Det ska bli spĂ€nnande att se vart det hĂ€r projektet tar vĂ€gen! NIS 1.5? MSB har en remiss ute just nu för en uppdatering av deras föreskrifter kring NIS-direktivet. Det Ă€r alltsĂ„ inte NIS2 utan bara det enkla faktum att MSBs vĂ€gledning kring Ă€mnet ska uppdateras vartannat Ă„r. Det Ă€r inga större överraskningar i mina ögon. Man kan ana lite gemensam inspiration frĂ„n NIS2-förslaget hĂ€r och dĂ€r. Exempelvis tydliggör man nu att biogas rĂ€knas pĂ„ samma sĂ€tt som naturgas nĂ€r man ska bedöma om man berörs av kraven. Vill du svara pĂ„ remissen har du till den 17:e september pĂ„ dig. Fördomar mot försvaret! Dragos har pĂ„ ett föredömligt sĂ€tt givit mig vatten pĂ„ min kvarn nĂ€r det gĂ€ller slagsidan i att de flesta organisationer prioriterar sina förebyggande sĂ€kerhetsĂ„tgĂ€rder mycket högre Ă€n de analyserande Ă„tgĂ€rderna. Det hĂ€r Ă€r nĂ„got som jag brukar predika för mina kunder och i mina föredrag. Vi satsar mycket hellre pĂ„ brandvĂ€ggar, patchning och segmentering istĂ€llet loggning, analys och Ă„tgĂ€rder. Naturligtvis mĂ„ste bĂ„da varianterna finnas i nĂ„got slags balans men jag tror vi nĂ„gonstans drar oss för att sĂ€tta in Ă„tgĂ€rder som krĂ€ver nĂ„got av oss löpande. (Vilket förstĂ„s Ă€r en rimlig tanke, inte minst ekonomiskt.) VĂ€nnerna pĂ„ Dragos har gett ut en rapport dĂ€r de pekar pĂ„ det hĂ€r systematiska problemet finns redan i vĂ„ra standarder och best-practices. Jag pĂ„stĂ„r inte att det mĂ„ste vara exakt lika mĂ„nga Ă„tgĂ€rder av varje sort men som bilden Ă€r nu Ă€r det ju en vĂ„ldsam slagsida! Jag inser förstĂ„s att Dragos slĂ„r pĂ„ sin egen trumma nĂ€r de skriver sĂ„ hĂ€r, det Ă€r ju just aktiv analys som de Ă€r sĂ„ duktiga pĂ„ men det hindrar ju inte att de har rĂ€tt i sina insikter! Det paradoxala Ă€r ju dessutom att OT-miljöer tenderar att vara svĂ„ra att anvĂ€nda förbyggande Ă„tgĂ€rder i nĂ€r man kommer bortom grundlĂ€ggande nĂ€tverkssegmentering. DĂ€remot Ă€r det hĂ€r nĂ€stan alltid relativt statiska miljöer dĂ€r övervakande och analyserande Ă„tgĂ€rder passar vĂ€ldigt bra och blir extremt effektiva. Tro nu inte att jag tycker att förebyggande och förhindrande Ă„tgĂ€rder Ă€r dĂ„ligt! Nej, vi mĂ„ste ha dem ocksĂ„. Men eftersom de aldrig kommer kunna bli 100%-iga sĂ„ behöver vi ju förstĂ„s balansera dem med nĂ„got som kan upptĂ€cka nĂ€r den dĂ€r attacken som Ă€r en pĂ„ tusen slinker förbi! Det hĂ€r resonemanget passar ju dessutom bra ihop med den insikt som mĂ„nga börjar fĂ„ nu kring behovet av krishantering, Ă„terstĂ€llningsplanering och kontinuitetsplaner. ÅterstĂ€llning blir ju faktiskt mycket enklare om man fĂ„ngar incidenten tidigt! De tre rekommendationer som Dragos ger stĂ€ller jag upp pĂ„ helt och hĂ„llet: Se sĂ€kerhetsarbete som nĂ„got du hela tiden förbĂ€ttrar. Det kommer aldrig bli klart eller perfekt sĂ„ om man arbetar utifrĂ„n det tĂ€nket blir man inte besviken och man blir dessutom förstĂ„s mycket mer drivande! Om det gamla slitna talesĂ€ttet "Resan Ă€r mĂ„let" nĂ„gon gĂ„ng passar bra sĂ„ Ă€r det vĂ€l för oss sĂ€kerhetsmĂ€nniskor... Jag brukar ha en bild av ett löpband i mina presentationer för att illustrera att vi hela tiden mĂ„ste arbeta framĂ„t Ă€ven om det kĂ€nns som att vi stĂ„r stilla, för att om vi slĂ„r av pĂ„ takten sĂ„ börjar vi Ă„ka bakĂ„t... Öka synligheten in i dina OT-miljöer. Det gĂ€ller förstĂ„s dels för att kunna veta vad som hĂ€nder dĂ€r men kanske framför allt för att överhuvudtaget veta VAD som finns dĂ€r! Vet du vad du har och hur det fungerar nĂ€r allt Ă€r normalt blir det vĂ€ldigt mycket enklare att förstĂ„ nĂ€r det inte Ă€r det. Min personliga reflektion kring detta Ă€r att det vill till att man har en förmĂ„ga att reagera och ta hand om de saker som man upptĂ€cker med hjĂ€lp av sin insyn. Annars fĂ„r man enbart stresspĂ„slag och ingen verklig nytta. Lite som att ta backuper men inte kunna Ă„terlĂ€sa dem... Jag brukar ocksĂ„ peka pĂ„ ett annat skĂ€l att jobba med insyn innan man jobbar med segmentering nĂ€mligen att segmentering helt enkelt blir mycket smidigare om man redan har koll pĂ„ sin nĂ€tverkstrafik! Det sĂ€gs ofta att vi behöver öva pĂ„ incidenthantering vilket nĂ€stan lika ofta fĂ„r mothugg i stil med "vi kan ju inte öva i produktionen". Jag hĂ„ller verkligen med Dragos om att det rĂ€cker extremt lĂ„ngt med enkla diskussionsövningar runt ett bord. Att öva pĂ„ att ta beslut och samtidigt fundera över vad vi behöver veta under en skarp incident Ă€r vĂ€ldigt lĂ€rorikt! Tips om event och mer lĂ€sning! Dags att damma av ett dokument frĂ„n 2012! I dessa dagar nĂ€r vi allt oftare hör diskussioner om attribuering av attacker och de svĂ„righeter som kan finnas i sĂ„dana resonemang kan vi vĂ€nda oss till Jason Healey och Atlantic Council för klokskap! Det kanske helt enkelt spelar mindre roll vem som tryckte pĂ„ knappen som fick Coop att stanna och istĂ€llet Ă€r det viktigare vems fel det Ă€r! LĂ€s dokumentet, det finns klockrena liknelser med stenkastning efter bombade ambassader eller med somaliska pirater! Johan Bengtsson och Lovisa Mickelsson pĂ„ FOI har gett ut en studie kring smarta stĂ€der dĂ€r de bland annat tittar pĂ„ möjligheter och risker pĂ„ omrĂ„det. Inte riktigt OT utan snarare syskonomrĂ„det IoT, men Ă€ndĂ„ en del intressanta resonemang! Biljetterna till S4x22 Ă€r slĂ€ppta! För den som inte vet det Ă€r S4 generellt sedd som den frĂ€msta och definitivt mest framĂ„triktade konferensen inom OT-sĂ€kerhet i vĂ€rlden. Den gĂ„r av stapeln i Miami i Januari. Om du inte vill eller kan Ă„ka till Miami Ă€r Köpenhamn ett riktigt bra alternativ. "Industrial Security Conference Copenhagen" Ă€r tre dagar i November dĂ€r den första dagen hĂ„lls pĂ„ danska och de andra tvĂ„ pĂ„ engelska. MĂ„nga intressanta Ă€mnen pĂ„ agendan! En riktigt bra genomgĂ„ng av hur man kan tĂ€nka kring riskkriterier av Sinclair Koelemij. Jag kan speciellt rekommendera hans snygga genomgĂ„ng av skillnaden mellan riskaptit och risktolerans. Han bjuder ocksĂ„ pĂ„ en genomgĂ„ng av begreppet SL - "Security Level" frĂ„n ISA 62443. Dragos har gett ut ett whitepaper som snyggt sammanfattar allt som Ă€r klurigt med sĂ„rbarhetshantering inom OT och hur man bĂ€st ger sig pĂ„ utmaningarna som man stöter pĂ„. https://www.dragos.com/resource/ot-vulnerability-management-whitepaper/ Om du var vĂ€ldigt ledig pĂ„ semestern kanske du missade nĂ„gra av de nyhetsbrev jag gav ut under sommaren? I #32 tittade jag pĂ„ de senaste nyheterna kring NIS2, MITRE Engenuity och Industrial Internet Consortium. Vi fick ocksĂ„ godbitar kring hur man ska tĂ€nka kring risker som aldrig varit ett problem förut. I #31 letar jag efter motsvarigheten till informationssĂ€kerhet för OT-sĂ€kerhet, hur virtuell patchning fungerade för PrintNightmare. I #30 funderar jag pĂ„ hur vi ska stava till "Industrie 4.0", ovanliga sĂ€tt att beskriva risk och mina favoritpoddar. I #29 tittade vi pĂ„ "The top 20 Secure PLC coding practices project", hur den nya versionen av "CIS controls" passar i OT-vĂ€rlden och tittar nĂ€rmare pĂ„ utrustningen som jag anvĂ€nt för att testa och överlasta brandvĂ€ggar. Jag kommer att prata pĂ„ CyberNorth den 28:e September och alla Ă€r förstĂ„s vĂ€lkomna att lyssna! Ämnet blir en variant pĂ„ min nuvarande kĂ€pphĂ€st om hur man undviker att missförstĂ„nd och otydligheter leder till dĂ„lig framdrift i sĂ€kerhetsarbetet och till misslyckanden med tekniska initiativ. Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #32 - NĂ€r kommer NIS2?

    Den hĂ€r gĂ„ngen lĂ€ngtar jag efter NIS2, tittar pĂ„ MITRE Engenuity, kombinerar ISO 27001 med ISA 62443, lĂ€ser pĂ„ om PĂ„litlighet, granskar kĂ€nsliga dataöverföringar med Python, tittar pĂ„ NISTs CSF-profil för tillverkande industri, kommunicerar fĂ€ltnĂ€ra med OPC UA och tycker till om Purdue-modellens betydelse för hur vi bygger vĂ„ra nĂ€tverk. Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. LĂ€s mer om det hĂ€r i det hĂ€r nyhetsbrevet! Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Hur gĂ„r det för NIS2? Vi Ă€r mĂ„nga som Ă€r nyfikna pĂ„ hur det kommer att gĂ„ med det förslag till helt nytt NIS-direktiv som lades fram i julas. (Jag har skrivit om detta tidigare i Nyhetsbrev #21 och #23.) "Snacket pĂ„ stan" sade att nĂ„gonting skulle komma ut under Juli men Ă€n sĂ„ lĂ€nge har i alla fall jag inte sett eller hört nĂ„got konkret. Det Ă€r inte helt trivialt att navigera EUs enorma informationsmĂ€ngder och nĂ€r man vĂ€l hittar ett intressant dokument Ă€r de sĂ€llan enkla att lĂ€sa heller... Ett intressant brev frĂ„n Europakommissionen till Europaparlamentet och Europeiska rĂ„det berĂ€ttar att man fick in 121 Ă„sikter kring förslaget. Det senaste och viktigaste livstecknet som jag hittar Ă€r ett utkast till en sammanstĂ€llning frĂ„n Europaparlamentet pĂ„ 59 sidor utgiven den femte maj med förslag till Ă€ndringar och tillĂ€gg. En snabb genomlĂ€sning gav inga revolutionerande intryck men Ă€ndĂ„ nĂ„gra intressanta, och i mitt tycke riktigt vettiga, förslag till Ă€ndringar: Rapportering av sĂ€kerhetshĂ€ndelser och hot som inte leder till en incident ska inte omfattas av rapporteringskravet. (Det hade blivit tufft att hantera den volymen...) Man fĂ„r 72 timmar (istĂ€llet för 24) pĂ„ sig att rapportera sĂ€kerhetshĂ€ndelser. (VĂ€ldigt klokt!) Man trycker pĂ„ att det Ă€r lite för mycket fokus pĂ„ krav och straff. Myndigheterna bör ocksĂ„ ta en stöttande och uppmuntrande roll. (Wow!) Man trycker pĂ„ att det Ă€r viktigt att undvika överlappande tillsyn frĂ„n flera myndigheter. (Av praktisk erfarenhet hĂ„ller jag definitivt med!) Root-servrarna i DNS undantas eftersom de sĂ€llan drivs av monetĂ€ra syften. (Inte sĂ€ker pĂ„ att jag tycker detta Ă€r sĂ„ smart...) Man vill se lagligt stöd för mer samarbete mellan polis och förebyggande myndigheter. (Jaaaa!!!) Det ursprungliga förslaget sa att ENISA skulle sĂ€tta upp en egen EU-motsvarighet till CVE-databasen för sĂ„rbarheter. Det tonas ner nu! (Otroligt vettigt!) Den som vĂ€ntar pĂ„ nĂ„got gott... Det kan komma mer nyheter vilken dag som helst nu och det kan förstĂ„s visa sig att det vi trott sĂ„ hĂ€r lĂ„ngt Ă€r helt fel. Än sĂ„ lĂ€nge har i alla fall inte jag sett nĂ„got som tyder pĂ„ att NIS2 Ă€r pĂ„ vĂ€g att köra i diket eller drabbas av nĂ„gra större Ă€ndringar pĂ„ rakan fram mot mĂ„let... Vi hĂ„ller tummarna! Vet du mer fĂ„r du vĂ€ldigt gĂ€rna höra av dig! MITRE Engenuity levererar! Vi har fĂ„tt den första leveransen frĂ„n MITRE Engenuity! MITRE Ă€r ju annars kĂ€nt för ATT&CK-ramverken och har via Engenuity börjat samarbeta med leverantörer av sĂ€kerhetsprodukter för att utvĂ€rdera dem gentemot ramverken baserat pĂ„ verkliga incidenter. Tanken Ă€r att ge potentiella kunder möjlighet att jĂ€mföra var de olika leverantörernas styrkor och svagheter ligger. Det Ă€r definitivt ett intressant grepp. Ett antal leverantörer deltar i ett simulerat angrepp och hur vĂ€l deras produkter hanterar angreppet redovisas med hjĂ€lp av MITRE ATT&CK. Den hĂ€r gĂ„ngen var testerna en kopia av TRITON-angreppen mot en Saudiskt petrokemisk anlĂ€ggning 2017. (Det som var skrĂ€mmande med TRITON var att det siktade in sig pĂ„ skydds-systemen, SIS, pĂ„ anlĂ€ggningen, vilket bara kan ha ett mĂ„l, nĂ€mligen att skada anlĂ€ggningen och mĂ€nniskorna dĂ€r fysiskt.) Det Ă€r första gĂ„ngen man gör det hĂ€r för OT-produkter med hjĂ€lp av MITRE ATT&CK for Industrial Control Systems. Fem deltagare fanns med; Claroty, Armis, Microsoft, Dragos och "the Institute for Information Industry". Den sistnĂ€mnda Ă€r en Taiwanesisk organisation som Ă„tminstone jag aldrig hört talas om förut. Om du Ă€r pĂ„ vĂ€g att vĂ€lja ett verktyg i den hĂ€r vansinnigt viktiga kategorin Ă€r testresultaten definitivt en pusselbit i utvĂ€rderingen. Det Ă€r ju definitivt inte nĂ„gon heltĂ€ckande test men det ger Ă€ndĂ„ hintar om hur respektive lösning beter sig. PĂ„ köpet kan man fĂ„ lite mer insyn i nyttan med MITRE ATT&CK Ă€ven om jag personligen kan tycka att man inte nĂ„dde Ă€nda fram nĂ€r det gĂ€ller att underlĂ€tta jĂ€mförelser. Men dĂ€r tycker man kanske olika? I vilket fall ska det bli spĂ€nnande att se vad kommande tester resulterar i och om fler leverantörer hoppar pĂ„ tĂ„get! Det kan inte hĂ€nda - det har ju aldrig hĂ€nt förut! Ett klassiskt mothugg som ofta dyker upp nĂ€r man behöver resurser för sĂ€kerhetsarbete Ă€r argumentet "Är det verkligen vettigt? Det har ju aldrig hĂ€nt!". Samma sak nĂ€r man Ă€r kreativ i en riskworkshop och kommer med hĂ€ndelser som lite utöver det vanliga... Jag undrar om argumentet att det inte hĂ€nt förut börjar kĂ€nnas lite tunnare nu? Vi har kommit halvvĂ€gs genom 2021 och har redan sett ett antal riktigt smaskiga hĂ€ndelser som aldrig hĂ€nt förut. En av de största svenska livsmedelskedjorna stod still. Amerikanska östkusten hade inte tillrĂ€ckligt med olje-produkter. Viktiga system i IrlĂ€ndska sjukvĂ„rden stod still i över en mĂ„nad. Minst ett stort försĂ€kringsbolag har slutat ersĂ€tta ransomware-utbetalningar. Inget av detta har hĂ€nt förut! Som vanligt Ă€r problemet att man inte kan bedöma sannolikheten för saker som inte hĂ€nt förut. Budskapet att man för riktigt allvarliga hĂ€ndelser bara behöver bedöma om det KAN hĂ€nda kan du ta del av i Richard Clarkes keynote frĂ„n S4x17 dĂ€r har sĂ€tter fingret pĂ„ problemet med ett antal fantastiska poĂ€nger! Tre godbitar frĂ„n Industrial Internet Consortium VĂ€nnerna pĂ„ IIC verkade vilja jobba klart innan det blev semester. De producerade nĂ€mligen tre intressanta texter pĂ„ kort tid... Godbit nummer ett! Det mest intressanta i mina ögon Ă€r ett white-paper med titeln "The Industrial Internet of Things Trustworthiness Framework Foundations". Det handlar alltsĂ„ om "Trustworthiness", vilket i det hĂ€r sammanhanget jag föredrar att översĂ€tta med "PĂ„litlighet". Det Ă€r en rejĂ€l genomgĂ„ng av begreppet som de definierar sĂ„ hĂ€r: Riktigt intressant för oss OT-mĂ€nniskor! De hĂ€nger upp resonemanget pĂ„ just Safety, Security, Privacy, Reliability och Resilience. (Jag lĂ„ter bli att översĂ€tta dessa begrepp eftersom det oundvikligen förĂ€ndrar betydelsen av orden.) De tar oss genom ett lĂ„ngt men tydligt resonemang dĂ€r de definierar vĂ€rdefulla principer kring synsĂ€tt, vĂ€rderingar, ledarskap, metoder och arbetssĂ€tt pĂ„ vĂ€gen. Ibland blir det kanske lite vĂ€l akademiskt men det finns gott om guldklimpar att ta till vara för den egna organisationen! Godbit nummer tvĂ„! NĂ€sta godbit heter "Global Industry Standards for Industrial IoT" som dels gör en rejĂ€l genomgĂ„ng av hur standarder skapas och hur de bĂ€st anvĂ€nds för IIoT och OT. Men de ger oss ocksĂ„ en lĂ„ng lista över relevanta organisationer som sysslar med standarder pĂ„ det hĂ€r omrĂ„det dĂ€r vi bland annat hittar vĂ€lkĂ€nda namn som DIN, IEC, IEEE, IETF, ISA, ISO och OPC Foundation. Vi fĂ„r ocksĂ„ en lista över intressanta samarbetsorganisationer dĂ€r kĂ€nda namn som NAMUR, IIC, PI4.0 och ZVEI blandas med för mig okĂ€nda grupper. ...och nummer tre! IIC annonserade ocksĂ„ "IIC Patterns Initiative" som Ă€r en öppen databas med arkitektur-principer för IIoT och OT. Den innehĂ„ller bara ett fĂ„tal Ă€n sĂ„ lĂ€nge men tanken Ă€r att vem som helst fĂ„r dela med sig av sin bĂ€sta idĂ©. Om det tar skruv kan det hĂ€r bli riktigt intressant, inte minst pĂ„ grund av att det Ă€r en öppen resurs! Plus en bonus! Dessutom kom en utgĂ„va av "The Industrial Internet Consortium's Journal of Innovation" som fokuserade pĂ„ Edge. De finns mĂ„nga Ă„sikter om vart relationen mellan OT och "molnet" Ă€r pĂ„ vĂ€g men oavsett vad man tycker sĂ„ Ă€r det intressant! 27001 + 62443 = 89444? En av mina stĂ€ndiga kĂ€pphĂ€star nĂ€r jag Ă€r ute och förelĂ€ser om OT-sĂ€kerhet Ă€r att man inte ska vĂ€lja fel standard till sitt ledningssystem. ISO 27001 Ă€r defacto-standarden för informationssĂ€kerhet och ISA 62443 Ă€r motsvarigheten för OT-sĂ€kerhet. Försök INTE anvĂ€nda dem för nĂ„got annat! Jag har sett trĂ„kiga exempel pĂ„ nĂ€r vĂ€lmenande mĂ€nniskor, i synnerhet de som Ă€lskar 27001, försöker vrĂ€nga till tolkningen av 27001 pĂ„ ett sĂ€tt som ska passa OT-vĂ€rlden. Det blir inte bra! Men! Det finns ingenting som hindrar att man kombinerar de bĂ„da. TvĂ€rt om Ă€r det bra. Integrerade ledningssystem Ă€r ju ingenting nytt, mĂ„nga organisationer kombinerar utan problem standarder som ISO 9001, ISO 14001, ISO 45001 och ISO 20000. Att lĂ€gga till ISO 27001 och ISA 62443 bör inte vara nĂ„got jĂ€tteproblem för de flesta. Och man behöver ju inte certifiera sin organisation bara för att man lutar sig mot standarder. Men vad ska man tĂ€nka pĂ„ dĂ„? Den frĂ„gan försöker ISA svara pĂ„ nu med ett sprillans nytt översiktsdokument. Riktigt bra kan jag tycka Ă€ven om det Ă€r lite tunt och inte gĂ„r in pĂ„ detaljer. Men de pekar pĂ„ en radda intressanta saker och det Ă€r en bra början! En utmaning som ISA inte tar upp Ă€r att vi inte Ă€r sĂ„ mĂ„nga Ă€nnu som kan bĂ„da standarderna. Även om man inte behöver vara expert sĂ„ vill det ju till att man har tillrĂ€cklig koll för att knyta ihop dem. I takt med att intresset för 62443 nu ökar kommer det nog lösa sig automatiskt... Att röra sig mellan domĂ€ner... Jag har nyligen haft möjlighet att sĂ€tta fingrarna pĂ„ en ZoneGuard frĂ„n svenska Advenica och tĂ€nkte passa pĂ„ att skriva nĂ„gra rader om den för att dela med mig av mina intryck. Jag skrev om en kusin till ZoneGuard i Nyhetsbrev #22, nĂ€tverksdioden DD1000i, som Ă€r en nĂ€tverksbrygga dĂ€r man anvĂ€nder fysikens lagar för att sĂ€kerstĂ€lla att information bara kan skickas Ă„t ett hĂ„ll. Dioder anvĂ€nds exempelvis för att föra ut loggar frĂ„n sĂ€kra nĂ€t utan att riskera att nĂ€tverkskopplingen anvĂ€nds "Ă„t andra hĂ„llet". En ZoneGuard Ă€r ocksĂ„ tĂ€nkt att koppla samman nĂ€tverk som har skilda sĂ€kerhetskrav utan att de pĂ„verkar varandra. Till skillnad frĂ„n dioden kan man med en ZoneGuard skicka information Ă„t bĂ„da hĂ„ll, istĂ€llet tittar man pĂ„ informationen som överförs och ser till att de protokoll som anvĂ€nds inte kan missbrukas. Lite som en brandvĂ€gg men med vĂ€ldigt mycket mer kontroll över vad som Ă€r okej. Man brukar prata om CDS, "Cross Domain Solution", alltsĂ„ att man kommunicerar mellan sĂ€kerhetsdomĂ€ner. En "vanlig" brandvĂ€gg inspekterar trafiken och skickar den vidare utan Ă€ndring. I en ZoneGuard bryter man sönder protokollet helt, plockar ut informationen som ska överföras och kastar sedan nĂ€tverkspaketen. Sedan applicerar man regler och filter pĂ„ sjĂ€lva innehĂ„llet och bygger sedan ihop helt nya nĂ€tverkspaket. Angrepp som utnyttjar felformatterade nĂ€tverkspaket har alltsĂ„ inte en chans! ZoneGuard har stöd för en rad protokoll och format. Det finns ocksĂ„ vĂ€ldigt bra stöd för organisationens egna utvecklare att anpassa stödet till de egna kraven. Det hĂ€r Ă€r en vĂ€ldigt spĂ€nnande produkt för OT-verksamheter eftersom integrationen mellan IT och OT Ă€r helt avgörande för bĂ„de organisationens effektivitet och dess sĂ€kerhet! NĂ€tverksmĂ€ssigt Ă€r det enkelt men smart utformat. En nĂ€tverksanslutning till respektive nĂ€tverk (Röd och BlĂ„ i bilden), en separat anslutning för administration (Grön) och en för loggning (Svart). Du behöver alltsĂ„ inte blanda data, administration och loggning pĂ„ samma nĂ€tverk vilket kan vara avgörande för vissa verksamheter. Om man tittar pĂ„ vad som hĂ€nder under huven tycker jag den hĂ€r bilden förklarar hur det hĂ€nger ihop. Jag anvĂ€nder RDP, "Remote Desktop Protocol", som exempel i resonemanget. Ett klientsystem ansluter frĂ„n vĂ€nster i bilden till "Data 1". Kommunikationen transformeras i en service dĂ€r innehĂ„llet plockas ut och lĂ€ggs i en datastruktur, i vĂ„rt fall Ă€r det hĂ€ndelser i RDP, dvs tangentbordstryckningar, musförflyttningar och liknande. Datastrukturen skickas vidare till validering via en jĂ€mförelse mot ett schema dĂ€r det sĂ€kerstĂ€lls att alla strukturer och datatyper Ă€r korrekta. Ska det exempelvis vara en siffra sĂ„ kollas det. Ska det vara en bitmap sĂ„ kollas det. Det Ă€r i validerings-steget i mitten av bilden som den verkliga magin hĂ€nder! DĂ€r definierar vi vĂ„r policy för vad som Ă€r ok att göra via RDP. Om informationen godkĂ€nns (eventuellt efter att ha modifierats) sĂ„ kollas resultatet igen mot ett schema och lĂ€mnas över till en service som bygger ihop RDP-trafik och skickar den vidare till RDP-servern. All trafik som gĂ„r Ă„t andra hĂ„llet kollas pĂ„ motsvarande sĂ€tt. Och sĂ„ hĂ„ller det pĂ„! I och med att bara innehĂ„llet i trafiken hanteras blir det vĂ€ldigt osannolikt att nĂ„gon av de riktigt allvarliga sĂ€kerhetshĂ„l som funnits i RDP gĂ„r att utnyttja och man fĂ„r dessutom möjlighet att styra exakt vad som gĂ„r att göra pĂ„ skĂ€rmen! NĂ€t det gĂ€ller policy-filtren har Advenica gjort ett verkligt genidrag! De filter som implementerar policyn Ă€r nĂ€mligen Python-script! All information som ska granskas Ă€r tillgĂ€nglig i ett enkelt API. Du kan bygga precis vilken logik du vill! Det Ă€r hĂ€r som den stora skillnaden mot klassiska brandvĂ€ggar blir tydlig! Lite mer komplext att sĂ€tta upp förstĂ„s men oerhört kraftfullt! I vĂ„rt RDP-exempel vill vi kanske inte tillĂ„ta att man rör muspekaren var som helst pĂ„ skĂ€rmen, inte tillĂ„ta vilka tangenttryckningar som helst eller maskera delar av bilden? Kanske bara titta utan att pĂ„verka? Skriv bara regler för de hĂ€ndelser du vill Ă€ndra, godkĂ€nna eller ta bort! Förutom RDP finns stöd för Syslog, NTP, FTP, SFTP, NFS, SMB, SMTP, POP3, HTTP, HTTPS, SOAP och MySQL. Dessutom finns ett generellt stöd för TCP och UDP som gör att du kan skapa egna tjĂ€nster. ZoneGuard finns ocksĂ„ som mjukvaruprodukt ocksĂ„ om du hellre kör en virtuell lösning. Det hĂ€r Ă€r ett riktigt snyggt sĂ€tt att styra upp kĂ€nslig kommunikation som jag personligen tycker fler verksamheter skulle övervĂ€ga. Som vanligt nĂ€r det gĂ€ller Advenica Ă€r dokumentationen riktigt bra och ger riktigt bra stöd kring bĂ„de uppsĂ€ttning, drift, sĂ€kerhetsrutiner och utveckling av policies och services. Om man inte ska göra nĂ„gonting allt för komplext Ă€r man relativt snabbt igĂ„ng Ă€ven om policy-delen förstĂ„s krĂ€ver lite mer arbete jĂ€mfört med en brandvĂ€gg eller en nĂ€tverksdiod. Hur ska vi skĂ€ra OT-kakan? Ett omrĂ„de som debatteras flitigt Ă€r relationen mellan Purdue-modellen (ISA 95) och hur man bygger nĂ€tverk. Och hur rimmar det med tankarna i ISA 62443? Jag inbillar mig inte att jag har nĂ„got facit men hĂ€r Ă€r mina spontana tankar kring detta: (och sĂ€g gĂ€rna emot mig!) Den ursprungliga Purdue-modellen (och ISA 95) skapades inte för att underlĂ€tta för vare sig nĂ€tverksbyggare eller sĂ€kerhetsfolk. Det Ă€r ett sĂ€tt att organisera system i en komplex verksamhet sĂ„ att det gĂ„r att förstĂ„ strukturen och hĂ„lla liv i verksamheten. I och med att vi nu i mĂ„nga Ă„r byggt vĂ„ra system baserat pĂ„ Purdue och ISA 95 sĂ„ har det trots allt varit ganska naturligt att nĂ€tverk och annan kommunikation följer nivĂ„erna i modellen. I och med att krav pĂ„ skydd och tillgĂ€nglighet dessutom ocksĂ„ ofta följer nivĂ„erna blir det snyggt. ISA 62443 bryr sig inte om nivĂ„erna frĂ„n ISA 95 och Purdue men den sĂ€ger Ă„ andra sidan inte direkt att det Ă€r fel heller. I 62443 bygger man sin kommunikation baserat pĂ„ "Zones" och "Conduits" som i sin tur bygger pĂ„ systemens faktiska kommunikationsbehov, utsatthet och sĂ€kerhetskrav. Dessa Zones och Conduits kan bĂ„de Ă„terspeglas fysiskt i nĂ€tverksstrukturen eller genom andra, logiska, strukturer. I och med digitaliseringen, och i synnerhet mer extrema tankar som "Industri 4.0", har det blivit tydligt att en rent lagerbaserad kommunikation som inspirerats av Purdue-modellen inte fungerar lĂ€ngre. Det gamla traditionella tĂ€nket att hoppa mellan intillliggande nivĂ„er dödar effektivt alla möjligheter till molnbaserade lösningar men skapar ocksĂ„ en tröghet som motverkar mĂ„nga potentiella framsteg. För att nĂ„ idealen i Industri 4.0 utan att bryta mot tankarna i ISA 62443 har det uppstĂ„tt riktigt eleganta arkitektur-ramverk. DĂ€r anvĂ€nder man enbart "Zones" och "Conduits" men man gör det pĂ„ det sĂ€tt som var tĂ€nkt i 62443 utan att fĂ€rgas av traditioner frĂ„n Purdue. Min personliga favorit pĂ„ omrĂ„det Ă€r NOA, "Namur Open Architecture" som du kan lĂ€sa mer om i Nyhetsbrev #27 och #30. I slutĂ€ndan handlar det precis som vanligt om riskanalyser och bedömningar. Bedömningarna ska förstĂ„s inte bara handla om sĂ€kerhet utan ocksĂ„ hur den nĂ€tverksstruktur vi skapar gĂ„r att underhĂ„lla och byta ut över tid. Att skĂ€ra kakan med OPC UA... Peter Lutz och ISA ger oss en riktigt intressant artikel kring planerna framĂ„t för fĂ€ltnĂ€ra kommunikation med OPC UA. Det hĂ€r Ă€r ganska lĂ„ngt frĂ„n att vara min personliga specialitet men det Ă€r vĂ€ldigt intressant att se hur vĂ„ra möjligheter att framöver kunna "styra upp" kommunikation kommer att pĂ„verkas. Det finns ju en tydlig koppling till den föregĂ„ende artikeln om Purdue och Zones&Conduit nĂ€r man ser att den inre strukturen i pyramiden suddas ut. Tankarna far dessutom mot "Zero Trust" eftersom varje enhet kommer fĂ„ ta ett större ansvar i att försvara sig sjĂ€lv nĂ€r man börjar prata med fler enheter istĂ€llet för med enstaka centrala punkter. Som Peter ocksĂ„ tar upp blir en vĂ€ldigt intressant koppling till nyare underliggande tekniker som 5G, TSN och APL. Som en naturlig konsekvens av att de enhetliga kommunikationsvĂ€garna suddas ut förstĂ€rks ytterligare behovet av att ha riktigt bra insyn i vad som hĂ€nder pĂ„ nĂ€tverket. Egentligen Ă€r vĂ€l redan analyslösningar i stil med Guardian frĂ„n Nozomi nödvĂ€ndiga men i den hĂ€r framtida vĂ€rlden kommer man inte ha en chans utan dem. Det hĂ€r kommer nog ocksĂ„ ytterligare öka intresset för processnĂ€ra skydd i stil med TxOnes EdgeIPS för att skapa fĂ€ltnĂ€ra utrustning som kan försvara sig sjĂ€lv. Lite mer frĂ„n NIST Det hĂ€r Ă€r sjĂ€tte delen i min serie om standarder och ramverk. Första avsnittet i nyhetsbrev #26 handlade om ISA/IEC 62443 och i nyhetsbrev #27 tittar jag pĂ„ NAMUR NOA. I nyhetsbrev #28 var NIST CSF, NIST 800-53 och NIST 800-82 huvudattraktionen men du fick ocksĂ„ lite mer om NOA som en bonus. I nyhetsbrev #29 tittade jag pĂ„ den nya versionen av CIS Controls och i nyhetsbrev #30 . Har du önskemĂ„l om vad jag ska ta upp framöver sĂ„ fĂ„r du vĂ€ldigt gĂ€rna höra av dig! NĂ€r jag skrev om NIST-dokumenten missade jag ju att nĂ€mna ett dokument som Ă€r intressant för oss OT-mĂ€nniskor! Jag tĂ€nker pĂ„ "Cybersecurity Framework Manufacturing Profile" som Ă€r ett exempel pĂ„ det NIST CSF kallar "profiler", dvs en anpassning av CSF till en viss bransch eller verksamhet. I det hĂ€r fallet Ă€r det tillverkande industri Ă€ven om det gĂ„r att Ă„teranvĂ€nda för andra beslĂ€ktade branscher. Det man gjort Ă€r helt enkelt att man valt ut de viktigaste Ă„tgĂ€rderna i CSF för tillverkande industrier och kombinerat dem med en riskmodell i tre steg (Low/Medium/High) för att sedan beskriva vad som behöver göras i respektive kombination av dessa. Som exempel kan vi ta denna ganska korthuggna punkt om loggning i CSF-dokumentet: ...som i Manufacturing Profile istĂ€llet ser ut sĂ„ hĂ€r: Som synes fĂ„r vi mer hjĂ€lp direkt i tabellen. Man har ocksĂ„ stĂ€dat upp referenserna till att bara peka pĂ„ de tvĂ„ relevanta delarna i 62443 och dessutom mer detaljer kring var i NIST SP 800-53 man ska titta vidare. Det hĂ€r Ă€r förstĂ„s inte svaret pĂ„ alla frĂ„gor och det Ă€r inte sĂ€kert att du kan anvĂ€nda allting rakt av i din egen verksamhet men det Ă€r en riktigt bra startpunkt om du vill arbeta med NIST. Dokumentet uppdaterades senast 2019 sĂ„ det Ă€r fortfarande nĂ„gorlunda relevant. Tips om event och mer lĂ€sning! Den 26:e Augusti gĂ„r Ă„rets Xday av stapeln. Jag Ă€r en av talarna under rubriken "StĂ„ stadigt med sĂ€ker OT". Exakt vad jag kommer prata om fĂ„r ni höra om ni Ă€r med! Skynda att anmĂ€la dig! https://resources.trendmicro.com/Xday2021.html Den 28 September Ă€r jag med pĂ„ Ă„rets upplaga av CyberNorth under rubriken "Den mĂ€nskliga sidan av OT-sĂ€kerhet". CyberNorth organiseras av LuleĂ„ Tekniska Universitet och beskrivs sĂ„ hĂ€r: "Cyber North — ett i sĂ€rklass informativt event för sĂ€ker hantering av risk. Fokuset pĂ„ CyberNorth adresserar de utmaningar som finns kopplat till digitalisering inom processindustrin och sĂ€rskilt kopplat till Cyber/informationssĂ€kerhet." Glöm inte anmĂ€la dig! Du missade vĂ€l inte de tvĂ„ nyhetsbrev jag slĂ€ppt tidigare under sommaren? Nummer #30 och #31. En detaljerad genomgĂ„ng av de potentiella sĂ€kerhetsriskerna med privata 4G/5G-nĂ€t för industriella miljöer gjord av Trend Micro och Institute of Information Industry. De tittar inte bara pĂ„ sjĂ€lva nĂ€ten utan hur den typen av angrepp skulle kunna anvĂ€ndas i typiska OT-sammanhang med en lĂ„ng radda attackscenarier. En utmĂ€rkt pĂ„minnelse frĂ„n Brian Krebs kring nyttan av att kolla att man har tid att lĂ€sa tillbaka sina backuper. Hans vinkel Ă€r att mĂ„nga organisationer betalar för ransomware-nycklar just för att de plötsligt inser att det kommer ta flera Ă„r att lĂ€sa tillbaka en fullstĂ€ndig backup. Den vinkeln har inte sĂ„ mycket att göra med OT direkt men tanken att faktiskt kolla att man har backuper och att de verkligen gĂ„r att lĂ€sa tillbaka Ă€r VÄLDIGT relevant för de flesta OT-miljöer! https://krebsonsecurity.com/2021/07/dont-wanna-pay-ransom-gangs-test-your-backups/ Intressant analys av sĂ„rbarheter i bĂ„de PLCer och molntjĂ€nster baserade pĂ„ CODESYS frĂ„n Clarotys nyligen omdöpta forskningsgrupp Team82. De visar hur de kan ta över en PLC frĂ„n WAGO via den tillhörande molntjĂ€nsten men ocksĂ„ omvĂ€nt kan ta över molntjĂ€nsten via en sĂ„rbarhet i PLCn. Det hĂ€r Ă€r viktiga frĂ„gor som mĂ„nga med ambitioner Ă„t "Industri 4.0"-hĂ„llet kommer stĂ€llas inför. Men det Ă€r ett problem Ă€ven annars eftersom vĂ€ldigt mĂ„nga OT-produkter baseras pĂ„ CODESYS. https://www.claroty.com/2021/07/21/blog-research-exploiting-vulnerabilities-in-the-ot-cloud-era/ Det hĂ€r nyhetsbrevet vĂ€nder sig till personer som Ă€r intresserade av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats@ot-sakerhet.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats@ot-sakerhet.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #31

    Dags för en sommarlĂ€tt utgĂ„va av nyhetsbrevet! Jag jĂ€mför OT-sĂ€kerhet med informationssĂ€kerhet, kollar hur fort virtuell patchning löste PrintNightmare och tar en nĂ€rsynt titt pĂ„ en massa fina prylar frĂ„n Moxa. Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det till största delen skrivs hemma i TV-soffan. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ vissa artiklar frĂ„n nyhetsbreven publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Precis som informationssĂ€kerhet! NĂ€r man försöker lĂ€ra sig om OT-sĂ€kerhet fĂ„r man lĂ€tt intrycket att "det Ă€r IT-sĂ€kerhet men för OT-prylar". Jag förstĂ„r att man tĂ€nker sĂ„, jag tĂ€nkte nĂ€mligen sjĂ€lv sĂ„ tidigare... Men nĂ€r man dyker lite djupare i resonemangen inser man att det inte Ă€r fullt sĂ„ enkelt. I mitt eget resonemang finns en massa, kanske lite ovĂ€ntade, paralleller till informationssĂ€kerhet. Va? InfosĂ€k? Ja faktiskt! Ett populĂ€rt sĂ€tt att tĂ€nka Ă€r att IT-sĂ€kerhet Ă€r en del av det större begreppet informationssĂ€kerhet och att det dĂ€rför Ă€r behoven av skydd för informationen som stĂ€ller krav pĂ„ IT-sĂ€kerhet. Det ligger förstĂ„s mycket i det, eftersom det Ă€r via skyddet av information som IT-sĂ€kerhet fĂ„r sina övergripande prioriteringar. MEN! Det Ă€r ju vĂ€ldigt uppenbart nu för tiden att det krĂ€vs en ganska rejĂ€l dos IT-sĂ€kerhet för att hĂ„lla liv i vilket IT-system som helst, oavsett om det Ă€r ett kassasystem pĂ„ COOP eller nĂ„gons nyligen raderade NAS hemma. Bara det att du har ett system som du vill hĂ„lla liv i krĂ€ver ganska mycket sĂ€kerhetsanstrĂ€ngningar oavsett vad det ska anvĂ€ndas till! NĂ€r folk pratar om OT-sĂ€kerhet tenderar de ofta att fastna pĂ„ att skydda systemen i sig sjĂ€lva. Det Ă€r inte sĂ„ konstigt, eftersom prylarna tenderar att vara vĂ€ldigt ömtĂ„liga och nĂ€stan alltid byggda med teknik som inte kan vara sĂ€ker. "Insecure by design". Precis som för IT-sĂ€kerhet krĂ€vs det dĂ€rför anstrĂ€ngningar för att systemen överhuvudtaget ska kunna överleva i en omvĂ€rld som Ă€r allt mer hotfull och aggressiv. MEN! Om du istĂ€llet fokuserar ditt sĂ€kerhetsarbete pĂ„ att hĂ„lla igĂ„ng din fysiska process sĂ„ mĂ„ste du helt plötsligt fokusera pĂ„ den betydelse dina system har för verksamheten och kanske för samhĂ€llet runt omkring. Det Ă€r hĂ€r jag drar min parallell till informationssĂ€kerhet! Plötsligt Ă€r det verksamheten som bestĂ€mmer var som Ă€r viktigast! Har du en potentiellt farlig verksamhet kanske samhĂ€llet stĂ€ller krav pĂ„ dig ocksĂ„ för att skydda omgivningarna... Men den viktigaste likheten med skydd av information Ă€r att sĂ€kerhetsĂ„tgĂ€rder inte alltid behöver sitta i systemen! Är din fysisk process byggd sĂ„ att det faktiskt Ă€r omöjligt för den att bli farlig för omgivningen oavsett vad en elak hacker gör med systemen sĂ„ Ă€r vĂ€l det en mycket Ă„tgĂ€rd Ă€n att försöka stoppa hackern. Det finns förstĂ„s fler skĂ€l att vilja stoppa en hacker men Ă„tgĂ€rderna, och framför allt kostnaderna för dem, blir annorlunda om man redan löst en del av utmaningarna. Precis som inom IT Ă€r kontinuitetsplanering tyvĂ€rr ofta en underskattad del av sĂ€kerhetsarbetet. Naturligtvis kan man vĂ€lja att inte ha alternativa rutiner om systemen rasar, det Ă€r en riskavvĂ€gning man förstĂ„s fĂ„r göra. MEN! Allt fler verksamheter hamnar dĂ€r vare sig de vill eller inte, det Ă€r helt enkelt inte möjligt att bedriva vissa verksamheter pĂ„ ett meningsfullt (eller lagligt) sĂ€tt utan IT-stöd. Jag gissar (en ren killgissning!) att COOP (eller ICA...) inte fĂ„r sĂ€lja nĂ„got utan fungerande kassasystem eftersom skatteverket har höga krav pĂ„ spĂ„rbarhet. PĂ„ samma sĂ€tt skulle jag sjĂ€lv föredra att Seveso-klassade verksamheter lĂ€t bli att köra sin verksamhet utan fungerande sĂ€kerhetssystem... Jag tycker alltsĂ„ faktiskt att OT-sĂ€kerhet i stort mest liknar informationssĂ€kerhet, om man nu ska jĂ€mföra... Inom OT-sĂ€kerhet finns ju dĂ„ ocksĂ„ nĂ„got som pĂ„ ytan liknar IT-sĂ€kerhet dĂ€r man skyddar sina system, men som pĂ„ grund av att vĂ„ra förutsĂ€ttningar och prioriteringar faktiskt skiljer sig vĂ€ldigt mycket. I slutĂ€ndan hĂ„ller jag dĂ€rför fast vid att OT-sĂ€kerhet mĂ„ste handla om bĂ„de sĂ€kerhet i den fysiska processen och skyddet av de tekniska systemen! En stor poĂ€ng med likheten mellan OT-sĂ€kerhet och informations&IT-sĂ€kerhet Ă€r att man kan bedriva ett vettigt gemensamt risk- och sĂ€kerhetsarbete. Som du kanske lĂ€ste i förra nyhetsbrevet tycker jag att det finns stor anledning hĂ„lla att sĂ€kerheten inom IT och OT pĂ„ jĂ€mförbara nivĂ„er. I takt med att verksamhetsutveckling ofta Ă€r beroende av bĂ„de IT- och OT-stöd ser jag allt oftare att sĂ€kerhetsĂ„tgĂ€rder i de bĂ„da omrĂ„dena möjliggör nya sĂ€tt att driva verksamheten och nya sĂ€tt att skapa vĂ€rde. Det Ă€r ju nĂ€r sĂ€kerhetsarbete skapar möjligheter som det Ă€r som allra roligast att vara i den hĂ€r branschen! Fungerar det i verkligheten? Jag har tidigare skrivit om TxOnes produkter för nĂ€tverkssĂ€kerhet i OT-system, se exempelvis nyhetsbrev #23 och #26. I samband med ett införande av dessa produkter hos en industrikund passade jag pĂ„ att titta pĂ„ hur snabbt hanteringen av nya sĂ„rbarheter fungerar i praktiken, speciellt i de fall nĂ€r TxOne och deras kompisar pĂ„ "Zero Day Initiative" inte har förhandsinformation om sĂ„rbarheten. (Dvs nĂ€r de har sĂ€mst förutsĂ€ttningar för att agera snabbt.) Ingen som lĂ€ser det hĂ€r nyhetsbrevet har vĂ€l missat "PrintNightmare", den smaskiga bristen i printspoolern i Windows? Annonseringen av sĂ„rbarheten rĂ„kade ju dessutom bli lite snurrig vilket gjorde den lite extra intressant att titta pĂ„ som exempel. 1:a Juli – SĂ„rbarheten annonserades av Microsoft efter att exploit-kod av misstag (?) publicerats pĂ„ Github. 2:a Juli – TxOne Ă€r klar med en IPS-regel baserat pĂ„ hur sĂ„rbarheten kan utnyttjas. Regeln slĂ€pps pĂ„ validering i 72 timmar för att sĂ€kerstĂ€lla kvaliteten. 6:e Juli – IPS-regeln slĂ€pps för nedladdning och min kunds system laddar automatiskt ner filen. EdgeIPS och EdgeFire skyddar omgĂ„ende mot sĂ„rbarheten Ă€ven pĂ„ helt opatchade system. Hur ska man tĂ€nka om det hĂ€r dĂ„? Man kan tycka att det Ă€r lite lĂ„ngsamt att det tar flera dagar frĂ„n annonsering till aktivt skydd? Personligen tycker jag inte det eftersom: Om man har möjlighet att lĂ€gga pĂ„ kritiska patchar snabbt sĂ„ hade det förstĂ„s kunna göras snabbare. MEN! Det förutsĂ€tter att man kan installera patchar i sin produktionsmiljö. Och att man vill installera sprillans nya (och dĂ€rmed relativt oprövade) patchar dĂ€r. Det hĂ€r Ă€r den lĂ„ngsamma varianten av hĂ€ndelseförloppet. I det hĂ€r fallet var TxOne och Zero Day Initiative inte alls inblandade i upptĂ€ckten av sĂ„rbarheten. Ofta Ă€r de det och dĂ„ har IPS-regeln förberetts redan innan sĂ„rbarheten Ă€r publik och kan slĂ€ppas i samma ögonblick som Microsoft annonserar sĂ„rbarheten. Den 6:e Juli har kanske nĂ„gra enstaka, riktigt snabba, verksamheter börjat installera den hĂ€r patchen pĂ„ sina mest kritiska och mest utsatta system. Extremt fĂ„ organisationer kommer att ens vara nĂ€ra att göra det pĂ„ servrar och PC i nĂ„gon form av OT-miljö. Det hĂ€r Ă€r snabbt! I efterhand har det visat sig att Microsoft ”klantade till” sin patch sĂ„ den inte skyddar mot alla varianter av attacker mot dessa sĂ„rbarheter. Eftersom TxOne skapar sitt skydd pĂ„ ett oberoende sĂ€tt Ă€r det osannolikt att de tvĂ„ har samma problem vilket gör TxOne till ett vettigt skydd Ă€ven för patchade system i det hĂ€r fallet! Totalt sett tycker jag personligen att man hĂ„ller vad man lovat med rĂ„ge! Att kunna gĂ„ frĂ„n noll till implementerat skydd i OT-system pĂ„ nĂ„gra fĂ„ dagar slĂ„r det mesta jag sett. SjĂ€lvklart mĂ„ste man som alltid sjĂ€lv besluta om det finns risker med att slĂ€ppa pĂ„ den hĂ€r typen av skydd men jag skulle sjĂ€lv föredra en produkt som testas utifrĂ„n OT-vĂ€rldens förutsĂ€ttningar Ă€n nĂ„got annat som forceras ut pĂ„ andra premisser. Det Ă€r riktigt roligt att se lösningar som ger relevanta lösningar pĂ„ praktiska problem och som fungerar i verkligheten! Massor med MOXA! MOXA Ă€r ett företag som det nĂ€stan inte gĂ„r att undvika om man rör sig i OT-vĂ€rlden. De tillverkar en vĂ€ldig massa intressanta prylar, allt frĂ„n serieportar och mediakonverterare via nĂ€tverksswitchar och accesspunkter till datorer och sĂ€kerhetsutrustning. HĂ€r i nyhetsbrevet har de dykt upp flera gĂ„nger som en av delĂ€garna (tillsammans med Trend Micro) av TxOne. Jag fick nyligen möjlighet att utforska en del andra delar av deras sortiment och tĂ€nkte fokusera pĂ„ de delar som har mest med sĂ€kerhet att göra hĂ€r. Det blir TxOne-grejor och VPN-tjĂ€nster. Funderar du över deras switchar, I/O-enheter eller powersupplies sĂ„ Ă€r det bara att höra av dig! Om vi börjar med grejorna frĂ„n TxOne sĂ„ sĂ€ljer ju MOXA och Trend Micro dem var för sig Ă€ven om produkterna förstĂ„s Ă€r vĂ€ldigt lika. Men de Ă€r inte identiska, och jag tĂ€nkte fokusera pĂ„ skillnaderna hĂ€r. För att lĂ€sa mer om det gemensamma hĂ€nvisar jag gĂ€rna till nyhetsbrev #23. En skillnad mellan bolagens erbjudanden Ă€r ocksĂ„ att den stora rackmonterade varianten "EdgeIPS Pro" som jag skrev om i nyhetsbrev #26 bara finns i Trend Micros erbjudande. Redan pĂ„ utsidan finns det skillnader. Samtliga Ă€r smĂ„ men massiva pjĂ€ser med enorma kylflĂ€nsar som möjliggör drift utan flĂ€ktar frĂ„n -40˚C upp till +75˚C. De smĂ„ IPS-enheterna Ă€r identiska pĂ„ utsidan förutom loggorna. MOXA kallar dem EtherCatch och Trend Micro kallar dem EdgeIPS. De större brandvĂ€ggarna har nĂ„gra intressanta skillnader redan pĂ„ utsidan. BĂ„da tillverkarna kallar dem EtherFire men dĂ€r slutar ocksĂ„ likheterna. MOXAs variant Ă€r lite mer kompakt till formatet vilket kan vara en fördel, jag har sjĂ€lv varit med om att den mer avlĂ„nga varianten frĂ„n Trend Micro inte fick plats mellan tvĂ„ kabelrĂ€nnor i en maskin. Å andra sidan saknar MOXAs variant RJ45-portar för WAN-anslutningen och har istĂ€llet enbart SFP-portar, frĂ„n Trend Micro fĂ„r du bĂ„da varianterna. MOXAs variant Ă€r intressant nog förberedd med kabelplintar för en digital insignal och en relĂ€utgĂ„ng för felindikering men de verkar inte vara aktiva i den nuvarande versionen. AdministrationsgrĂ€nsnitten Ă€r vĂ€ldigt lika. Dock ska man komma ihĂ„g att om man anvĂ€nder de smidiga management-servrarna sĂ„ verkar man inte kunna blanda produkter frĂ„n MOXA och Trend Micro. De Ă€r enkla att sĂ€tta upp och man kan snabbt vara igĂ„ng. Att MOXA och Trend Micro som företag har lite olika bakgrund skiner igenom i administrationen av virtuell patchning och IPS-funktioner. MOXA som vĂ€l kan sĂ€gas traditionellt har vĂ€nt sig till automationsfolket i första hand har skalat ner möjligheterna detaljkonfigurera IPS-reglerna till förmĂ„n för att göra det enkelt att konfigurera, det Ă€r av eller pĂ„... Trend Micro som kommer mer frĂ„n IT-vĂ€rlden ger fler möjligheter att sjĂ€lv styra över vilka IPS-regler som ska anvĂ€ndas men det ger förstĂ„s en ökning av komplexiteten. Personligen har jag ingen stark preferens Ă„t nĂ„got hĂ„ll, bĂ„da upplĂ€ggen har sina fördelar. Ni som lĂ€st mina artiklar om TxOne tidigare vet att jag gillar deras produkter. Det var intressant att se de skillnader man valt att skapa mellan de tvĂ„ produktlinjerna. Vilken man föredrar kanske handlar mest om personlig preferens och vilken leverantör man vill jobba med. Funktionaliteten Ă€r lika imponerande i bĂ„da tvĂ„ och om man tĂ€nker sig att bygga segmentering med stöd för IDS/IPS och Virtuell patchning fysiskt nĂ€ra sin automationsutrustning sĂ„ kĂ€nner inte jag till nĂ„got starkare erbjudande Ă€n det som TxOne kommer med! Den andra produkten frĂ„n MOXA som jag tittat nĂ€rmare pĂ„ Ă€r MRC, "Moxa Remote Connect". MRC Ă€r en VPN-lösning som kombinerar central styrning med lokal anslutningar. Det hĂ€r med fjĂ€rranslutningar Ă€r ju nĂ„got som jag skrivit om mĂ„nga gĂ„nger förut, det Ă€r ett svĂ„rt problem som leder till kluriga utmaningar sĂ€kerhetsmĂ€ssigt. NĂ€r jag tittat pĂ„ den hĂ€r typen av lösningar tidigare sĂ„ har det ofta handlat om verksamheter som har riktigt höga krav pĂ„ skydd. DĂ€r man, förutom en skyddad uppkoppling, behöver ha koll pĂ„ exakt vem som kopplar upp sig, vem som har rĂ€tt att slĂ€ppa in dem och vad de faktiskt gjorde. Men om verksamheten inte har sĂ„ extrema krav, vad gör man dĂ„? Hur gör man nĂ„gonting Ă„tkomligt pĂ„ Internet men med sĂ„ fĂ„ av de risker som det innebĂ€r att sĂ€tta en klassisk VPN pĂ„ nĂ€tet? Vi hör dagligen om dĂ„ligt patchade VPN-tjĂ€nster som missbrukas av elakt folk... Lösningen som jag tittat pĂ„ frĂ„n MOXA kombinerar smĂ„, smidiga VPN-enheter med en molntjĂ€nst dĂ€r den faktiska ihopkopplingen sker. Det innebĂ€r att den fysiska VPN-enheten inte "syns" pĂ„ Internet eftersom den ocksĂ„ kopplar upp sig mot molntjĂ€nsten. SjĂ€lvklart Ă€r vi dĂ€rmed beroende av att MOXA sköter sĂ€kerheten i sin molntjĂ€nst men tanken med den hĂ€r typen av lösningar Ă€r att det sannolikt gĂ„r bĂ€ttre Ă€n att hĂ„lla lokala VPN-tjĂ€nster uppdaterade. Vill man hellre köra "molntjĂ€nsten" i egen regi sĂ„ gĂ„r det ocksĂ„ att göra. Den fysiska enheten finns i ett par varianter, med eller utan 4G-stöd. De gĂ„r att koppla in pĂ„ ett antal sĂ€tt, antingen "osynligt" i ett befintligt nĂ€tverk eller som en mer klassisk router. PĂ„ undersidan finns en digital ingĂ„ng och en relĂ€utgĂ„ng som ger möjlighet att styra om det ska gĂ„ att koppla upp sig med hjĂ€lp av en nyckelbrytare eller styrt av en PLC. RelĂ€utgĂ„ngen ger dig en indikering pĂ„ nĂ€r uppkopplingen anvĂ€nds. I molntjĂ€nsten konfigurerar du dina VPN-enheter och dina anvĂ€ndare. Du styr vem som ska ha tillgĂ„ng till vad om 2-faktorinloggning ska anvĂ€ndas. För att fĂ„ till den första konfigurationen kan du (om du vill) skicka den som en fil till personen som ska koppla in VPN-enheten. Man lĂ€gger filen pĂ„ ett USB-minne som ansluts till enheten och vips sĂ„ Ă€r den konfigurerad! Smidigt och enkelt sĂ€tt att undvika att man behöver ha folk pĂ„ plats som kan produkten. För att koppla upp sig installerar man MOXAs VPN-programvara som Ă€ven den kan konfigureras genom att skicka en fil till anvĂ€ndaren. De enheter man har tillgĂ„ng till dyker upp i programmet och du vĂ€ljer med ett klick vilka som ska kopplas upp just nu. I och med att du kan arbeta mot flera olika gateways samtidigt blir det hĂ€r ett otroligt smidigt verktyg. Med samma lösning kan du ocksĂ„ skapa site-till-site anslutningar sĂ„ att utrustningar kan "prata" med varandra. Naturligtvis ska man komma ihĂ„g att det Ă€r en VPN-tjĂ€nst och ingenting annat. Behöver man mer skydd Ă€n vad krypterad fjĂ€rrkoppling med bra behörighetsstyrning kan ge sĂ„ finns det andra (betydligt dyrare) lösningar. Behöver man inte mer sĂ„ Ă€r det dumt att köpa nĂ„got man inte vill ha! I det hĂ€r fallet ingĂ„r molntjĂ€nsten nĂ€r du köper burken Ă€ven om det förstĂ„s finns vissa begrĂ€nsningar i mĂ€ngden data och antalet enheter du kan ansluta. Det hĂ€r kĂ€nns som en enkel lösning att komma igĂ„ng med som man inte kommer vĂ€xa ur i första taget. Du kan hantera flera olika typr av behov med samma lösning vilket Ă€r bra supportmĂ€ssigt. Möjligheten att styra nĂ€r det gĂ„r att koppla upp sig via en digital ingĂ„ng kĂ€nns som ett bra sĂ€tt att lĂ„ta anlĂ€ggningens operatörer kan styra över nĂ€r det Ă€r sĂ€kert att hantera den pĂ„ distans. Tips om event och mer lĂ€sning! Den 26:e Augusti gĂ„r Ă„rets Xday av stapeln. Jag Ă€r en av talarna under rubriken "StĂ„ stadigt med sĂ€ker OT". Exakt vad jag kommer prata om fĂ„r ni höra om ni Ă€r med! Skynda att anmĂ€la dig! https://resources.trendmicro.com/Xday2021.html Riktigt bra snabbguide till alla delar av ISA 62443 frĂ„n Verve. https://verveindustrial.com/resources/blog/the-ultimate-guide-to-protecting-ot-systems-with-iec-62443/ Verica delar ut boken "Chaos Engineering - System Resilience in Practice" alldeles gratis. Jag skrev om Chaos Engineering i Nyhetsbrev #20, denna intressanta metod som kanske Ă€r mest kĂ€nd frĂ„n Netflix som löpande testar sin infrastruktur genom att med flit introducera slumpmĂ€ssiga fel. Boken Ă€r inte specifik för OT men har ett kapitel kring Cyberfysiska system som bland annat tittar pĂ„ relationen mellan kaos-engineering och FMEA. Det finns ocksĂ„ intressanta kopplingar till sĂ€kerhetskultur. https://www.verica.io/book/ Jake Brodsky delar med sig av sina tankar kring kryptering i styrsystem, ett omrĂ„de som blivit hett de senaste veckorna. https://scadamag.infracritical.com/index.php/2021/07/09/applying-cryptography-to-control-systems/ En liten rant frĂ„n Dale Peterson om orden vi anvĂ€nder och deras betydelser. https://www.linkedin.com/pulse/terminology-tipping-points-dale-peterson/?trackingId=NJQY0x3BI3%2B2m1fW8K9ZfQ%3D%3D För den som vill lĂ€sa mer av mina alster sĂ„ finns nĂ„gra av mina artiklar med koppling till OT-sĂ€kerhet pĂ„ Ateas officiella blogg. Var lĂ€cker din bĂ„t? https://www.atea.se/it-specialisten/sakerhet/var-lacker-din-bat/?pid=19773 Jag hade fel! https://www.atea.se/it-specialisten/sakerhet/jag-hade-fel/ SĂ€ker programmering av PLC! https://www.atea.se/it-specialisten/sakerhet/saker-plc/ Vad Ă€r NIST? https://www.atea.se/it-specialisten/sakerhet/vad-menas-med-nist/ Sluta segmentera! https://www.atea.se/it-specialisten/sakerhet/sluta-segmentera/ Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/ Vad Ă€r OT-sĂ€kerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ En jĂ€mförelse mellan ISO 27000 och ISA 62443: https://www.atea.se/it-specialisten/sakerhet/isa-62443-battre-an-iso-27000/ Industri 4.0 blir lĂ€ttare och sĂ€krare med NAMUR NOA: https://www.atea.se/it-specialisten/sakerhet/klurigt-med-industri-4-0-svaret-ar-noa/ Det nya maskindirektivet: https://www.atea.se/it-specialisten/sakerhet/ce-markt-sakerhet/ Det hĂ€r nyhetsbrevet vĂ€nder sig till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #30 - MĂ„ltavlor, Industri 4.0 och Jubileum

    Jag firar att det trettionde nyhetsbrevet Ă€r utgivet med en snabb kopp kaffe innan det Ă€r dags att fortsĂ€tta skriva pĂ„ nummer 31 och 32. Nej, allvarligt talat sĂ„ kĂ€nns det riktigt stort att "ha fyllt 30"! Jag hade aldrig trott att gensvaret skulle bli sĂ„ hĂ€r stort nĂ€r jag drog igĂ„ng nyhetsbrevet för snart tvĂ„ Ă„r sedan och skickade det första utskicket till mina dĂ„varande fyra (!) lĂ€sare... Nyhetsbrevet kommer förstĂ„s alltid att vara extremt nischat, men med tanke pĂ„ just detta sĂ„ Ă€r de 500-700 lĂ€sare ett inlĂ€gg har idag helt fantastiskt! Det har börjat dyka upp lĂ€sare utanför Sverige med önskemĂ„l om engelska men jag kommer hĂ„lla kvar i att skriva pĂ„ svenska som förstasprĂ„k. Den hĂ€r gĂ„ngen kĂ€nner vi mĂ„ltavlan pĂ„ vĂ„ra ryggar, funderar vilket sĂ€tt vi ska stava till "Industrie 4.0", lĂ€ser en ny del i NAMURS NOA-serie och hittar nya sĂ€tt att mĂ€ta risker. Du fĂ„r ocksĂ„ mina bĂ€sta pod-tips och en massa annat. Ett riktigt varmt tack till er alla som lĂ€ser mina spretiga tankar om detta udda, men ack sĂ„ viktiga, Ă€mne. Det hĂ€r nyhetsbrevet Ă€r ju nĂ„got som jag fortfarande tycker Ă€r vĂ€ldigt roligt att skapa, vilket förstĂ„s Ă€r viktigt eftersom det i allra högsta grad Ă€r ett hobby-projekt, dĂ„ det till största delen skrivs hemma i TV-soffan. Framöver kommer jag försöka öka tempot lite i utgivningarna men istĂ€llet lĂ„ta innehĂ„llet bli motsvarande kortare. Jag siktar pĂ„ att ge er nyhetsbrev ungefĂ€r var 14:e dag framöver Ă€ven om det kan variera lite, inte minst över sommaren. Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ vissa artiklar frĂ„n nyhetsbreven publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! KĂ€nner du mĂ„ltavlan pĂ„ ryggen? HĂ€romdagen lĂ€ste jag en artikel av Vytautas Butrimas som, precis som vanligt, gör en radda kloka observationer. HuvudpoĂ€ngen Ă€r att organisationer som sysslar med kritisk infrastruktur aldrig fĂ„r glömma att de Ă€r vĂ€ldigt utsatta. Att allting som de gör (eller lĂ„ter bli att göra) kommer aktörer i omvĂ€rlden att försöka utnyttja. Det hĂ€r Ă€r förstĂ„s egentligen inga nyheter för nĂ„gon. Samtidigt tycks det vara lĂ€tt att glömma att slutmĂ„let för angriparna inte Ă€r att slĂ„ mot den kritiska infrastrukturen i sig utan att anvĂ€nda den som ett slagtrĂ€ mot samhĂ€llet i stort. Dels som en störning och dels som en kraftfull psykologisk effekt. Det hĂ€r Ă€r viktigt att komma ihĂ„g nĂ€r man sitter dĂ€r i sin risk-workshop och undrar "varför skulle nĂ„gon vilja angripa oss?". Att alltid kĂ€nna mĂ„ltavlan pĂ„ ryggen och att alltid peka pĂ„ jobbiga begrĂ€nsningar Ă€r tufft. HĂ€r Ă€r det viktigt att man har vettiga rutiner för belysa risker i alla typer av Ă€ndringar som kan pĂ„verka sĂ€kerheten. NĂ„got som jag personligen tycker Ă€r en underskattad komponent i det sammanhanget Ă€r att ge organisationen en gemensam syn pĂ„ de hot som man stĂ„r inför. Om alla i organisationen har samma bild av vad man behöver skydda sig mot blir sĂ€kerhetsarbetet oerhört mycket enklare. Organisationer som har verksamheter som faller under sĂ€kerhetsskyddslagen och som tillhör nĂ„gon av de tvĂ„ högsta konsekvensnivĂ„erna (och dĂ€rför kallas "SĂ€rskilt sĂ€kerhetskĂ€nslig verksamhet"), fĂ„r ju en sĂ„ kallad DHB, "Dimensionerande Hotbeskrivning", av SÄPO och tillsynsmyndigheterna. Även om man inte bedriver sĂ€kerhetskĂ€nslig verksamhet, eller inte ens kritisk infrastruktur, tycker jag nĂ„got i stil med en DHB Ă€r ett fantastiskt kraftfullt sĂ€tt att definiera sin egen kravnivĂ„. Det Ă€r nĂ„got som passar alla typer av organisationer! Men se samtidigt upp sĂ„ att ni inte stoppar in en massa onödigt kĂ€nslig information i i beskrivningen, den fĂ„r inte bli "hemligstĂ€mplad" - innehĂ„llet behöver ju vara kĂ€nt inom den egna organisationen för att kunna göra nĂ„gon nytta! Om man sedan lyckas kombinera kĂ€nslan av en stĂ€ndig mĂ„ltavla pĂ„ ryggen med tĂ€nket "assume breach", dvs att man antar att angreppen redan lyckats och dĂ€rför behöver kunna upptĂ€ckas och hanteras sĂ„ har man sannolikt den perfekta instĂ€llningen till sitt sĂ€kerhetsarbete! Inget av det hĂ€r Ă€r specifikt för OT-sĂ€kerhet men jag tror att det Ă€r extra viktigt för oss. Eftersom vi ofta har lite mer extrema konsekvenser med i vĂ„r riskekvation och eftersom vi gĂ€rna blir lite begrĂ€nsade i vilka sĂ€kerhetsĂ„tgĂ€rder som Ă€r möjliga att anvĂ€nda blir det helt avgörande att klyschan "SĂ€kerhet Ă€r en del i allt vi gör" faktiskt inte Ă€r en klyscha. Jag skulle vilja utöka den till att "SĂ€kerhet Ă€r en del i allt som ALLA gör" sĂ„ att vi fĂ„r med alla pĂ„ tĂ„get. Lite pĂ„ samma tema har det börjat gĂ„ upp för allt fler att IT och OT inte bara Ă€r ett hot mot varandra utan att de bĂ„da tvĂ„ tillsammans ofta Ă€r helt avgörande för att kunna bedriva en verksamhet. Tiden nĂ€r vi kunde "köra vidare utan IT" Ă€r förbi för de flesta verksamheter. Det Ă€r lite mĂ€rkligt att sĂ„ mĂ„nga blev förvĂ„nade över att man "stoppade driften" av pipelinen i östra USA nyligen pĂ„ grund av ett IT-angrepp. Det beror kanske delvis pĂ„ att man inte förstĂ„r hur den typen av verksamhet funkar och delvis pĂ„ att hĂ€ndelsen fördummats i diverse media som att "de inte ville köra produktionen om de inte kunde fakturera". Det talas om "konvergensen mellan IT och OT", vilket mĂ„nga vĂ€ljer att tolka som att systemen vĂ€xer ihop. Jag ser det inte pĂ„ det sĂ€ttet, Ă€ven om förstĂ„s integrationen mellan de tvĂ„ vĂ€rldarna ökar. IstĂ€llet Ă€r det viktiga att verksamhetens risker blir allt mer gemensamma mellan IT och OT. Stannar produktionen sĂ„ har den stannat, om det var IT eller OT som "stĂ€llde till" det spelar mindre roll. Vi har i alla fall passerat punkten dĂ€r man inte lĂ€ngre kan skylla bristande sĂ€kerhetsarbete pĂ„ "att man inte visste". Om verksamhetens ledning inte arbetar aktivt med risker och sĂ€kerhet idag sĂ„ Ă€r man antingen inkompetent eller förd bakom ljuset. Att medvetet vĂ€lja att göra ingenting Ă€r sjĂ€lvklart fortfarande möjligt men det Ă€r inte lĂ€ngre ett automatiskt utgĂ„ngslĂ€ge. Vi som arbetar med sĂ€kerhet har ett stort ansvar att förmedla en korrekt bild till vĂ„r ledning och vĂ„ra medarbetare! Mer NOA frĂ„n NAMUR! Det duggar tĂ€tt mellan storstilade leveranser. Bara dagen efter att "Top 20 Secure PLC Coding Practices" lanserades (som du sĂ„g i förra nyhetsbrevet) dök nĂ€sta del av NAMUR Open Architecture (NOA) upp. Nu Ă€r det dokumentet NE 176 “NAMUR Open Architecture – NOA Information Model“ som Ă€r tillgĂ€ngligt, den tredje delen av totalt fem planerade. Det hĂ€r Ă€r femte delen i min serie om standarder och ramverk. Första avsnittet handlade om ISA/IEC 62443 och finns i nyhetsbrev #26. I nyhetsbrev #27 tittar jag pĂ„ NAMUR NOA. I nyhetsbrev #28 tittade jag pĂ„ NIST CSF, NIST 800-53 och NIST 800-82 men du fick ocksĂ„ lite mer om NOA som en bonus. I förra nyhetsbrevet tittade jag pĂ„ den nya versionen av CIS Controls och funderade pĂ„ hur den passar för OT. Har du önskemĂ„l om vad jag ska ta upp framöver sĂ„ fĂ„r du vĂ€ldigt gĂ€rna höra av dig! Jaha? Kanske du undrar... "Informationsmodeller! Vad har det med OT-sĂ€kerhet att göra?" Inte sĂ„ mycket pĂ„ ytan kanske men i praktiken tycker jag att det Ă€r helt avgörande för sĂ€kerheten i en OT-verksamhet som börjat ta sig mot "Industri 4.0". Om det Ă€r nĂ„gonting som förstör de bĂ€sta sĂ€kerhetsmĂ€ssiga intentioner sĂ„ Ă€r det integrationer mellan system dĂ€r man tagit genvĂ€gar. Usla API:er, dĂ„liga nĂ€tverksprotokoll och allmĂ€nt kass koll pĂ„ vad som kommunicerar med vad, leder ofelbart till att den dĂ€r fina segmenteringen förstörs och din dyra brandvĂ€gg blir bara en schweizer-ost med blinkande lampor... Det som Ă€r kul med att just den hĂ€r delen blev tillgĂ€nglig Ă€r att vi nu har tillgĂ„ng till de tre viktigaste delarna. Det som vi inte fĂ„tt Ă€nnu Ă€r "NE 178 – NOA Verification of Request" och "NE 179 – NOA Aggregating Server" som förvisso Ă€r viktiga och intressanta men inte helt nödvĂ€ndiga för att börja anvĂ€nda det hĂ€r smarta tĂ€nket. Och precis det Ă€r ju viktigt att komma ihĂ„g - man mĂ„ste ju inte anvĂ€nda alla detaljer i NOA utan kan ocksĂ„ nöja sig med att luta sig mot tĂ€nket. Det gör vi hos nĂ„gra av mina kunder just nu, dĂ€r det viktiga Ă€r att se datainsamlingen som en separat funktionalitet vĂ€rdig egna system och egna nĂ€tverk sĂ„ att man inte pĂ„verkar befintliga produktionsutrustningar. Hur lĂ„ngt man vill gĂ„ med exempelvis diodbaserade envĂ€gslösningar kan man ju lĂ„ta styras av sina riskanalyser. I mitten av juni gick konferensen "Dialog Days - Edition Process Automation", anordnad av den spĂ€nnande tillverkaren Phoenix Contact, av stapeln. En av diskussionspassen var just kring NAMUR NOA. Kan vara intressant om du vill förstĂ„ NOA bĂ€ttre. Hur passar dĂ„ det hĂ€r med NOA in i "Industri 4.0"? Varför ges NOA-dokumenten ut pĂ„ engelska och tyska? ...och Ă€r det uppenbart vad vi egentligen menar med "Industri 4.0"? Ett Ă€mne som jag tyckte var vĂ€rd en egen liten text... Industri 4.0? Industry 4.0? Industrie 4.0? Är det bara olika stavningar av samma koncept eller finns det mer i den underliggande betydelsen? Jag har hittills inte sett nĂ„gon officiellt uttalad skillnad men jag börjar personligen se viktiga skillnader som kommer kunna leda till riktigt dyra missförstĂ„nd som dessutom fĂ„r sĂ€kerhetskonsekvenser! NĂ€r man kommer ner under ytan pĂ„ begreppen "Industri 4.0", "Industry 4.0" eller "Industrie 4.0" mĂ€rker man att det finns tvĂ„ ganska olika betydelser av dem. Orginalet Ă€r förstĂ„s det formella "Industrie 4.0" som definieras av "Plattform Industrie 4.0" som i sin tur drivs av tyska staten. Den andra Ă€r nĂ„got slags luddigare och mer vardaglig betydelse i stil med att "stoppa in IoT-sensorer, dataflöden och analytics i industrin för att göra smarta saker!". Och det kanske Ă€r precis sĂ„ att vi ska skilja pĂ„ begreppen? Personligen kommer jag i fortsĂ€ttningen försöka anvĂ€nda "Industrie 4.0" nĂ€r jag tĂ€nker pĂ„ den tyska formaliserade betydelsen och "Industry 4.0" för den enklare varianten. ApropĂ„ enklare sĂ„ har "tyskarna" nu börjat förkorta "Industrie 4.0" till "I4.0", sĂ„ nu har vi ett begrepp till! För den som inte trĂ€ngt in i det enorma arbetet som "Plattform Industrie 4.0" bedriver kan det vara svĂ„rt att inse omfattningen av resultatet och de löften som det ger. Det blir speciellt tydligt nĂ€r man kommer in pĂ„ det som kallas AAS eller "Asset Administration Shell". Extremt förenklat kan man sĂ€ga att det Ă€r en datamodell för hur man beskriver vilket fysiskt objekt som helst i en industri, oavsett om det Ă€r en produkt, en maskin, ett dokument eller en motor. Datamodellen Ă€r standardiserad och finns beskriven ner pĂ„ fĂ€ltnivĂ„ för bĂ„de kommunikation mellan organisationer och för dataflöden i en produktionsprocess. Det finns samarbeten som ska sĂ€kerstĂ€lla att exempelvis ID-nummer för alla dessa typer av prylar blir standardiserade pĂ„ ett sĂ€tt som fungerar bĂ„de i de tekniska standarder som förordas (framför allt OPC UA) men ocksĂ„ i en massa andra standarder för kommunikation och fĂ€ltbussar. Men det Ă€r inte bara teknik utan Ă€ven metoder för att köpa och sĂ€lja tjĂ€nster online som passar in direkt i organisationer som följer standarderna. Det stĂ„r naturligtvis var och en fritt att ta till sig alla dessa tankar och standarder i den omfattning man vill. Extremerna Ă€r vĂ€l att antingen gĂ„ all-in eller att sno sjĂ€lva tĂ€nket i exempelvis "NAMUR Open Architecture" men applicera det pĂ„ ett eget sĂ€tt. Högst personligen Ă€r jag osĂ€ker pĂ„ hur den extremt formaliserade "tyska modellen" kommer lyckas i framtiden. Min osĂ€kerhet beror just pĂ„ den enorma komplexiteten i helheten Ă€ven om jag förstĂ„s tilltalas av den enorma elegans som genomsyrar mycket av tĂ€nket. Att det till stor del drivs av tyska organisationer hindrar inte att vi andra anvĂ€nder resultatet eftersom allting dokumenteras pĂ„ bĂ„de tyska och engelska. DĂ€remot sker en del spĂ€nnande diskussioner pĂ„ tyska och dĂ€r blir i alla fall jag snabbt utelĂ„st Ă€ven om jag försöker putsa upp min skol-tyska. SĂ€kerhetsmĂ€ssigt har det ju definitivt fördelar med hög standardisering men jag ser ocksĂ„ risker om man tillĂ€mpar standarder och lösningar som man inte riktigt förstĂ„r sjĂ€lv och dĂ€rmed inte kan hantera riskerna med. För risker finns det ju. I allting. Alltid... DĂ€remot gillar jag personligen att plocka riktigt snygga koncept, som exempelvis NOA, för att applicera en arkitektur hos mina kunder som bygger pĂ„ tĂ€nket Ă€ven om vissa tekniska lösningar Ă€r annorlunda. Är allt redan sagt om risker? Om du har följt mitt nyhetsbrev ett tag sĂ„ har du lĂ€st mina kritiska tankar kring riskanalys. (Exempelvis konsekvensdrivet riskarbete i Nyhetsbrev #25 och #26 eller kvantitativa metoder i Nyhetsbrev #16.) DĂ„ vet du att jag har lite svĂ„rt för de dĂ€r klassiska workshoparna dĂ€r man i grupp gissar sannolikhet och konsekvens för ett antal hopfantiserade risker. FastĂ€n det Ă€r kvalitativa enheter man "mĂ€ter" med sĂ„ försöker man sedan gĂ€rna sig pĂ„ att multiplicera dessa "vĂ€rden" pĂ„ risk och konsekvens. Allt för att det ska kĂ€nnas som man varit noggrann och matematiskt exakt. Men... Det var faktiskt inte det jag tĂ€nkte gnĂ€lla om den hĂ€r gĂ„ngen... Nej, jag snubblade nyligen över en 11 Ă„r gammal artikel pĂ„ den medicinska sajten "Medical Device and Diagnostic Industry". Nog för att det finns en massa spĂ€nnande OT-teknik inom sjukvĂ„rden men den hĂ€r gĂ„ngen var det riskanalys det handlade om med en lite ny vinkel som jag gillade. De lyfter fram ett antal andra dimensioner, utöver sannolikhet och konsekvens, som Ă€r vĂ€rda att fundera över och anvĂ€nda för att gradera risker. Flera av resonemangen kĂ€nner jag igen frĂ„n min tid inom kĂ€rnkraftsbranschen. Jag ska inte försöka Ă„terberĂ€tta hela artikeln utan rekommenderar att du lĂ€ser den. De "nya" vinklarna som man föreslĂ„r att man utökar sin analys med Ă€r: Detectability, vilket pĂ„ svenska vĂ€l blir "upptĂ€ckbarhet". AlltsĂ„ hur lĂ€tt Ă€r det att upptĂ€cka hĂ€ndelsen innan den fĂ„r sin konsekvens. En vĂ€ldigt sannolik risk med hög konsekvens förvandlas ju frĂ„n lĂ€skig till bara störig om den Ă€r enkel att upptĂ€cka innan skadan uppstĂ„r. Man fĂ„r förstĂ„s vara noga med att bedömma rĂ€tt sannolikhet sĂ„ att resonemanget gĂ„r ihop. Correctability som dĂ„ kanske blir "Ă„tgĂ€rdbarhet" eller "hanterbarhet"? Det handlar om att man vill prioritera de risker som Ă€r enkla att Ă„tgĂ€rda för att fĂ„ maximal total riskreduktion i sĂ€kerhetsarbetet. HĂ€r fĂ„r man förstĂ„s se upp sĂ„ det inte gĂ„r över styr men eftersom vi sĂ€llan har obegrĂ€nsat med resurser blir det gĂ€rna viktigt att satsa pĂ„ rĂ€tt hĂ€st. Product Utility Ă€r det klurigaste av dessa medicintekniska resonemang att dra en vettig parallell till för OT-sĂ€kerhet. Översatt till svenska och OT blir det "verksamhetsnytta" eller kanske "riskaptit"? Det handlar om att det kan vara lĂ€ttare att "stĂ„ ut med" risker för system som ger stor nytta eller tvĂ€rtom att man inte tolererar att risker orsakas av system som Ă€ndĂ„ inte ger stor nytta. VĂ€rt att resonera om speciellt i sammanhang dĂ€r risker uppstĂ„r i ett system men "drabbar" ett annat. Som vanligt fĂ„r man se upp med att skapa för komplexa modeller. Det Ă€r lĂ€tt gjort att man lurar sig sjĂ€lv med kĂ€nslan av att vara vĂ€ldigt noggrann och vetenskaplig. Även om man inte anvĂ€nder dessa dimensioner som formella mĂ€tvĂ€rden sĂ„ Ă€r det perfekt att ta en diskussion kring. Jobba med mig i VĂ€sterĂ„s - utan att vara dĂ€r! Innan jag blev konsult var jag helt sĂ€ker pĂ„ att det inte kunde vara roligt! Och inte kunde vĂ€l jag nĂ„got som en kund skulle vara intresserad av att betala för? Det visade sig att jag verkligen hade helt fel! Just den dĂ€r erfarenheten frĂ„n "riktiga verksamheter" Ă€r helt avgörande för att bli en extra trovĂ€rdig konsult. Har man redan gĂ„tt i kundens skor sĂ„ kommer man inte rekommendera nĂ„got som inte fungerar i praktiken! Och att fĂ„ lĂ€ra sig om en massa olika och jĂ€ttespĂ€nnande verksamheter Ă€r vansinnigt roligt! SĂ€kerhetsbranschen vĂ€xer sĂ„ det knakar! Jag behöver fler kollegor inom alla former av sĂ€kerhet! Helst vill jag förstĂ„s ha kollegor i VĂ€sterĂ„s men det betyder inte att du mĂ„ste befinna dig fysiskt hĂ€r. Du kan fĂ„ samma knasiga chef som jag har men sitta nĂ„gon annanstans! Eller sĂ„ kan du förstĂ„s tillhöra nĂ„got av alla vĂ„ra andra roliga kontor! SĂ„ hĂ€r stĂ„r det i vĂ„r annons just nu. Eftersom jag skrev texten i den sjĂ€lv, sĂ„ hĂ„ller jag förstĂ„s verkligen med om att: "SĂ€kerhet pĂ„ Atea Ă€r lika spĂ€nnande och omvĂ€xlande som vĂ„ra kunder! Oavsett om kunden redan Ă€r avancerad i sitt sĂ€kerhetsarbete eller en omogen nybörjare behöver vi dig med en rejĂ€l dos kompetens och erfarenhet. Ditt kunnande kan vara brett och spĂ€nna över flera omrĂ„den eller mer specialiserat pĂ„ ett omrĂ„de som du brinner speciellt för. Exempel pĂ„ kompetenser som vi har stora behov av Ă€r informationssĂ€kerhet, it-sĂ€kerhet, GDPR, OT-sĂ€kerhet, riskanalyser, sĂ€kerhetsskydd, identitetshantering och NIS-direktivet. " Hör av dig! Oavsett var du vill jobba och med vad! Poddar? Just poddar Ă€r nĂ„got som jag anvĂ€nder vĂ€ldigt mycket för att hĂ€nga med i vad som hĂ€nder i branschen! Jag föredrar de poddar som tenderar att vara "snabba pĂ„ bollen" och plocka upp nyheter före alla andra. HĂ€r Ă€r en uppdaterad lista med mina egna favoriter, bĂ„de kring sĂ€kerhet och annat. OT-SĂ€kerhet: “@BEERISAC: ICS Security Podcast Playlist” – Som namnet indikerar Ă€r det inte en egen podcast utan en spellista med utvalda avsnitt frĂ„n andra poddar. Det som Ă€r vĂ€ldigt bra Ă€r att hĂ€r hittar man avsnitt som handlar om OT Ă€ven om podcasten inte Ă€r OT-specifik. ”Unsolicited Response Podcast” – Pod som drivs av Dale Peterson som Ă€r mest kĂ€nd som organisatör för OT-konferensen ”S4”. ”The industrial Security Podcast” – Pod som ges ut av utrustningstillverkaren Waterfall (mest kĂ€nda för att tillverka nĂ€tverksdioder). Andra sĂ€kerhets-poddar: ”SANS Internet Stormcenter Daily StormCast” – En daglig pod (5-10 minuter) om aktuella hĂ€ndelser. ”Risky Business” – En australiensisk pod som Ă€r min favorit av alla sĂ€kerhetpoddar. ”The Cyberlaw Podcast” - Ett gĂ€ng jurister i USA diskuterar de olika lagstiftningarna runt om i vĂ€rlden som pĂ„verkar sĂ€kerhet och privacy. Mer underhĂ„llande Ă€n man kanske tror
 "Dataministeriet" - Jag Ă€r inte enormt intresserad av privacy-frĂ„gor men den hĂ€r podden har haft mĂ„nga intressanta gĂ€ster och diskussioner kring dataskydd och privacy. "Hacking Humans" - En pod om social engineering i olika former. NĂ„gra andra favoritpoddar som inte har ett dugg med sĂ€kerhet att göra: "Lex Fridman Podcast" - Makalöst intressanta diskussioner dĂ€r ryskfödde AI-forskaren Lex Fridman pratar med "vĂ€rldskĂ€ndisar" inom lite udda omrĂ„den som fysik, kryptovalutor, kampsport, filosofi, matematik, "Exponential view with Azeem Azhar" - Fascinerande diskussioner kring exponentiell teknik och deras konsekvenser pĂ„ samhĂ€llet "I huvudet pĂ„ en innovationsledare" - SpĂ€nnande diskussioner pĂ„ svenska kring innovation som leds av min gode vĂ€n och kollega Stefan Fasth. "SnedtĂ€nkt med Kalle Lind" - Riktigt nördigt kring historiskt svenskt nöjesliv "Into the Impossible with Brian Keating" - Hur intressanta gĂ€ster kan en professor i astrofysik hitta? Var beredd pĂ„ att hjĂ€rnan vĂ€rker efterĂ„t... "99% Invisible" - Design och arkitektur i dess allra vidaste betydelser med vansinnigt intressanta historier. "Orbiter Dictum" - RejĂ€l nördighet om "popkultur" pĂ„ svenska. "Home Assistant Podcast" - Podcasten för oss som anvĂ€nder Home Assistant för vĂ„r hem-automation. Lite skryt I förra nyhetsbrevet skrev jag om leveransen frĂ„n projektet "The Top 20 Secure PLC Coding Practices Project". Det var tydligen nĂ„got som projektet uppskattade sĂ„ nu finns Nyhetsbrevet listat pĂ„ deras webbsida under rubriken "Resources in Swedish". Kul! Tips om event och mer lĂ€sning! Den 26:e Augusti gĂ„r Ă„rets Xday av stapeln. Jag Ă€r en av talarna under rubriken "StĂ„ stadigt med sĂ€ker OT". Exakt vad jag kommer prata om fĂ„r ni höra om ni Ă€r med! Skynda att anmĂ€la dig! https://resources.trendmicro.com/Xday2021.html Det pratas en del kring alternativ till CVSS som standard för att gradera sĂ„rberheter. En artikel frĂ„n spanska Incibe CERT diskuteras IVSS och en del andra tĂ€nkbara möjligheter. https://www.incibe-cert.es/en/blog/industrial-cvss-alternative-calculations-different-needs Eric Cosman reder ut en del vanliga missförstĂ„nd kring vad Purdue-modellen egentligen Ă€r till för och hur dess betudelse tonats ner i ISA 62443 numera. https://www.arcweb.com/blog/whats-fuss-about-purdue-model Steffan SĂžrenes gör en riktigt bra genomgĂ„ng av NAMUR NOA och Industri 4.0 som stĂ€ller en rad intressanta följdfrĂ„gor. https://www.linkedin.com/pulse/implementation-namur-open-architecture-noa-era-iot-cloud-sĂžrenes/ Intressanta insikter eller balla fönster som imponerar pĂ„ chefen? Hos TxOne och deras nya OT Threat Atlas fĂ„r du bĂ„da i ett! https://www.tr.txone-networks.com/ Intressant artikel om TAP och SPAN för att fĂ„ insyn i OT-nĂ€tverk. Jag har skrivit om detta Ă€mne tidigare nĂ€r jag tittade pĂ„ produkterna frĂ„n Keysight i nyhetsbrev #27 och nyhetsbrev #17. https://industrialcyber.co/article/evaluating-network-taps-vs-span-in-ot-critical-infrastructure-environments/ För den som vill lĂ€sa mer av mina alster sĂ„ finns nĂ„gra av mina artiklar med koppling till OT-sĂ€kerhet pĂ„ Ateas officiella blogg. Jag hade fel! https://www.atea.se/it-specialisten/sakerhet/jag-hade-fel/ SĂ€ker programmering av PLC! https://www.atea.se/it-specialisten/sakerhet/saker-plc/ Vad Ă€r NIST? https://www.atea.se/it-specialisten/sakerhet/vad-menas-med-nist/ Sluta segmentera! https://www.atea.se/it-specialisten/sakerhet/sluta-segmentera/ Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/ Vad Ă€r OT-sĂ€kerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ En jĂ€mförelse mellan ISO 27000 och ISA 62443: https://www.atea.se/it-specialisten/sakerhet/isa-62443-battre-an-iso-27000/ Industri 4.0 blir lĂ€ttare och sĂ€krare med NAMUR NOA: https://www.atea.se/it-specialisten/sakerhet/klurigt-med-industri-4-0-svaret-ar-noa/ Det nya maskindirektivet: https://www.atea.se/it-specialisten/sakerhet/ce-markt-sakerhet/ Det hĂ€r nyhetsbrevet vĂ€nder sig till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #29 - SĂ€ker PLC, CIS Controls och OPC UA

    Vad levererade egentligen projektet "Top 20 Secure PLC Coding Practices"? GĂ„r det att anvĂ€nda den nya versionen av CIS Controls för OT? Hur fĂ„r man vilken brandvĂ€gg som helst att bryta ihop? Hur förstĂ„r man sĂ€kerheten i OPC UA? Dessa spĂ€nnande frĂ„gor svarar jag pĂ„ i ett sprillans nytt nyhetsbrev! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ vissa artiklar frĂ„n nyhetsbreven publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! SĂ€ker PLC-programmering? Jag har teasat om det hĂ€r ögonblicket i ett antal tidigare nyhetsbrev och nu Ă€r det hĂ€r! Den 15:e juni slĂ€pptes det första skarpa resultatet frĂ„n projektet "The Top 20 Secure PLC Coding Practices Project". Det hĂ€r fĂ„r vĂ€l sĂ€gas vara ett unikt, viktigt och roligt projekt som tydligen uppstod i samband med S4-konferensen förra Ă„ret. Det har varit en rejĂ€l gruppinsats som Sarah Fluchs var en av ledarna för. Jag rekommenderar att du lĂ€ser hennes egna ord för att verkligen förstĂ„ bakgrunden och storheten i detta projekt! Det hĂ€r Ă€r verkligen ett OT-sĂ€kerhetsprojekt Ă€nda ut i fingerspetsarna. De har skapat en samling goda idĂ©er för hur man programmerar sina PLCer med mĂ„let att höja sĂ€kerhet och tillförlitlighet ur en massa olika perspektiv. Det allmĂ€nna tĂ€nket Ă€r faktiskt lite likt CIS Controls Ă€ven om innehĂ„ll och fokus Ă€r helt annorlunda. Syftet ligger vĂ€l egentligen nĂ€rmare OWASPs rekommendationer för sĂ€ker programmering. MissförstĂ„ nu inte det hĂ€r som att PLCn plötsligt ska kunna försvara sig mot en hacker! Nej, det handlar i första hand om att lĂ„ta PLCn gör lite mer av det den redan Ă€r bra pĂ„, att hĂ„lla koll pĂ„ att saker beter sig rĂ€tt och att vara vĂ€ldigt stabil. Man kan vĂ€l grovt summera de tjugo punkterna i tre kategorier: Validera att det som hĂ€nder i den fysiska processen faktiskt borde kunna hĂ€nda och att information som hanteras Ă€r korrekt. Tar rörelser rĂ€tt tid? I vilket tillstĂ„nd ska vi sĂ€tta processen efter en omstart? Är de indata vi fĂ„r fysiskt möjliga? Är de instĂ€llningar som operatören gör rimliga? HĂ€r Ă€r det vĂ€ldigt likt vad OWASP gör för sĂ€ker IT-programmering. Hur man skriver PLC-kod: modularisering, hantering av registerblock men ocksĂ„ att faktiskt anvĂ€nda PLCn för all hantering istĂ€llet för att som man ser ibland, lĂ„ta MES-system eller liknande ta över delar av den fysiska hanteringen. HĂ€rdning och robusthet: Kontroll av checksummor, blockering av oanvĂ€nda ingĂ„ngar och protokoll eller att begrĂ€nsa Ă„tkomst till funktioner frĂ„n andra system. Men sedan finns det faktiskt en del möjligheter till sjĂ€lvförsvar ocksĂ„. En del moderna PLCer kan exempelvis hĂ„lla koll pĂ„ sin egen minnesanvĂ€ndning eller pĂ„ cykeltiderna för programmen. Eftersom de tenderar att vara vĂ€ldigt stabila över tid sĂ„ kan det vara vĂ€rt att larma om de plötsligt förĂ€ndras, eftersom det skulle vara ett tydligt tecken pĂ„ att nĂ„gon förĂ€ndrat nĂ„gonting. Dokumentet Ă€r föredömligt lĂ€ttlĂ€st och kortfattat. Det Ă€r i egentligen en lista rĂ€tt och upp ner dĂ€r var och en av de tjugo rekommendationerna pĂ„ en till fyra sidor var. För var och en beskrivs: SjĂ€lva rekommendationen Vad syftet med den Ă€r Vem den vĂ€nder sig till VĂ€ldigt jordnĂ€ra vĂ€gledning Exempel pĂ„ hur den kan implementeras i PLCer frĂ„n olika tillverkare Argument för varför detta Ă€r en god idĂ© för sĂ€kerhet, pĂ„litlighet och underhĂ„ll Referenser till MITRE ATT&CK for ICS och ISA 62443. Tydligen diskuterar man med gruppen som driver "MITRE CWE" om att samarbeta mer framĂ„t vilket ju skulle kunna vara bĂ„de smart och spĂ€nnande. Det finns ju en del uppenbara beröringspunkter. I dokumentet hittar du apropĂ„ det Ă€ven en bra korsreferenslista till ISA 62443, MITRE ATT&CK och till CWE som kan vara vĂ€rdefull. Det hĂ€r Ă€r ett projekt som kommer pĂ„verka hur PLC-tillverkarna beter sig framöver. Vi kan nog rĂ€kna med att de kommer göra allt för att underlĂ€tta anvĂ€ndningen av de tjugo Ă„tgĂ€rderna. Peka dina kollegor som hanterar PLCer i vardagen till det hĂ€r nyhetsbrevet och till projektet. De kanske inte ser sig som programmerare men det Ă€r de faktiskt. Vivek Ponnada skrev en bra artikel om just detta: https://www.linkedin.com/pulse/what-has-ladder-logic-got-do-cwe-vivek-ponnada/. Du hittar projektet pĂ„ deras sprillans nya sida: https://www.plc-security.com/ . Vill du lĂ€sa vad andra skriver om projektet finns en bra artikel av Kelly Jackson Higgins pĂ„ DarkReading. Jag kommer med stor sannolikhet Ă„terkomma till det hĂ€r Ă€mnet i framtida nyhetsbrev om ni lĂ€sare Ă€r intresserade? Hör av dig! Har du Ă„sikter om innehĂ„llet sĂ„ vill jag vĂ€ldigt gĂ€rna höra dem! CIS Controls Det hĂ€r Ă€r fjĂ€rde delen i min serie om standarder och ramverk. Första avsnittet handlade om ISA/IEC 62443 och finns i nyhetsbrev #26. I nyhetsbrev #27 kan du lĂ€sa del tvĂ„ dĂ€r jag tittar pĂ„ NAMUR NOA. I förra nyhetsbrevet tittade jag pĂ„ NIST CSF, NIST 800-53 och NIST 800-82 men du fick ocksĂ„ lite mer om NOA. Har du önskemĂ„l om vad jag ska ta upp framöver sĂ„ fĂ„r du vĂ€ldigt gĂ€rna höra av dig! För nĂ„gra veckor sedan fick vi version 8 av "CIS Controls". KĂ€rt barn har mĂ„nga namn, genom Ă„ren har vi Ă€ven kallat den "CIS CSC, Critical Security Controls, CIS 20, CCS CSC, SANS Top 20 och CAG 20". Det hĂ€r Ă€r helt enkelt en sammanstĂ€llning av de absolut viktigaste IT-sĂ€kerhetsförmĂ„gorna och Ă€r tĂ€nkt att passa alla typer av organisationer. Fram tills nu har det varit 20 förmĂ„gor men frĂ„n version 8 har man byggt om strukturen lite och gĂ„tt ner till 18 stycken: Inventory and Control of Enterprise Assets Inventory and Control of Software Assets Data Protection Secure Configuration of Enterprise Assets and Software Account Management Access Control Management Continuous Vulnerability Management Audit Log Management Email Web Browser and Protections Malware Defenses Data Recovery Network Infrastructure Management Network Monitoring and Defense Security Awareness and Skills Training Service Provider Management Application Software Security Incident Response Management Penetration Testing För var och en av de 18 förmĂ„gorna fĂ„r vi en genomgĂ„ng av varför den Ă€r sĂ„ viktig att den kvalar in bland de 18, ett antal rutiner och verktyg som behövs för att förmĂ„gan ska bli effektiv och ett antal handgripliga Ă„tgĂ€rder som skapar sjĂ€lva förmĂ„gan. Totalt Ă€r det 153 Ă„tgĂ€rder. "Hur ska man vĂ€lja i en sĂ„ lĂ„ng lista?" Ă€r en berĂ€ttigad frĂ„ga som har ett utmĂ€rkt svar... En viktig skillnad frĂ„n tidigare versioner Ă€r att man sedan version 7.1 inte lĂ€ngre sĂ€ger att förmĂ„gorna stĂ„r i prioritetsordning. De har istĂ€llet numera prioriterat Ă„tgĂ€rderna i tre kategorier, IG1, IG2 och IG3. IG1 betraktas som "hygiennivĂ„n" som alla organisationer borde uppfylla. IG2 och IG3 bygger sedan vidare pĂ„ det för större och mer riskutsatta organisationer. Personligen tycker jag steget frĂ„n prioriterade förmĂ„gor till prioriterade Ă„tgĂ€rder Ă€r helt rĂ€tt. MEN! För oss med OT-fokus Ă€r min bedömning av indelningen i de tre grupperna inte riktigt matchar vad jag normalt skulle sĂ€tta som prioritering. Jag ska inte dyka ner i en generell genomgĂ„ng av CIS Controls 8 utan rekommenderar att du tar en titt pĂ„ det arbete som Christoffer Strömblad gör. Han Ă€r inte helt fĂ€rdig nĂ€r detta skrivs men det Ă€r pĂ„ vĂ€g att bli en ambitiös genomgĂ„ng av det nya upplĂ€gget inklusive översĂ€ttningar till svenska vilket kan vara vĂ€ldigt anvĂ€ndbart! Tack för ditt hĂ„rda arbete Christoffer! Har det hĂ€r nĂ„got med OT-sĂ€kerhet att göra dĂ„? Nix - inte pĂ„ pappret! Begrepp som "OT", "ICS" eller "SCADA" nĂ€mns knappt alls. Det nĂ€rmaste vi kommer Ă€r nĂ„gra fĂ„ rader om man ska tĂ€nka pĂ„ "IoT" vilket inkluderar "Industriella styrsystem". Men varför tar jag upp det hĂ€r i sĂ„ fall? Jo, dĂ€rför att jag tycker att CIS Controls Ă€r fantastiskt anvĂ€ndbar Ă€ven om man har sina OT-glasögon pĂ„ sig. Den ersĂ€tter pĂ„ inget vis ISA 62443 och NIST 800-82 men den pekar fortfarande pĂ„ viktiga prioriteringar, förmĂ„gor och Ă„tgĂ€rder som Ă€r helt rĂ€tt för de flesta organisationer med OT-verksamhet! Personligen tycker jag steget frĂ„n prioriterade förmĂ„gor till prioriterade Ă„tgĂ€rder Ă€r helt rĂ€tt. MEN! För oss med OT-fokus Ă€r min bedömning av indelningen i de tre grupperna inte riktigt matchar vad jag normalt skulle sĂ€tta som prioritering för OT-organisationer. Framför allt Ă€r det vissa Ă„tgĂ€rder i IG2 som jag tycker Ă€r rena hygienĂ„tgĂ€rder om man sysslar med OT. Det gĂ€ller framför allt inom förmĂ„gorna "Network Monitoring and Defense" och "Application Software Security" som helt saknar Ă„tgĂ€rder i IG1. Men i slutĂ€ndan skulle jag nog Ă€ndĂ„ gĂ„ igenom alla Ă„tgĂ€rderna för att hitta de som Ă€r viktigast för min organisation, det Ă€r Ă€ndĂ„ bara 153 stycken. Dels Ă€r det ju förstĂ„s sĂ„ att det blir allt mer "IT" Ă€ven inom "OT", vilket gör ett strukturerat IT-sĂ€kerhetsarbete jĂ€tteviktigt för OT-sĂ€kerheten. Men det Ă€r ju ocksĂ„ sĂ„ att ALLA de 18 förmĂ„gorna Ă€r helt relevanta Ă€ven om man enbart stirrar pĂ„ sina OT-system! Jag tycker personligen att det faktiskt Ă€r ett plus att tvingas tĂ€nka "Vad betyder det hĂ€r för OT?" eftersom man hjĂ€lps hitta nya vinklar pĂ„ bĂ„de hot, sĂ„rbarheter och Ă„tgĂ€rder. Vi kan ta nĂ„gra exempel Ă€ven om jag lĂ€tt hittar OT-vinklar pĂ„ alla arton: 1. Inventory and Control of Enterprise Assets och 2. Inventory and Control of Software Assets De hĂ€r tvĂ„ Ă€r ju egentligen helt avgörande för allt sĂ€kerhetsarbete, oavsett vad man sysslar med. Det stĂ€ller krav pĂ„ ordning och reda i konstruktions- och Ă€ndringsprocesser. Det Ă€r ocksĂ„ det hĂ€r behovet som Ă€r en av drivkrafterna bakom det stora intresset för verktyg frĂ„n företag som Nozomi Networks, Dragos och Radiflow. För att försvara nĂ„got mĂ„ste man veta att man har det. Definitivt en helt avgörande förmĂ„ga inom OT som man tycker de flesta OT-verksamheter borde vara duktiga pĂ„ men i praktiken Ă€r det (i min personliga erfarenhet) snarare tvĂ€rt om... 3. Data Protection Men den hĂ€r Ă€r vĂ€l Ă€ndĂ„ inte sĂ„ anvĂ€ndbar för OT? Nej, det kan man tycka men börjar man titta pĂ„ de Ă„tgĂ€rder som ingĂ„r i hĂ€r kan man hitta en del viktiga saker för OT. En vansinnigt viktig Ă„tgĂ€rd Ă€r hanteringen av bĂ€rbara lagringsmedia. VĂ€l vĂ€rt att fundera pĂ„ bĂ„de rutiner och kanske verktyg för skanning av USB-minnen i stil med Impex frĂ„n svenska Sysctl. 4. Secure Configuration of Enterprise Assets and Software Definitivt en stor punkt pĂ„ OT-sidan! NĂ€r vi köper ny OT-utrustning har de ofta stöd för en massa bra sĂ€kerhetsfunktionalitet men det Ă€r tyvĂ€rr (i min erfarenhet) vĂ€ldigt vanligt att man inte anvĂ€nder dem. HĂ€r Ă€r det skĂ€rpning som gĂ€ller! 7. Continuous Vulnerability Management Med den takt som sĂ„rbarheter offentliggörs nu för tiden Ă€r det helt avgörande att man blir aktiv i hanteringen av viktiga rĂ€ttningar. HĂ€r blir man ju dessutom helt beroende av att förmĂ„gorna 1 och 2 fungerar som de ska! 13. Network Monitoring and Defense HĂ€r Ă„terkommer vi ju mycket till de verktyg som hjĂ€lper oss med punkt 1 och 2. Om vi av olika skĂ€l inte kan anvĂ€nda alla de verktyg vi Ă€r vana vid frĂ„n IT-vĂ€rlden för att STOPPA anggrepp fĂ„r vi lĂ€gga desto mer krut pĂ„ att att UPPTÄCKA mĂ€rkligheter! Vi kanske dessutom kan anvĂ€nda OT-anpassade skydd i stil med StellarProtect och EdgeIPS frĂ„n TxOne. 14. Security Awareness and Skills Training Det Ă€r förstĂ„s otroligt viktigt att alla som Ă€r insyltade i arbetet med OT-systemen vet vad de sysslar med och att de har ett lĂ€mpligt fokus pĂ„ sĂ€kerhet! Det Ă€r lĂ€tt att man hamnar i att "Det tar IT-avdelningen hand om" eller "VĂ„rt system Ă€r inte nĂ€tanslutet"... 16. Application Software Security HĂ€r handlar det om mer Ă€n bara att ha koll pĂ„ köpta programvaror. Jag vill ocksĂ„ peka pĂ„ det fantastiska initiativet "The Top 20 Secure PLC Coding Practices Project" som jag diskuterat tidigare. Nu har projektet levererat sin första version som jag diskuterar lite lĂ€ngre ner i det hĂ€r nyhetsbrevet. 18. Penetration Testing Det hĂ€r Ă€r nĂ„got som betraktas som svĂ„rt inom OT-sĂ€kerhet. Och visst finns det en STOR poĂ€ng i att man inte kan panga pĂ„ med en massa automatiska verktyg i produktionsmiljöer. FrĂ„gar du mig sĂ„ tycker jag för övrigt att mĂ„nga Ă€r alldeles för oförsiktiga Ă€ven inom IT-vĂ€rlden, kanske speciellt nĂ€r det gĂ€ller tester av produktionsatta webapplikationer och APIer! Men visst kan man göra pentestning Ă€ven inom OT, man fĂ„r bara vara mer noggrann och ibland skapa nya sĂ€tt att Ă„stadkomma de resultat man Ă€r ute efter! För den tidigare versionen av CIS Controls finns det guider att hĂ€mta som stöttar i anvĂ€ndningen av CIS Controls för bĂ„de IoT och OT. Jag har inte sett till nĂ„gra sĂ„dana för version 8 Ă€nnu, men det kommer garanterat. Tills dess kan man naturligtvis dra nytta av de gamla Ă€ven om man fĂ„r mappa om numrering och innehĂ„ll sjĂ€lv. Vad blir dĂ„ min dom över nya CIS Controls? Personligen tillhör jag sedan lĂ€nge fanklubben för CIS Controls och har anvĂ€nt den sedan den hette "SANS Top 20". Version 8 Ă€r definitivt ett fall framĂ„t i och med de nya strukturen men kanske framför allt för det nya sĂ€ttet att prioritera Ă„tgĂ€rder som kom i version 7.1. Den innehĂ„ller inget onödigt fluff utan Ă€r tydlig och koncis med fullt fokus pĂ„ förmĂ„gorna och Ă„tgĂ€rderna. Att den inte alls fokuserar pĂ„ OT stör mig som sagt inte alls om man bara anvĂ€nder den som ett vĂ€lkĂ€nt och tydligt stöd för att fokusera pĂ„ vad som Ă€r viktigast. Sysslar man med bĂ„de IT- och OT-sĂ€kerhet Ă€r det ju förstĂ„s vĂ€ldigt snyggt att anvĂ€nda samma modell och begrepp i bĂ€gge vĂ€rldarna Ă€ven om det resulterar i olika praktiska Ă„tgĂ€rder. Den perfekta stormen! Det hĂ€r Ă€r en riktigt udda fĂ„gel i mitt nyhetsbrev! Det Ă€r en typ av utrustning som de flesta aldrig kommer i kontakt med eller ens har hört talas om. Jag har nĂ€mnt den tidigare i nyhetsbrev #27 och nyhetsbrev #25 dĂ€r jag berĂ€ttar vad jag anvĂ€nt den till och vilka nĂ„gra av de andra utrustningarna Ă€r som den fĂ„tt spĂ€nna sina muskler ihop med. För muskler har den... Egentligen Ă€r det tvĂ„ produkter vi pratar om, det Ă€r dels hĂ„rdvaran "PerfectStorm ONE" och dels mjukvaran "BreakingPoint". BĂ„da levereras av Keysight som har en vansinnig massa och otroligt spĂ€nnande lösningar som jag rekommenderar att man botaniserar i om man gillar extrem teknik. Just den hĂ€r hĂ„rdvaran finns i nĂ„gra olika varianter med olika prestanda. Den som stĂ„r i mitt labb Ă€r vĂ€rstingen, en tio kilos bamse med brutala flĂ€ktar som "inte passar i ett kontorslandskap"... Den har 8 stycken portar som var och en kan leverera 10 Gbit/s trafik. Det finns dock Ă€nnu grövre muskedunder i andra produktserier frĂ„n Keysight som pressar ut flera Terabit i sekunden. Imponerande men kanske lite mindre relevant i OT-sammanhang... Vad Ă€r det dĂ„ för magisk trafik som den ska leverera? Mjukvaran som jag anvĂ€nt, "BreakingPoint", har ett mycket passande namn. Syftet Ă€r helt enkelt att simulera otroliga mĂ€ngder nĂ€tverkstrafik av nĂ„gon önskvĂ€rd blandning och sedan smyga in attacker i detta massiva trafikflöde. Den hĂ€r trafiken utsĂ€tter man sedan en sĂ€kerhetsutrustning för med tvĂ„ enkla frĂ„gor: "Vilka attacker upptĂ€cks" och "NĂ€r pallar inte utrustningen under trycket frĂ„n all trafik". Det hĂ€r Ă€r alltsĂ„ en pryl som de flesta IT-organisationer inte har i sin verktygslĂ„da. Den typiska kunden Ă€r tillverkare av sĂ€kerhetsprodukter och organisationer som testar/granskar sĂ€kerhetsprodukter. Det finns ocksĂ„ möjlighet att köpa utvĂ€rderingstjĂ€nster baserat pĂ„ det hĂ€r verktyget som kan passa exempelvis för en större organisation som ska sjösĂ€tta en ny lösning. I praktiken kan det exempelvis vara en brandvĂ€gg som ska testas. TvĂ„ eller flera anslutningar görs helt enkelt frĂ„n "PerfectStorm ONE" till brandvĂ€ggen. I "BreakingPoint" definierar man sedan ett virtuellt nĂ€tverk som kan vara mer eller mindre komplext i sig sjĂ€lv och som "fylls med" tusentals klienter och servrar. Man bestĂ€mmer vilka typer av applikationer som ska simuleras pĂ„ nĂ€tverket, i vilken takt som trafikvolymen ska trappas upp och förstĂ„s vilka typer av attacker som trafiken ska kryddas med. Det finns stöd för nĂ€rmare 500 applikationer kombinerat med 60 000 attacker och malware. För oss som intresserar oss för OT-sĂ€kerhet finns det en rejĂ€l uppsĂ€ttning med attacker mot OT-protokoll och OT-utrustningar. NĂ€r man sedan kickar igĂ„ng simuleringen fĂ„r man löpande statistik över vad som hĂ€nder, vilka attacker som eventuellt lyckades och hur vĂ€l den testade utrustningen pallar med trycket. Det Ă€r oftast en vĂ€ldigt tydlig grĂ€ns nĂ€r trafik tappas bort eller nĂ€r utrustningen helt enkelt inte mĂ„r bra lĂ€ngre. Det Ă€r svĂ„rt att förmedla hur imponerande den hĂ€r lösningen Ă€r i text och vilket absolut monster det Ă€r. Det mĂ„ste nog upplevas. Namnet "BreakingPoint" Ă€r som sagt vĂ€l valt, jag har inte hittat nĂ„gon produkt Ă€nnu som inte har en tydlig "BreakingPoint" nĂ€r den utsĂ€tts för den hĂ€r behandlingen. Kanske inte sĂ„ förvĂ„nande men Ă€ndĂ„... Att det fungerar i praktiken kan jag intyga eftersom jag faktiskt kunnat hitta spĂ€nnande brister i kommersiella produkter som leverantörerna sedan kunnat fixa baserat pĂ„ information som jag plockat ut frĂ„n "BreakingPoint". Även om det hĂ€r Ă€r en produkt som normalt har en relativt smal kundkrets kan det definitivt vara en intressant del i alla organisationers utvĂ€rderingar av sĂ€kerhetslösningar om man stĂ„r inför ett val av brandvĂ€ggar, IPSer eller nĂ„gon annan nĂ€tverksbaserad sĂ€kerhetsfunktion. Man behöver inte köpa utrustningen sjĂ€lv utan kan köpa tester som tjĂ€nst. Bygger din organisation nĂ„gon form av sĂ€kerhetslösning baserad pĂ„ nĂ€tverk tycker jag att det hĂ€r nĂ€rmast Ă€r ett mĂ„ste. Om du blir sugen pĂ„ att ta hjĂ€lp eller köpa en egen utrustning kan du höra av dig direkt till mig sĂ„ löser vi det! OPC UA Det Ă€r nĂ€stan omöjligt att syssla med OT utan att stöta pĂ„ OPC UA. Denna de-facto-standard för kommunikation i OT-vĂ€rlden har fĂ„tt extra uppmĂ€rksamhet, bland annat kopplat till dess snygga stöd för kommunikation med molntjĂ€nster men ocksĂ„ eftersom tunga organisationer hyllar den, exempelvis lyfter ju NAMUR fram OPC UA som den naturliga kommunikationsmetoden för NAMUR Open Architecture. SĂ€kerhet var ju definitivt inte ett kĂ€nnetecken för dess föregĂ„ngare, "OPC Classic", men OPC UA har ju utformats frĂ„n grunden med sĂ€kerhet med i fokus. MEN! Det betyder ju inte att det Ă€r omöjligt att göra osĂ€kra lösningar om man gör korkade saker... Jag har lĂ€nge letat efter riktigt bra resurser kring OPC UA och dess sĂ€kerhet. Av nĂ„gon anledning har det varit svĂ„rt att hitta nĂ„got som jag gillar, men ibland ska man ju inte göra det krĂ„ngligare Ă€n det behöver vara... Det fanns ju förstĂ„s en massa bra resurser frĂ„n OPC Foundation sjĂ€lva om man bara tittade lite noggrant... Har du nĂ„gra andra förslag att tipsa om? En riktigt höjdare Ă€r den hĂ€r: en "Deep dive" kring just sĂ€kerheten i OPC UA. Den Ă€r pĂ„ 45 minuter och ger en riktigt bra sammanfattning. Extra skönt Ă€r att den helt struntar i jĂ€mförelser med "gamla OPC" som ju inte Ă€r speciellt rolig om man Ă€r intresserad av sĂ€kerhet. PKI, Trust Lists, https://youtu.be/pa82WydVtPY En vansinnigt detaljerad och intressant analys av sĂ€kerheten i OPC UA frĂ„n tyska BSI, "Bundesamt fĂŒr Sicherheit in der Informationstechnik", som dessutom visar upp en snygg anvĂ€ndning av STRIDE-metodiken: https://opcfoundation.org/wp-content/uploads/2017/04/OPC_UA_security_analysis-OPC-F-Responses-2017_04_21.pdf OPC Foundation har en riktigt snygg Wiki med all information om OPC UA och dess totala struktur: http://wiki.opcfoundation.org/index.php/Main_Page Nyligen gick "OPC Day International" av stapeln. En vansinnig massa superspĂ€nnande presentationer om allt som hĂ€nder kring OPC UA. Om du inte var med live sĂ„ finns allt nu pĂ„ YouTube: Dag 1 https://youtu.be/Wf9O2wfpLgU Dag 2 https://youtu.be/P-FQOhvBOBU Dag 3 https://youtu.be/KPr2k-vDf2c Tips om event och mer lĂ€sning! Den 26:e Augusti gĂ„r Ă„rets Xday av stapeln. Jag Ă€r en av talarna under rubriken "StĂ„ stadigt med sĂ€ker OT". Exakt vad jag kommer prata om fĂ„r ni höra om ni Ă€r med! Skynda att anmĂ€la dig! https://resources.trendmicro.com/Xday2021.html Alltid pĂ„litliga Kelly Jackson Higgins pĂ„ DarkReading tolkar Mandiants senaste analysrapport: https://www.darkreading.com/attacks-breaches/rise-in-opportunistic-hacks-and-info-sharing-imperil-industrial-networks/d/d-id/1341134 (Rapporten finns hĂ€r: https://www.fireeye.com/blog/threat-research/2021/05/increasing-low-sophistication-operational-technology-compromises.html) Open Group har slĂ€ppt version 2.1 av den vĂ„ldsamt ambitiösa men Ă€n sĂ„ lĂ€nge preliminĂ€ra standarden O-PAS, "Open Process Automationℱ" som finns tillgĂ€nglig gratis Ă€n sĂ„ lĂ€nge under utvĂ€rderingslicens. De knyter samman sĂ„ vitt skilda saker som exempelvis Redfish, ISA 62443 och OPC UA utifrĂ„n en massa olika perspektiv som sĂ€kerhet, management, arkitektur, informationsmodeller, alarm- och eventhantering osv... Jag Ă€r sjĂ€lv inte sĂ„ bekant med deras arbete sedan tidigare sĂ„ om nĂ„gon av mina lĂ€sare vet mer fĂ„r du gĂ€rna höra av dig! https://publications.opengroup.org/p210 Claroty har hittat den heliga gralen! De publicerade en rapport i slutet av Maj som beskriver hur de uppnĂ„r komplett kodexekvering pĂ„ PLCer frĂ„n Siemens genom enbart nĂ€tverksĂ„tkomst. De beskriver ocksĂ„ historiken, dĂ€r tidigare attacker uppnĂ„tt delar av detta mĂ„l men tidigare inte nĂ„tt hela vĂ€gen. Imponerande och skrĂ€mmande! https://www.claroty.com/2021/05/28/blog-research-race-to-native-code-execution-in-plcs/ En tjusig poster frĂ„n SANS som beskriver hur du bedömmer sĂ€kerheten i en OT-miljö och kopplar resonemanget till NIST CSF. En snygg och enkel metodik som adresserar bĂ„de teknik och mjuka utmaningar. https://www.sans.org/security-resources/posters/industrial-control-systems/ics-assessment-quick-start-guide-425 För den som vill lĂ€sa mer av mina alster sĂ„ finns nĂ„gra av mina artiklar med koppling till OT-sĂ€kerhet pĂ„ Ateas officiella blogg. Vad Ă€r NIST? https://www.atea.se/it-specialisten/sakerhet/vad-menas-med-nist/ Sluta segmentera! https://www.atea.se/it-specialisten/sakerhet/sluta-segmentera/ Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/ Vad Ă€r OT-sĂ€kerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ En jĂ€mförelse mellan ISO 27000 och ISA 62443: https://www.atea.se/it-specialisten/sakerhet/isa-62443-battre-an-iso-27000/ Industri 4.0 blir lĂ€ttare och sĂ€krare med NAMUR NOA: https://www.atea.se/it-specialisten/sakerhet/klurigt-med-industri-4-0-svaret-ar-noa/ Det nya maskindirektivet: https://www.atea.se/it-specialisten/sakerhet/ce-markt-sakerhet/ Det hĂ€r nyhetsbrevet vĂ€nder sig till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #28 - NIST, Nozomi Guardian och LOGIIC

    Den hĂ€r gĂ„ngen funderar jag pĂ„ vad folk menar nĂ€r de "jobbar enligt NIST", imponeras av Guardian frĂ„n Nozomi Networks, tittar pĂ„ olje&gas-branschens syn pĂ„ sĂ„rbarheter i safetysystem, funderar över vad en OT-incident egentligen Ă€r och rotar vidare i NOA frĂ„n NAMUR. ÅssĂ„ en massa annat spĂ€nnande förstĂ„s! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ vissa artiklar frĂ„n nyhetsbreven publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! LĂ„nga men tomma rör... Jag har fĂ„tt flera frĂ„gor om varför jag inte gett mig in i diskussionerna kring attacken mot Colonials pipeline i östra USA. Det Ă€r ju definitivt en intressant hĂ€ndelse, det Ă€r vĂ€l förmodligen den IT-attack som fĂ„tt störst pĂ„verkan pĂ„ civilbefolkningen i nĂ„got land, nĂ„gonsin. Möjligen undantaget hĂ€ndelserna kring Ukrainas elnĂ€t. Mitt svar Ă€r helt enkelt att jag inte ser nĂ„gon mening med att tidigt klĂ€mma ur mig en massa listiga Ă„sikter baserat pĂ„ rykten och halvdan media-rapportering. Inte minst ur ett OT-perspektiv Ă„terstĂ„r det ju verkligen att se vad som egentligen hĂ€nde och vad som gjorde att produktionen stoppades. Jag vet av erfarenhet att det oftast finns vĂ€ldigt mĂ„nga bottnar i den hĂ€r typen av hĂ€ndelser och vĂ€ntar gĂ€rna med att dra mina slutsatser till röken har lagt sig ordentligt... En sak som diskuterats flitigt Ă€r om det var en OT-incident eller inte med tanke pĂ„ att den fysiska driften stoppades av företaget sjĂ€lva. Personligen tror jag att de flesta som diskuterar den frĂ„gan inte har förstĂ„tt hur en sĂ„dan hĂ€r pipeline fungerar. Det Ă€r lĂ€tt att tro att det Ă€r ett lĂ„ngt rör dĂ€r man dag efter dag stoppar in samma typ av olja i ena Ă€nden och fĂ„r ut den igen pĂ„ en annan plats. I praktiken pumpar pipeline-företaget alla möjliga petroleumprodukter Ă„t en lĂ„ng rad olika kunder och man byter fram och tillbaka relativt ofta. Det Ă€r inte heller alltid att det Ă€r samma företag som stoppar in produkten som ocksĂ„ plockar ut den, utan försĂ€ljning sker via pipelinen. I Colonials fall sĂ„ förlorade de sina system för all hantering av köp- och sĂ€lj-bestĂ€llningar, vilket förstĂ„s gör det helt meningslöst att köra en pipeline! Ett begrepp som anvĂ€nds slarvigt i lite olika sammanhang Ă€r "IT - OT Convergence" i betydelsen att IT och OT vĂ€xer ihop. Personligen brukar jag undvika att anvĂ€nda det eftersom det Ă€r sĂ„ luddigt men i Colonial-incidenten kan man ju faktiskt sĂ€ga att attacken riktade sig just mot deras "IT - OT Convergence". Och dĂ„ menar jag det affĂ€rsmĂ€ssiga beroendet mellan IT och OT, inte nĂ„got slags integration nödvĂ€ndigtvis. Attacken slog ut deras möjlighet att bedriva fysisk verksamhet men utan att attackera de fysiska systemen. HĂ€r tror jag IT-sĂ€kerhetsarbetet kan ta lite inspiration frĂ„n OT-vĂ€rlden och fokusera lite mer pĂ„ TĂ„lighet. AlltsĂ„ att se till att verksamheten gĂ„r att köra i nĂ„got slags "nödlĂ€ge" Ă€ven om man förlorat sin normala effektivitet. SjĂ€lvklart ska vi göra allt för att stoppa attacker men nĂ„gonstans gĂ„r grĂ€nsen för nĂ€r mer skydd mot attacker blir för dyrt eller störande och man fĂ„r skydda sin verksamhet pĂ„ andra sĂ€tt. Jag kan inte bedöma hur lĂ€tt det hade varit för Colonial att ha nödrutiner för att hĂ„lla igĂ„ng produktionen men det hade varit ett fantastiskt sĂ€tt att köpa sig lugn och ro för att hantera den egentliga attacken. Det hĂ€r Ă€r en hĂ€ndelse som kommer fĂ„ mĂ„nga och intressanta konsekvenser framöver! Just pipelines Ă€r dessutom ett extra klurigt omrĂ„de sĂ€kerhetsmĂ€ssigt sĂ„ oavsett vad som hĂ€nde kommer det finnas mycket att lĂ€ra. Det gĂ„r bra nu! Intresset kring OT-sĂ€kerhet och industriella system vĂ€xer jĂ€ttesnabbt. Vi behöver fler kompisar som vill arbeta med det hĂ€r fantastiskt spĂ€nnande omrĂ„det och vĂ„ra roliga kunder! Du mĂ„ste inte vara specialiserad pĂ„ just OT-sĂ€kerhet men nĂ„got slags kombination av de hĂ€r kompetenserna Ă€r bra: SĂ€kerhet - Du kanske har en bakgrund inom informationssĂ€kerhet, OT-SĂ€kerhet, IT-sĂ€kerhet, fysiskt skydd eller riskhantering? Industri - Du kan prata med "industrifolk", bĂ„de med automationsteknikern och med produktionschefen. Du ser inte ut som ett frĂ„getecken nĂ€r de pratar om MES-system, PLCer eller SCADA. Du har upplevt hur en sĂ„dan verksamhet fungerar i verkligheten. IT-Arkitektur - Du har en bred förstĂ„else av IT-teknik och hur IT-drift fungerar i praktiken! Du kan prata om Windows, Linux, nĂ€tverk, certifikat, brandvĂ€ggar och virusskydd Ă€ven om du inte Ă€r specialist pĂ„ nĂ„got av det. Mina kunder finns i hela landet sĂ„ det spelar egentligen mindre roll var du bor, Ă€ven om det förstĂ„s vore extra kul med en kollega pĂ„ VĂ€sterĂ„s-kontoret Är det hĂ€r du? Eller kĂ€nner du den perfekta personen? Tipsa! Hör av dig! En vĂ€ktare frĂ„n Nozomi! NĂ„got som nĂ€stan alla verksamheter med OT-system har gemensamt Ă€r att de inte kan jobba löpande med uppdateringar, patchning och aktiva skydd i sina system. Oavsett om det Ă€r leverantörerna som hĂ„ller emot pĂ„ grund av garantier eller verksamheten sjĂ€lv för att man inte vĂ„gar göra förĂ€ndringar i viktiga processer sĂ„ hamnar man i ett lĂ€ge dĂ€r man behöver fokusera pĂ„ andra sĂ€kerhetsĂ„tgĂ€rder Ă€n de som man kanske Ă€r van vid frĂ„n IT-vĂ€rlden. Om man ska vĂ€lja ett stĂ€lle att börja pĂ„ sĂ„ skulle jag absolut rekommendera att skaffa riktigt bra insyn i vad man har för komponenter i sina system och vad de pysslar med. Oavsett vilken standard för sĂ€kerhetsarbete du tittar pĂ„, CIS Controls, ISO 27000, ISA 62443 eller NIST sĂ„ pekar man pĂ„ att bra koll sina prylar Ă€r en förutsĂ€ttning för allt annat sĂ€kerhetsarbete. NĂ€r man sedan har den insynen Ă€r steget inte lĂ„ngt att löpande anvĂ€nda den kollen man fĂ„tt i nĂ€tverket för att aktivt leta efter hĂ€ndelser som Ă€r vĂ€rda att stoppa eller kolla upp. In pĂ„ scenen kommer dĂ„ Guardian frĂ„n Nozomi Networks! Det hĂ€r Ă€r en av de mycket fĂ„ lösningar pĂ„ marknaden som första stund byggts för att passa OT-vĂ€rldens behov. Att den sedan rĂ„kar bli riktigt intressant Ă€ven för IT-miljöer Ă€r en vĂ€lkommen bonus! Guardian matas med nĂ€tverkstrafik som man kopierat frĂ„n sina OT-nĂ€tverk. Trafiken analyseras och presenteras förstĂ„s men framför allt letar den löpande efter ovĂ€ntade förĂ€ndringar i hur enheterna pĂ„ nĂ€tverket pratar och efter uppenbart skadlig trafik. I mitt OT-labb har jag just nu den minsta modellen av Guardian, "NSG-R 50". Det Ă€r en ruggad variant utan flĂ€ktar som Ă€ndĂ„ tĂ„l jobbiga temperaturer tack vare feta kylflĂ€nsar, den monteras pĂ„ DIN-skena och matas med 12 - 36 V DC. En relĂ€utgĂ„ng för matningsfel hintar om ett seriöst OT-ursprung. Som synes har den fyra ingĂ„ngar för att ta emot trafik. Den trafiken kan komma frĂ„n SPAN/Mirror-portar i nĂ€tverksswitchar eller frĂ„n tappar/aggregatorer likt dem frĂ„n Keysight som jag tittade pĂ„ i förra nyhetsbrevet. Management-porten ansluter man till sitt nĂ€tverk och det Ă€r den vĂ€gen man arbetar i detta imponerande verktyg. Hur Ă€r det att arbeta i dĂ„? Och vad kan man göra? Ja, det första man slĂ„s av Ă€r att det verkligen Ă€r ett OT-verktyg pĂ„ riktigt! Det Ă€r inte bara att det förstĂ„r vad MODBUS eller en PLC Ă€r utan man fĂ„r tillgĂ„ng till massor av information som Ă€r annars Ă€r vĂ€ldigt klurigt att fĂ„ sammanstĂ€llt i en blandad miljö. Ett bra exempel Ă€r att man till och med fĂ„r insyn i vad som hĂ€nt ner pĂ„ enskilda register, taggar och variabler. (Se bilden hĂ€r nedan) NĂ„got man alltid hör frĂ„n de som implementerat den hĂ€r typen av verktyg Ă€r att "automationsfolket" blir helt exalterade över den kontroll de fĂ„r pĂ„ sina prylar. De kan helt plötsligt se kluriga hĂ€ndelseförlopp och felsöka pĂ„ helt nya sĂ€tt. Jag har sjĂ€lv hört exempel pĂ„ en test-implementation av ett annat verktyg dĂ€r sĂ€kerhetsfolket som testade verktyget inte fick ta bort det efterĂ„t för automationsingenjörerna som absolut ville ha kvar det! Det hĂ€r Ă€r definitivt inte bara ett sĂ€kerhetsverktyg utan det bidrar ocksĂ„ med riktigt starka funktioner för de som sysslar med drift, underhĂ„ll och utveckling. Det Ă€r ytterst sĂ€llan (i min egen erfarenhet) som man har en renodlad OT-miljö med bara utrustning frĂ„n en enda tillverkare och dĂ€r prylarna dessutom Ă€r av samma tekniska generation. Personligen tycker jag att det Ă€r fantastiskt att fĂ„ en sĂ„dan överblick av en "rörig" miljö samtidigt som man kan dyka ner i vilka detaljer som helst! Det gör ingenting att du anvĂ€nder OSIsoft PI-server som historian ihop med PLCer frĂ„n bĂ„de Siemens, ABB och Phoenix Connect med ett kamerasystem frĂ„n Hikvision som ligger slĂ€ngt ovanpĂ„. Du kan se alla systemen, alla protokollen och alla variabler i samma verktyg. Det Ă€r inte ett problem att titta pĂ„ PI-CONNECT blandat med BACNET och RTSP, allt Ă€r tydligt och snyggt tillsammans! NĂ€r du ska undersöka en misstĂ€nkt incident blir det förstĂ„s helt ovĂ€rderligt med den hĂ€r helhetsbilden! Vill du ha listor sĂ„ fĂ„r du det men vill du jobba i interaktiva som pĂ„ bilden sĂ„ gör du det. Och hĂ€r hittar vi nĂ€sta ovĂ€rderliga finess med ett sĂ„nt hĂ€r verktyg, att du inte bara vet vad som hĂ€nder just nu utan du kan Ă€ven rota i vad som hĂ€nt bakĂ„t i tiden. Att kunna svara pĂ„ frĂ„gan "Vad hĂ€nde i Pressningens nĂ€tverk den 14 April runt 15:30?" Ă€r i princip omöjligt utan rĂ€tt verktyg men samtidigt helt nödvĂ€ndigt om du ska kunna fatta rĂ€tt beslut! Du fĂ„r stöd i att snabbt och enkelt skaffa dig en uppfattning om lĂ€get. Insikter som Ă€r vĂ€rda titta nĂ€rmare pĂ„ lyfts fram tydligt. Det kan vara klassiska misstag som att en PC har flera nĂ€tverksinterface som "kortsluter" din brandvĂ€gg eller att nya enheter dyker upp pĂ„ nĂ€tverket. Undrar du över nĂ„gon speciell detalj sĂ„ Ă€r det snabbt gjort att kolla "vilka IP-adresser har vĂ„ra streckkodslĂ€sare frĂ„n Cognex?" eller "Finns det sĂ„rbarheter i vĂ„r utrustning frĂ„n Allen-Bradley?". Svaret Ă€r lĂ€tt att hitta och innehĂ„ller förvĂ„nansvĂ€rt mycket detaljer! All denna rikedom av information om vĂ„ra system och hur de kommunicerar anvĂ€nds sedan för Guardians kanske största och viktigaste trolleritrick av dem alla, att löpande analysera trafiken i jakt pĂ„ konstiga eller farliga hĂ€ndelser. HĂ€r nedan ser du ett exempel pĂ„ en analys av en gammal nĂ€tverksinspelning som visar pĂ„ bredden i analysen genom ett antal bra exempel: En ny enhet dyker upp pĂ„ nĂ€tet och genomför ett angrepp mot en sĂ„rbarhet i SMBv1. (Havex/Dragonfly/EternalBlue) En variabel sĂ€tts till ett vĂ€rde som ligger utanför vad som betraktas som normalt. TvĂ„ redan kĂ€nda noder börjar kommunicera pĂ„ ett nytt sĂ€tt. En ny enhet dyker upp pĂ„ nĂ€tverket och gör en MITM-attack (Man In The Middle) mot tvĂ„ existerande system. Ett kĂ€nt system försöker plötsligt ansluta till Internet Alla dessa attacker Ă€r svĂ„ra eller nĂ€st intill omöjliga att upptĂ€cka utan en löpande analys av nĂ€tverkstrafiken med hjĂ€lp av AI/ML. I kombination med signaturbaserat skydd blir det verkligen heltĂ€ckande! NĂ€r Guardian upptĂ€cker nĂ„got sĂ„nt hĂ€r kan den larma dig pĂ„ en rad olika sĂ€tt beroende pĂ„ hur din systemmiljö ser ut i övrigt. Integrationer finns av alla sorter och med alla typer av system, allt frĂ„n enkla meddelanden via epost, SNMP-traps eller syslog till riktiga integrationer med ett SIEM-system eller ServiceNow. En viktig del i allt detta Ă€r förstĂ„s att du kan berĂ€tta för Guardian hur din nĂ€tverksstruktur ser ut. Du kan anvĂ€nda den klassiska Purdue-modellen för att placera in dina adressomrĂ„den eller VLAN pĂ„ de olika nivĂ„erna. Det gör rapporter och larm bĂ„de tydligare och enklare att basera beslut om Ă„tgĂ€rder pĂ„. PĂ„ samma sĂ€tt finns alla möjligheter till integrationer för att automatisera Ă„tgĂ€rder baserat pĂ„ regler som triggas. Vill du att vissa typer av angrepp automatiskt ska fĂ„ en brandvĂ€gg att blockera anslutningsförsök sĂ„ finns det stöd för det. Nozomi fyller förstĂ„s hela tiden pĂ„ med regler och signaturer för att upptĂ€cka olika typer av angrepp, sĂ„rbarheter och risker. Vill du fylla pĂ„ med egna regler finns möjlighet att anvĂ€nda YARA-regler eller STIX-indikatorer. Det Ă€r imponerande hur mycket insikter Guardian kan ge enbart genom att passivt lyssna pĂ„ nĂ€tverkstrafik men om man vill ha Ă€nnu mer finns möjligheter att lĂ„ta Guardian aktivt frĂ„ga systemen. Man kan frĂ„ga respektive system via nĂ„got lĂ€mpligt protokoll som EthernetIP, WMI, MODBUS eller SNMP. Tanken hĂ€r Ă€r att man ska vĂ„ga prata Ă€ven med "kĂ€nsliga" system eftersom man gör det pĂ„ systemets egna vilket och med ett protokoll som systemet anvĂ€nder "till vardags". Man kan ocksĂ„ integrera med olika administrationssystem för att hĂ€mta information ur nĂ„gon CMDB (Configuration Management Database) som exempelvis ServiceNow, Cisco ISE eller Aruba ClearPass. Har man ett mindre nĂ€tverk med upp till 500 noder rĂ€cker en liten "NSG-R 50" lĂ„ngt men det finns förstĂ„s en lĂ„ng rad andra möjligheter ocksĂ„. Dels finns ett antal större syskon i olika storlekar som klarar upp till 500 000 noder. Det finns ocksĂ„ en portabel modell som passar bra nĂ€r vi konsulter Ă„ker ut för att göra en genomlysning av nulĂ€get hos en kund. Har man ett utspritt nĂ€tverk finns en mindre enhet, "Remote Collector", som ansluts ute i verksamheten och som sedan förmedlar information till en Guardian för analys. Det finns ocksĂ„ virtuella versioner av bĂ„de Guardian och "Remote Collector" om man föredrar det. Det finns Ă€ven en container-variant som gĂ„r att köra direkt i nĂ€tverksprylar, exempelvis i Siemens RUGGEDCOM. Har man flera Guardians sĂ„ kan man Ă€ndĂ„ arbeta samlat i deras "Central Management Console". Nozomi har ocksĂ„ vad man kallar "Vantage", vilket Ă€r deras SAAS-tjĂ€nst. Insamlingen av trafik görs förstĂ„s i nĂ€tverket som vanligt men analys och presentation sker i en molntjĂ€nst. Det hĂ€r Ă€r förstĂ„s en otroligt smidig lösning, inte minst om man har mĂ„nga separata sajter som man vill samla under en och samma hatt. Nozomi riktar in sin produkt mot bĂ„de OT och IoT vilket jag tror passar den hĂ€r typen av produkt perfekt. Inte minst i samband med Industri 4.0 dĂ€r man ju förstĂ„s Ă€r extra intresserad av grĂ€nslandet mellan OT, IoT och IT. Det som kan vara en utmaning med den hĂ€r typen av lösningar Ă€r att man Ă€r helt beroende av att se tillrĂ€ckligt mycket trafik för att kunna göra sin analys. HĂ€r fĂ„r man (som vanligt) vĂ€lja sin ambitionsnivĂ„ efter sin riskanalys, sin existerande nĂ€tverksplattform och sina behov. Det fungerar ju ocksĂ„ alldeles utmĂ€rkt att börja lite begrĂ€nsat för att sedan bygga ut efter hand som man har möjlighet. Kvaliteten pĂ„ den nĂ€tverkstrafik man samlar in Ă€r förstĂ„s viktig och att man inte riskerar att störa de nĂ€tverk man "avlyssnar". DĂ€r kan jag verkligen rekommendera att man löser det seriöst redan frĂ„n första början, varför inte med tappar och aggregatorer som dem frĂ„n Keysight som jag tittade pĂ„ i förra nyhetsbrevet. Min högst personliga Ă„sikt Ă€r att Guardian Ă€r en makalös produkt. Det Ă€r bara att gratulera Nozomi Networks till en riktig fulltrĂ€ff! Man kommer i ett enda slag Ă„t ett stort antal av de riktigt kluriga utmaningar som det innebĂ€r att arbeta med sĂ€kerhet i OT-miljöer. Det Ă€r vĂ€ldigt tydligt att Guardian Ă€r utformad för OT-behov frĂ„n första stund vilket gör det extremt enkelt att snabbt skapa riktigt starka lösningar! Det Ă€r precis den hĂ€r typen av lösning som behövs för att lösa mĂ„nga olika typer av sĂ€kerhetsutmaningar och pĂ„ köpet fĂ„r du en massa andra unika fördelar för bĂ„de sĂ€kerhetsfolk och automationsfolk. VaddĂ„ NIST? Man hör ofta att folk "jobbar enligt NIST" eller "granskar enligt NIST" nĂ€r de pratar sĂ€kerhet. Men vad menar de egentligen? Och vad Ă€r det dĂ€r NIST som de pekar pĂ„? Det hĂ€r Ă€r tredje delen i min serie om standarder och ramverk. Första avsnittet handlade om ISA/IEC 62443 och finns i nyhetsbrev #26. I förra nyhetsbrevet kan du lĂ€sa del tvĂ„ dĂ€r jag tittar pĂ„ NAMUR NOA. Har du önskemĂ„l om vad jag ska ta upp framöver sĂ„ fĂ„r du vĂ€ldigt gĂ€rna höra av dig! Det första att tĂ€nka pĂ„ Ă€r att folk kan mena lite olika saker nĂ€r de pratar om NIST! NIST Ă€r en enorm organisation med 3000 anstĂ€llda som driver standardisering och forskning som en del av USAs Department of Commerce. De har en vĂ€ldig massa standarder inom en stor mĂ€ngd omrĂ„den. Lite slarvigt skulle man kunna jĂ€mföra deras standardiseringsarbete med svenska SIS Ă€ven om jĂ€mförelsen haltar ganska mycket eftersom de sysslar med sĂ„ mycket annat ocksĂ„. Inom just sĂ€kerhetsomrĂ„det Ă€r det fyra delar som de sjĂ€lva lyfter fram: "Cybersecurity framework", OT-sĂ€kerhet, kryptolösningar och medicinska system som trĂ„dlöst styrda medicinska pumpar. De dokument som vi OT-, Info- och IT-sĂ€kerhetsmĂ€nniskor brukar intressera oss för finns i det som NIST kallar "Special Publications" och nĂ€rmare bestĂ€mt i underserien 800. Tittar man pĂ„ mĂ€ngden dokument ser man att Cybersecurity faktiskt Ă€r ett av deras minsta omrĂ„den... SĂ„ vad menar folk med att de jobbar enligt NIST? Förmodligen Ă€r det nĂ„got av dessa eller en kombination av dem: Man organiserar sitt sĂ€kerhetsarbete enligt "NIST Cybersecurity Framework" Man mĂ€ter sin sĂ€kerhetsförmĂ„ga enligt "NIST Cybersecurity Framework" Man implementerar sĂ€kerhetsĂ„tgĂ€rder enligt "NIST SP 800-53" Man arbetar med OT-sĂ€kerhet enligt "NIST SP 800-82" Av dessa fyra Ă€r det egentligen bara 800-82 som Ă€r specifikt för OT-sĂ€kerhet. De övriga Ă€r generella Ă€ven de Ă€r mycket lĂ€mpliga Ă€ven för OT-verksamheter. NIST Cybersecurity Framework De flesta som pratar om "NIST" menar Cybersecurity Framework eller CSF som det brukar förkortas. Det Ă€r ett ramverk för hur man mĂ€ter risk, strukturerar riskarbete, vĂ€ljer sĂ€kerhetsĂ„tgĂ€rder och utför sĂ€kerhetsarbete i en organisation. En snygg sak Ă€r att man istĂ€llet för att skapa en ny standard försöker knyta ihop en massa redan existerande standarder och rekommendationer. Man har gjort en elegant struktur i fem delar som Ă€r lĂ€tt att förstĂ„. Det i grunden ett dokument och en lista som Ă€r tillgĂ€nglig i tvĂ„ versioner, antingen en lista i Excel eller ett dokument som beskriver hela modellen. PĂ„ sĂ€tt och vis Ă€r det ganska likt upplĂ€gget i ISO 27000 dĂ€r dokumentet motsvarar ISO 27001 och listan motsvarar ISO 27002. De fem delarna Ă€r nedbrutna i 23 kategorier som sedan bryts ner till totalt 108 underkategorier. Varje kategori och underkategori Ă€r beskriven med en enda mening och till var och en av dem finns en radda referenser till olika standarder: "Center for Internet Security: Critical Security Controls", "COBIT", "ISA 62443-2-1", "ISA 62443-3-3", "ISO 27001" och "NIST 800-53". HĂ€r ett exempel frĂ„n kategorin "Protect" i listan med ett par underkategorier samt en förteckning över referenser till diverse standarder som kan anvĂ€ndas för att implementera respektive kategori. Som du ser beskrivs varje kategori med bara en enda mening: En viktig sak som man ocksĂ„ trycker pĂ„ i sjĂ€lva dokumentet Ă€r att man mĂ„ste vara försiktig med att prata om "compliance" gentemot ramverket i och med att det kan anvĂ€ndas pĂ„ sĂ„ vĂ€ldigt mĂ„nga olika sĂ€tt. Varje organisation uppmanas sjĂ€lv definiera hur man bĂ€st drar nytta av det. PĂ„ samma sĂ€tt ser man ibland att man utför granskningar av en organisation och kommer fram till en betygspoĂ€ng, "Företag X har 1.7 NIST-poĂ€ng". Det hĂ€r Ă€r inte fel men man fĂ„r se upp med att jĂ€mföra den siffran med andra eftersom det finns mĂ„nga olika sĂ€tt att vĂ€rdera vad som Ă€r rĂ€tt och fel. NIST uppmanar dessutom organisationer att lĂ€gga till egna kategorier eller referenser om det behövs för verksamheten. Men oavsett allt detta Ă€r det ett vĂ€ldigt starkt verktyg för att mĂ€ta sin egen utveckling! Listan med de 108 kategorierna Ă€r det som kallas kĂ€rnan i NIST CSF. Till det kommer tvĂ„ andra delar, "Implementation Tiers" och "Framework Profile". "Implementation Tiers" beskriver organisationens generella förmĂ„ga att arbeta strukturerat med risk men Ă€r inte tĂ€nkt att ses som en mognadsmodell utan mer som ett handfast sĂ€tt att beskriva den nuvarande förmĂ„gan och besluta vilken ambitionsnivĂ„ man vill ha. "Framework Profile" beskriver hur man sĂ€tter mĂ„l och sedan mĂ€ter uppfyllandet av de 108 kategorierna. Resultatet kan beskrivas pĂ„ lite olika sĂ€tt, vanligast Ă€r en kurva eller NIST-poĂ€ngen jag nĂ€mnde hĂ€r ovanför. Man trycker frĂ„n NISTs sida pĂ„ att man inte blint ska sikta pĂ„ att höja sin "poĂ€ng" utan att först vĂ€rdera det man vill göra utifrĂ„n sin riskprofil och utifrĂ„n vad Ă„tgĂ€rderna kommer att kosta. För att mĂ€ta sin egen organisation med hjĂ€lp av CSF kan man antingen göra egna sjĂ€lvskattningar alternativt kan man lĂ„ta en intern eller extern granskare göra en genomlysning. Som stöd för ett sĂ„dant arbete finns en massa olika stödverktyg som gör det enklare att stĂ€lla rĂ€tt frĂ„gor eller kontrollera rĂ€tt saker. Personligen Ă€r jag certifierad CISA-revisor och har dĂ„ tillgĂ„ng till ISACAs frĂ„gebatteri "Cybersecurity: Based on the NIST Cybersecurity Framework Audit Program" som jag gillar. De flesta stora revisionsföretag har sina egna modeller som de "utsĂ€tter" sina kunder för. För oss OT-mĂ€nniskor trycker NIST i CSF lite extra pĂ„ att vi mĂ„ste tĂ€nka pĂ„ att vi hanterar andra typer av risker sĂ„ att vi inte fastnar i enbart "IT-tĂ€nk" utan Ă€ven tĂ€nker pĂ„ miljö, hĂ€lsa och annat som Ă€r typiskt för vĂ„r vĂ€rld. Högst personligen gillar jag CSF eftersom man valt att inte skapa ytterligare en ledningssystemsstandard och för att det Ă€r vĂ€ldigt lite dödkött i dokumenten. Baksidan av samma mynt Ă€r att det lĂ€mnar en hel del öppet för eget tyckande vilket förstĂ„s kan vara störande för paragrafryttare. Delen om "Implementation Tiers" Ă€r kanske vĂ€rst pĂ„ det viset, dĂ€r har man vĂ€ldigt lite att luta sig mot. Delarna kring "Framework Profiles" bör de flesta verksamheter kunna kombinera pĂ„ ett bra sĂ€tt med "Security Levels" om man arbetar efter ISA 62443 för att fĂ„ en snygg helhetsbild. Ramverket har en stor fördel i att det Ă€r gratis Ă€ven om det förstĂ„s lutar sig mot andra standarder som inte Ă€r det... NIST SP 800-53 Det hĂ€r dokumentets riktiga namn Ă€r "Security and Privacy Controls for Information Systems and Organizations" vilket förklarar precis vad det Ă€r för ett dokument, en enorm samling sĂ€kerhetsĂ„tgĂ€rder. Den första versionen dök upp 2005 och sedan dess har det kommit fem uppdateringar som förĂ€ndrat innehĂ„llet ganska mycket. Den senaste versionen dök upp i höstas dĂ€r man bland annat Ă€ndrat sprĂ„kbruket sĂ„ att dokumentet passar mycket bĂ€ttre för oss som intresserar oss för OT och IoT. Ett gĂ€ng Ă„tgĂ€rder kring supply chain Ă€r ocksĂ„ intressant men Ă„ andra sidan har ocksĂ„ ett gĂ€ng privacy-krav dykt upp som ofta Ă€r mindre relevant för oss. DĂ€r NIST CSF Ă€r ett nĂ€tt dokument Ă€r SP 800-53 betydligt tyngre. Ett introduktionskapitel pĂ„ 3 sidor, ett kapitel pĂ„ 7 sidor med förklaringar till strukturen i dokumentet och sedan 350+ sidor med sĂ€kerhetsĂ„tgĂ€rder! Dessutom har ett dotter-dokument SP 800-53B med 50+ sidor brutits ut som innehĂ„ller baselining för sĂ€kerhetsĂ„tgĂ€rderna i huvuddokumentet. Sedan tidigare finns ocksĂ„ SP 800-53A pĂ„ nĂ€stan 500(!) sidor som beskriver man mĂ€ter effektiviteten hos sĂ€kerhetskontrollerna. Nu Ă€r det ju tvĂ„ helt olika dokument men jag kan Ă€ndĂ„ inte lĂ„ta bli att jĂ€mföra med hur NAMUR skriver sina NOA-dokument frĂ„n förra nyhetsbrevet, verkligen tvĂ„ helt olika sĂ€tt att bygga dokument! Alla dessa sĂ€kerhetsĂ„tgĂ€rder delas in i en struktur med 20 familjer dĂ€r varje familj innehĂ„ller ett antal sĂ€kerhetsĂ„tgĂ€rder dĂ€r varje Ă„tgĂ€rd kan ha en eller flera utökningar. Dokumentet gör en poĂ€ng i att inte berĂ€tta hur man ska vĂ€lja rĂ€tt sĂ€kerhetsĂ„tgĂ€rder baserat pĂ„ sin riskanalys utan pekar istĂ€llet pĂ„ ett antal alternativa sĂ€tt, bland andra NIST CSF. Det hĂ€r Ă€r ett brutalt dokument! Vi talar alltsĂ„ om över 1000 sĂ€kerhetsĂ„tgĂ€rder som beskrivs pĂ„ ett utförligt sĂ€tt. De Ă€r alla skriva pĂ„ ett sĂ€tt som Ă€r helt neutralt frĂ„n tekniken som anvĂ€nds och sĂ€ttet de implementeras vilket gör att det Ă€r ett rejĂ€lt jobb att vĂ€lja, definiera och implementera dem var och en! Å andra sidan Ă€r det en mycket komplett uppsĂ€ttning i motsats till exempelvis Ă„tgĂ€rderna i ISO 27002 som ju av det skĂ€let egentligen krĂ€ver Ă€nnu mer arbete för att bli heltĂ€ckande. Oavsett hur man bygger sitt ledningssystem och kravkatalog för sĂ€kerhet Ă€r NIST SP 800-53 ett formidabelt uppslagsverk! I och med att det Ă€r sĂ„ generellt skrivet finns mycket som Ă€r vĂ€ldigt anvĂ€ndbart Ă€ven för OT-sĂ€kerhet. NIST SP 800-82 Det hĂ€r dokumentet slĂ€pptes i sin första version 2011 och revision 2, som Ă€r den senaste, slĂ€pptes 2015. För nĂ„gra veckor sedan begĂ€rde NIST in förslag och kommentarer inför ett kommande arbete med att ta fram revision 3. Man sĂ€ger sig sikta pĂ„ att ha ett första utkast klart vid Ă„rsskiftet. Den nuvarande versionen av SP 800-82 Ă€r anpassad till den förra revisionen av SP 800-53 vilket gör att vi hamnar i ett litet mellanlĂ€ge nu nĂ€r vi vĂ€ntar pĂ„ en uppdatering av SP 800-82... NĂ„gra intressanta omrĂ„den som man verkar sikta speciellt pĂ„ Ă€r bland annat: Att göra dokumentet mer inriktat mot styrsystem och automation i allmĂ€nhet snarare Ă€n det industriella fokus det har i den nuvarande versionen. AnvĂ€ndning av moderna sĂ€kerhetsĂ„tgĂ€rder. Anpassningar som ska passa mindre verksamheter. Generellt Ă€r SP 800-82 tĂ€nkt att "lĂ€ggas ovanpĂ„" SP 800-53 för att bĂ€ttre anpassa den till OT-vĂ€rldens behov. Dokumentet inleds med en ganska omfattande genomgĂ„ng av historiken kring OT och ger jĂ€mförelser med IT kring skillnaderna i risker och utmaningar. Om man Ă€r ny inom OT-vĂ€rlden Ă€r det en helt okej introduktion Ă€ven om det mĂ€rks att den har nĂ„gra Ă„r pĂ„ nacken, exempelvis saknar jag alla de nya utmaningarna kring "Industri 4.0" som de flesta OT-verksamheter stĂ„r mitt i idag. Inriktningen Ă€r ocksĂ„ vĂ€ldigt hĂ„rt skruvad mot processindustri och tillverkande industri medan andra sorters OT bara omnĂ€mns i förbigĂ„ende, inom exempelvis fastighetsautomation, autonoma system, fysiskt skydd och energistyrning. Allt detta verkar man ju sikta pĂ„ att fixa i den kommande uppdateringen! Generellt kan jag tycka att SP 800-82, precis som vĂ€ldigt mĂ„nga amerikanska myndighetstexter, gĂ„r vilse i sitt syfte och försöker vara allting pĂ„ en gĂ„ng. Ena sekunden luktar det skolbok nĂ€r man gĂ„r igenom massor av olika nĂ€tverksprotokoll för att förklara vad de anvĂ€nds till för att sedan plötsligt i detalj gĂ„ igenom de 20 familjerna av sĂ€kerhetsĂ„tgĂ€rder som finns i SP 800-53 för att förklara hur de funkar i OT-vĂ€rlden. Ena sekunden riktar man sig till ledningen och nĂ€sta stund till tekniker. Inget av det Ă€r förstĂ„s fel men det blir tungt att ta till sig den hĂ€r typen av dokument! Om man anvĂ€nder SP 800-53 i en OT-verksamhet sĂ„ finns det absolut mycket godis i SP 800-82, inte minst Appendix G som graderar alla sĂ€kerhetsĂ„tgĂ€rder efter applicerbarhet beroende pĂ„ verksamhetens riskprofil. Personligen ser jag nog oftast dokumentet som en bra inspiration och kanske ett uppslagsverk nĂ€r man tittar pĂ„ nĂ„got speciellt sĂ€kerhetsomrĂ„de. Mer NOA! I förra nyhetsbrevet gick jag igenom grunderna för NOA, Namur Open Architecture, och som utlovat kommer hĂ€r fortsĂ€ttningen kring deras senaste dokument, NE 177, som belyser sĂ€kerhetstĂ€nket mer. Vi saknar fortfarande tre dokument i den hĂ€r serien av totalt fem, men nu kan vi pĂ„ riktigt börja se vart det tar vĂ€gen, Ă„tminstonde sĂ€kerhetsmĂ€ssigt. Jag rekommenderar att du lĂ€ser min förra text först som du hittar i förra nyhetsbrevet. Redan frĂ„n början av den första genomlĂ€sningen fĂ„r man en trygg kĂ€nsla i magen eftersom de trycker hĂ„rt pĂ„ att det som de beskriver Ă€r ett rekommenderat sĂ€tt att anvĂ€nda ISA 62443 snarare Ă€n att de försöker skapa en konkurrent. Man gĂ„r sĂ„ lĂ„ngt att man anger tvĂ„ delar av ISA 62443 som normativa referenser! Fantastiskt klokt sĂ€tt att resonera som verkligen hjĂ€lper oss som ska anvĂ€nda resultatet framĂ„t! Dokumentet NE 177 beskriver egentligen det byggblock i arkitekturen som de kallar NOA Secure Gateway, eller ibland "NOA Dioden". En elegant finess i dokumentet Ă€r att de försökt vara tydliga med vilka kapitel som vĂ€nder sig till anvĂ€ndare av arkitekturen och vilka som vĂ€nder sig till tillverkare av "NOA Dioder". Ett extra plus dĂ€r för fokuset pĂ„ lĂ€saren och vĂ„r upplevelse! Som jag nĂ€mnde i min tidigare artikel om NOA har den en vĂ€ldigt stark sida i att den frĂ„n början Ă€r att passa lika bra oavsett om du bygger en helt ny miljö eller om du kompletterar en gammal automationsplattform med "Industri 4.0". Starkt! NOAs zonmodell bygger helt pĂ„ tĂ€nket i ISA 62443 och ger oss tre zoner: En kallas CPC, "Core Process Control" - alltsĂ„ det egentliga styr- och automationssystemet. En andra kallas "M+O onprem", "Monitoring and Optimization On-premises" - vilket Ă€r "tillĂ€gget" för Industri 4.0 som hör till den fysiska sajten. Den tredje zonen Ă€r "M+O offprem", "Monitoring and Optimization Off-premises" - en valfrit zon dĂ€r information bearbetas pĂ„ en högre nivĂ„, potentiellt för flera sajter och potentiellt i nĂ„got slags molntjĂ€nst. I bilden nedan Ă€r det de tvĂ„ röda funktionerna som ser till att information förs ut respektive in pĂ„ ett sĂ€kert sĂ€tt. I dokumentet vi tittar pĂ„ nu behandlas den röda boxen till vĂ€nster medan den högra kommer behandlas i det kommande dokumentet NE 178. En riktigt snygg rekommendation som de gör handlar om hur olika aspekter av sĂ€kerhet ska prioriteras i de olika zonerna. Även om detta förstĂ„s alltid Ă€r upp till varje enskild organisation gör de en intressant iakttagelse utifrĂ„n den klassiska triaden, "Hemlighet", "riktighet" och "TillgĂ€nglighet". Var och en av zonerna har en egen rekommenderad prioritetsordning: CPC: 1 - TillgĂ€nglighet, 2 - Riktighet och 3 - Hemlighet M+O onprem: 1 - Riktighet, 2 - Hemlighet och 3 - TillgĂ€nglighet M+O offprem: 1 - Hemlighet, 2 - Riktighet och 3 - TillgĂ€nglighet Du som lĂ€st mina tidigare texter vet att jag har vissa invĂ€ndningar mot att enbart anvĂ€nda dessa tre begrepp (Hemlighet, Riktighet och TillgĂ€nglighet) frĂ„n informationssĂ€kerhets-vĂ€rlden (se exempelvis nyhetsbrev #24 och #23) men hĂ€r lyfter det verkligen fram en intressant vinkel och möjlighet! Den som kĂ€nner till ISA 62443-3-3 vet att begreppet "Security Levels" Ă€r centralt. I NOA förenklar man upplĂ€gget i standarden genom att banta ner standardens fyra SL-nivĂ„er till tvĂ„, "NOA BASIC" och "NOA EXTENDED". De motsvarar ungefĂ€r "SL 2" respektive "SL 4" men det finns en lista med de exakta kraven som gĂ€ller om man vill anvĂ€nda NOAs tvĂ„ klasser. Vi fĂ„r se nĂ€r det börjar dyka upp tekniska lösningar som implementerar en NOA Secure Gateway? I grunden Ă€r det en nĂ€tverksdiod som Ă€r klĂ€dd med lĂ€mpliga applikationsproxys pĂ„ bĂ€gge sidor. Det finns redan lösningar som kommer nĂ€ra Ă€ven om de inte formellt sĂ€gs vara utformade enligt NOA, ett exempel Ă€r Waterfall som har stöd för Historians som OSIsoft PI server och för OPC UA i sina dioder. I vilket fall som helst Ă€r NOA och tĂ€nket kring NOA Secure Gateway klockrent för att pĂ„ ett enkelt och tydligt sĂ€tt haka pĂ„ "Industri 4.0" pĂ„ ett nytt eller gammalt OT-system. Tummen upp frĂ„n min sida! Intryck frĂ„n MSBs NIS-konferens Jag deltog pĂ„ MSBs konferens kring NIS-direktivet i mitten av Maj. Min förhoppning var framför allt att fĂ„ höra lite mer tankar kring det kommande nya NIS-direktivet men det blev tyvĂ€rr inte sĂ„ mycket av den varan. De flesta dragningar frĂ„n olika grupper (politiker, MSB, ENISA, EU-kommisionen mfl) kring det Ă€mnet gick mest ut pĂ„ att berĂ€tta vad de sjĂ€lva gör för bra saker i vardagen. Inget fel i det men det blev inte sĂ„ framĂ„triktat som jag hade hoppats. Det som sades kring just NIS2 var egentligen mest en sammanfattning av skillnaderna mellan det nuvarande direktivet och det liggande förslaget. Av nĂ„gon anledning sparades bara inspelningarna frĂ„n konferensen under Maj sĂ„ det finns tyvĂ€rr ingenting att hĂ€nvisa till om du vill ta del av vad som sades. Är du nyfiken pĂ„ just NIS2 sĂ„ har jag skrivit om det tidigare, i nyhetsbrev #21 och #23 men Ă€ven i ett blogginlĂ€gg. Security for Safety En av mina favoritsaker att tjata om nĂ€r jag hĂ„ller presentationer Ă€r klurigheten i att svenskan har samma ord för "Safety" och "Security". Det kan tyckas vara en petitess men jag har varit med om flera hĂ€ndelser dĂ€r projekt och verksamheter fĂ„tt problem för att folk missförstĂ„tt vad man menade nĂ€r man sa "SĂ€kerhet". Oavsett vad vi kallar saker sĂ„ Ă€r "Security" vĂ€ldigt viktigt om man ska fĂ„ bra "Safety" i vĂ„ra OT-system. Det finns en massa bra standarder och regelverk som man kan luta sig mot nĂ€r man designar och kör system med höga krav pĂ„ "Safety". Intresset för sĂ€kerhet i Safety-system ökade rejĂ€lt för tre Ă„r sedan med TRISIS-attacken mot ett Saudiskt raffinaderi. Och nyligen har det varit en hel del stĂ„hej kring nĂ„got som kallas "Project 12" frĂ„n LOGIIC. Och det Ă€r Ă€r verkligen det 12:e projektet frĂ„n den hĂ€r gruppen som egentligen heter "Linking the Oil and Gas Industry to Improve Cybersecurity". Det Ă€r den amerikanska olje- och gasindustrin som samarbetar med Department of Homeland Security kring sĂ€kerhetsfrĂ„gor. Projekt nummer 12 tittade pĂ„ sĂ€kerheten i sĂ€kerhetssystem, alltsĂ„ "Security of Safety systems, eller mer exakt, egentligen sĂ„ letade man efter sĂ„rbarheter som skulle vara speciellt intressanta i den hĂ€r typen av system. Rapporten frĂ„n projektet blev precis klar och rekommenderas för en genomlösning om du Ă€r det minsta intresserad av Safety-frĂ„gor. Dale Peterson gjorde en intervju nyligen med ett par av deltagarna i arbetet, vĂ€l vĂ€rd att lyssna pĂ„! LOGIIC har ett antal tidigare rapporter, nĂ€rmare bestĂ€mt 11 stycken, som ocksĂ„ Ă€r intressanta. De tĂ€cker spĂ€nnande Ă€mnen som SIS-system, virtualisering, trĂ„dlös teknik och fjĂ€rrövervakning. Tips om event och mer lĂ€sning! Den 26:e Augusti gĂ„r Ă„rets Xday av stapeln. Jag Ă€r en av talarna under rubriken "StĂ„ stadigt med sĂ€ker OT". Exakt vad jag kommer prata om fĂ„r ni höra om ni Ă€r med! Skynda att anmĂ€la dig! https://resources.trendmicro.com/Xday2021.html Sinclair Koelemij ger oss en rejĂ€l utlĂ€ggning kring risk och riskbedömning, han Ă€r lika intressant som alltid: https://otcybersecurity.blog/2021/05/09/cyber-risk-assessment-is-an-exact-business/ Om mina artiklar om NOA intresserade dig kanske du vill lĂ€sa vad en av mina idoler, Jonas Berge, skriver om Ă€mnet: https://www.linkedin.com/pulse/implementing-namur-open-architecture-noa-jonas-berge/ Diskussioner kring sĂ€kerhet i 5G brukar lĂ€tt bli en massa fantasier eller skrĂ€msel-propaganda. VĂ€nnerna pĂ„ Trend Micro överraskar lite med ett rejĂ€lt djup i dessa frĂ„gor vilket syns i ett forskningspapper de slĂ€ppte nyligen: https://www.trendmicro.com/vinfo/us/security/news/internet-of-things/the-transition-to-5g-security-implications-of-campus-networks Keysight som du mötte senast i förra nyhetsbrevet dĂ€r jag tittade pĂ„ deras fina tappar och aggregatorer har levererat nĂ„got RIKTIGT intressant, nĂ„got de kallar en Electro Turbo Encabulator. Det hĂ€r Ă€r en nĂ€rmast magisk manick som jag hoppas kunna fĂ„ fingrarna pĂ„ snart och Ă„terkomma med en rejĂ€l test. Tills dess fĂ„r vi hĂ„lla till godo med deras reveal-video: https://youtu.be/fltOyddlnOE BerĂ€tta gĂ€rna vad du tycker! Matthew Loong berĂ€ttar för oss hur en pipeline fungerar. VĂ€ldigt aktuellt i dessa dagar... https://www.linkedin.com/pulse/operational-technology-musings-former-pipeliner-matthew-loong-%25E9%25BE%2599%25E5%2587%25AF%25E4%25BF%258A/ Projektet "The Top 20 Secure PLC Coding Practices Project" har skaffat sig en snygg logga och nu börjar det nĂ€rma sig leverans av den första versionen. Om du Ă€r med i gruppen kan du följa arbetet frĂ„n insidan: https://top20.isa.org/ ApropĂ„ Colonial-incidenten sĂ„ har mĂ„nga förstĂ„sigpĂ„are tyckt till om behovet av luftgap, nĂ„got som sĂ€llan Ă€r en meningsfull tanke och som Ă€r helt befĂ€ngt i samband med en modern pipeline. HĂ€r Ă€r i alla fall tvĂ„ proffstyckare som dessutom har olika Ă„sikter: Joe Slowik: https://pylos.co/2021/05/13/mind-the-air-gap/ och Jake Brodsky: https://scadamag.infracritical.com/index.php/2021/05/15/air-gapping-it-and-ot/ För den som vill lĂ€sa mer av mina alster sĂ„ finns nĂ„gra av mina artiklar med koppling till OT-sĂ€kerhet pĂ„ Ateas officiella blogg. Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/ Vad Ă€r OT-sĂ€kerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ En jĂ€mförelse mellan ISO 27000 och ISA 62443: https://www.atea.se/it-specialisten/sakerhet/isa-62443-battre-an-iso-27000/ Industri 4.0 blir lĂ€ttare och sĂ€krare med NAMUR NOA: https://www.atea.se/it-specialisten/sakerhet/klurigt-med-industri-4-0-svaret-ar-noa/ Det nya maskindirektivet adresserar spĂ€nnande utmaningar kring sĂ€kerhet (bĂ„de safety och security) i potentiellt farliga maskinutrustningar med ett speciellt intresse för anvĂ€ndningen av AI i skyddsfunktioner: https://www.atea.se/it-specialisten/sakerhet/ce-markt-sakerhet/ Det hĂ€r nyhetsbrevet vĂ€nder sig till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© pĂ„ Atea Sverige och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se.

  • Nyhetsbrev OT-SĂ€kerhet #27 - Industri 4.0, nya maskindirektivet och NAMUR

    Jag ger dig en snygg lösning pĂ„ utmaningarna kring Industri 4.0 nĂ€r vi tittar pĂ„ NAMUR NOA, jag prövar sprillans nya ruggade nĂ€tverksgrejor frĂ„n Keysight som jag kopplar upp tillsammans med andra spĂ€nnande prylar i mitt labb, bland annat en Nozomi Networks Guardian och en OT-diod frĂ„n Advenica. En titt pĂ„ EUs nya krav pĂ„ CE-mĂ€rkning av OT-sĂ€kerhet frĂ„n det nya maskindirektivet blir det ocksĂ„ och sĂ„ gnĂ€ller jag över alldeles för mycket segmentering. ÅssĂ„ en massa annat förstĂ„s! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ vissa artiklar frĂ„n nyhetsbreven publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Segmentering Ă€r kass! Alla som arbetar inom nĂ„gon form av OT-sĂ€kerhet Ă€r van vid att segmentering Ă€r en av de viktigaste sĂ€kerhetsĂ„tgĂ€rderna. Oavsett om det Ă€r klassiska Purdue-tankar frĂ„n ISA 95, "zones and conduits" enligt 62443, ACL:er, SDN-nĂ€t eller mikrosegmentering sĂ„ anvĂ€nder vi segmentering för att skĂ€ra upp helheten. Vi skapar de dĂ€r lagren som i en lök sĂ„ enbart de prylar som behöver kommunicera med varandra kan göra det. Efter att ha sett ett antal segmenterings-projekt sĂ„ inser jag ocksĂ„ att segmentering Ă€r den enkla delen. Det svĂ„ra Ă€r att fĂ„ till bra integration, det vill sĂ€ga en sĂ€ker kommunikation mellan de olika segmenten. Beroende pĂ„ var i vĂ„r segmenteringsmodell vi tittar sĂ„ Ă€r det dessutom olika protokoll och kommunikationsmetoder sĂ„ vi anvĂ€nder olika former av gateways och tjĂ€nster för att översĂ€tta sĂ„ att olika sprĂ„k kan anvĂ€ndas i olika situationer. I de flesta av mina uppdrag agerar jag rĂ„dgivare Ă„t olika grupper av personer i olika typer av organisationer. Jag har regelbundna trĂ€ffar med IT-sĂ€kerhetschefer, automationsfolk, IT-chefer, lösningsarkitekter, R&D-folk, produktionschefer och informationssĂ€kerhetschefer frĂ„n alla möjliga typer av organisationer, allt frĂ„n kĂ€rnkraftverk, via sjukvĂ„rd och fastighetsförvaltning till skogsindustri och högteknologisk tillverkande industri. Jag reflekterar ofta över att alla dessa mĂ€nniskor och deras organisationer har sĂ„ mĂ„nga gemensamma utmaningar trots att förutsĂ€ttningarna pĂ„ ytan Ă€r sĂ„ olika. Det finns mycket att lĂ€ra av varandra mellan helt olika branscher! Den absolut vanligast problematiken i alla dessa organisationer har med segmenterad kommunikation att göra. Fast dĂ„ inte den sorten som gĂ„r pĂ„ nĂ€tverk, utan den som Ă€r mellan mĂ€nniskor. Lite som i vĂ„ra nĂ€tverk har man oavsiktligt skapat segmentering genom uppdelade organisationsstrukturer, Ă„tskilda produktionsenheter och genom att man har olika mĂ„l och utmaningar i vardagen. Och Ă€ven hĂ€r har man olika "protokoll", eller sĂ€tt att uttrycka sig, som gör att det Ă€r svĂ„rt att fĂ„ till en vettig kommunikation mellan olika enheter. Det hĂ€r Ă€r definitivt ett problem som jag ser i precis alla branscher och oavsett storlek pĂ„ organisation. Hur ska vi dĂ„ fĂ„ till en bra kommunikation? Vilken motsvarighet har vi till bra integrationer och gateways? Eftersom vi knappast kan fĂ„ alla att ha samma prioriteter, fĂ„ att alla att anvĂ€nda samma sprĂ„k eller ge alla samma utmaningar sĂ„ fĂ„r vi hitta ett sĂ€tt att kommunicera som överbryggar dessa olikheter. Mycket handlar förstĂ„s om grundlĂ€ggande verksamhetsstyrning som strategiarbete, mĂ„lnedbrytning och internkommunikation. Men om vi fokuserar pĂ„ sĂ€kerhetsarbete hĂ€r sĂ„ finns det speciella utmaningar i att fĂ„ till bra kommunikation. Sysslar du med informationssĂ€kerhet har du ett sĂ€tt att utrycka dig kring risker, hot och sĂ„rbarheter. Om du arbetar med miljöfrĂ„gor har du en annan uppsĂ€ttning begrepp, likasĂ„ har du ytterligare andra ord om du sysslar med fysiskt skydd, GDPR, brandskydd, maskinsĂ€kerhet, Seveso-frĂ„gor eller SIS-system. De flesta har stött pĂ„ CIA-triaden frĂ„n informationssĂ€kerhet, "Confidentiality - Integrity - Availability" ("Hemlighet - Riktighet - TillgĂ€nglighet"). Det hĂ€r Ă€r begrepp som passar vĂ€ldigt bra nĂ€r man resonerar kring skyddet av information. Om man sysslar med risker kopplade till automationssystem passar inte "CIA" sĂ„ bra och dĂ€rför har en annan triad blivit populĂ€r "Control - Observe - Operate" som utifrĂ„n styrsystemets perspektiv beskriver dess förmĂ„ga att styra processen, att lĂ„ta oss observera processen och att lĂ„ta oss pĂ„verka processen. Är man mer fokuserad pĂ„ processen och dess riskers pĂ„verkan pĂ„ oss har ytterligare en triad "Safety - Resilience - Performance" blivit populĂ€r eftersom vi kan beskriva hur farlig processen Ă€r för omgivningen, hur tĂ„lig processen Ă€r mot pĂ„verkan och hur effektiv processen Ă€r pĂ„ att leverera det resultat som den Ă€r till för. (Du kan lĂ€sa mer i mitt nyhetsbrev #24.) Dessa olika kombinationer av tre Ă€r vĂ€ldigt anvĂ€ndbara. Det diskuteras flitigt vilken kombination som Ă€r bĂ€st, vilket jag tycker Ă€r helt fel sĂ€tt att nĂ€rma sig det hĂ€r. För att fĂ„ till den dĂ€r integrationen mellan olika delar av organisationen och mellan personer med olika vardag behöver vi krydda vĂ„rt sprĂ„k med alla dessa ord för att vara sĂ€ker pĂ„ att vi beskriver verkligheten pĂ„ ett sĂ€tt som alla förstĂ„r oavsett av deras bakgrund. Det Ă€r sĂ„ vi skapar vĂ„r integrationsplattform för mĂ€nsklig kommunikation som överbryggar skillnader i vĂ„r vĂ€rldsbild. En annan viktig bit Ă€r förstĂ„s organisationen i sig sjĂ€lv. Större organisationer med verksamhet pĂ„ flera platser lĂ„ter ofta varje enskild "fabrik" bli en separat produktionsenhet med en egen produktionschef som Ă€r ansvarig för resultat och risker i den egna verksamheten. Varje enhet har egna resurser som bygger och underhĂ„ller automationssystemen som driver verksamheten. Det Ă€r vĂ€ldigt mĂ€nskligt att man som automationsingenjör prioriterar den egna enhetens behov och möjligheter över hela organisationens möjligheter. Det Ă€r lĂ€tt att detta, rĂ€tt eller fel, skapar situationer som ser ut som suboptimering för en utomstĂ„ende. NĂ„got som jag personligen tycker Ă€r viktigt Ă€r att det företagsgemensamma sĂ€kerhetsarbetet fokuserar pĂ„ att skapa möjligheter för varje enskild produktionsenhet som de sjĂ€lva inte har resurser att fĂ„ till var för sig. Vi mĂ„ste bli bĂ€ttre pĂ„ att kommunicera! SĂ„ precis som inom nĂ€tverkssegmentering Ă€r det integrationen mellan de olika segmenten som Ă€r bĂ„de svĂ„rt och viktigt. Lyckas vi med integrationen kan vi dra nytta av alla fördelar som segmenteringen ger men utan den stör helhetens förmĂ„gor och utan att vi tar genvĂ€gar som förstör effekten av segmenteringen. CE-mĂ€rkt OT-sĂ€kerhet! Ett förslag till nytt maskindirektiv lades fram av EU-kommissionen i slutet av April. Om du inte inte kĂ€nner till vad maskindirektivet Ă€r för nĂ„got sĂ„ kan man enkelt förklara det som att det Ă€r gemensamma krav pĂ„ hur man konstruerar, tillverkar, underhĂ„ller och anvĂ€nder maskiner och utrustningar för att undvika olyckor. Det Ă€r det kravunderlag som anvĂ€nds för maskiner som CE-mĂ€rks. I Sverige Ă€r det arbetsmiljöverket som ansvarar för regelverket. Att det behövdes ett nytt direktiv slogs fast i en rapport frĂ„n förra Ă„ret, "Report on the safety and liability implications of Artificial Intelligence, the Internet of Things and robotics", som pekade pĂ„ hur modern teknik pĂ„verkar maskinsĂ€kerheten. Observera att nĂ€r jag anvĂ€nder ordet "sĂ€kerhet" hĂ€r sĂ„ menar jag "safety", alltsĂ„ att maskinen inte skadar mĂ€nniskor. För att klara det krĂ€vs ocksĂ„ att tekniken har god "security" sĂ„ att den inte kan bli farlig genom exempelvis manipulation eller Ă€ndring. Jag ska direkt erkĂ€nna att maskindirektivet inte Ă€r nĂ„got som jag Ă€r jĂ€ttehemma i, men eftersom det nu verkar bli ett intressant överlapp mellan OT-sĂ€kerhet och direktivet sĂ„ blev jag förstĂ„s nyfiken. Precis som med nya NIS-direktivet (lĂ€s mer hĂ€r och hĂ€r!) sĂ„ blev det en övning i att lĂ€sa komplexa EU-dokument. Man ger sex huvudskĂ€l till att ett nytt direktiv behövs. Det första skĂ€let, och kanske mest intressanta, Ă€r att det gamla direktivet inte tĂ€cker risker som kommer ur ny teknik. Man vill förstĂ€rka förtroendet för nya tekniska lösningar och dĂ€rmed behövs legal tydlighet. Man listar sedan fem intressanta riskomrĂ„den kopplat till just ny teknik: Direkt samarbete mellan mĂ€nniskor och robotar. Det hĂ€r Ă€r ju ett omrĂ„de som verkligen börjat vĂ€xa pĂ„ sistone med sĂ„ kallade co-bots. Uppkopplade maskiner. FörĂ€ndringar i maskiners "beteende" pĂ„ grund av uppdateringar till mjukvaran efter godkĂ€nnandet. SvĂ„righeterna att göra riktiga riskbedömningar pĂ„ lösningar som bygger pĂ„ Machine Learning. Autonoma eller fjĂ€rrstyrda maskiner som inte har en förare eller operatör pĂ„ plats. Det Ă€r inga detaljerade krav vi fĂ„r sĂ„ det blir ju intressant att se hur detta kommer tolkas i praktiken nĂ€r man ska kravstĂ€lla eller granska maskiner framöver. Man gör en poĂ€ng av att trycka pĂ„ att direktivet Ă€r i linje med en kommande EU-reglering kring Artificiell Intelligens och med EUs policy för cybersĂ€kerhet. För just kopplingen mellan safety och cybersĂ€kerhet finns det egentligen tvĂ„ kravtexter, en kring skydd mot allmĂ€n pĂ„verkan och en kring utformningen av styrsystem: Maskinen ska vara konstruerad och byggd pĂ„ ett sĂ€tt som gör att farliga situationer inte kan orsakas av anslutningar till andra prylar oavsett om det handlar om oavsiktlig pĂ„verkan eller ett medvetet angrepp. Det finns ett krav pĂ„ att alla former av förĂ€ndringar ska loggas och lagras för bĂ„de hĂ„rdvara, mjukvara, konfiguration och data. Styrsystem ska kunna stĂ„ emot angrepp sĂ„ att inte farliga situationer uppstĂ„r. PĂ„ samma sĂ€tt ska inte fel i hĂ„rdvaran eller i styrsystemet kunna skapa risker. Speciellt ska Safety-system inte kunna Ă€ndras utanför grĂ€nserna för vad som anses vara sĂ€kert. Loggar för förĂ€ndringar ska vara tillgĂ€ngliga i fem Ă„r och loggar för safety-hĂ€ndelser ska vara tillgĂ€ngliga i ett Ă„r. Speciellt intressant Ă€r att man trycker pĂ„ funktioner som utvecklas under tiden maskinen anvĂ€nds, det vill sĂ€ga AI och Machine Learning. En annan intressant frĂ„ga som alltid brukar dyka upp Ă€r synen pĂ„ trĂ„dlös styrning och vad som ska hĂ€nda om den fallerar pĂ„ nĂ„got vis. Man trycker speciellt pĂ„ att safety-funktioner ska vara lokala i maskinen sĂ„ att den kan avvisa fjĂ€rrstyrning i farliga situationer. En intressant del Ă€r Bilaga 1 som definierar högriskmaskiner som nu Ă€ven innehĂ„ller AI-baserade skyddssystem förutom cirkelsĂ„gar, industriella pressar, sopkompressorer, fordonslyftar och en massa andra farliga saker. Eftersom man ocksĂ„ pratar om att det inte ska vara möjligt att pĂ„verka skyddssystem sĂ„ att de slutar fungera enligt riskanalysens antaganden blir det hĂ€r vĂ€ldigt viktigt att skydda pĂ„ ett bra sĂ€tt. Just samarbetet mellan mĂ€nniska och autonom maskin lyfter de i ergonomiavsnittet, dĂ€r det speciellt trycks pĂ„ en bra tvĂ„-vĂ€gskommunikation. Maskinen ska kommunicera sina avsikter och reagera pĂ„ ett bra sĂ€tt nĂ€r den fĂ„r order. Det Ă€r som sagt lĂ„ngt ifrĂ„n nĂ„gra detaljerade krav som vi fĂ„r. Det Ă€r inte helt klart för mig hur det hĂ€r kommer omsĂ€ttas i praktiska Ă„tgĂ€rder och vad som kommer bli nĂ„got slags hygien-nivĂ„ för att uppnĂ„ CE-mĂ€rkning. Om nĂ„gon av mina lĂ€sare vet mer om det hĂ€r sĂ„ fĂ„r ni vĂ€ldigt gĂ€rna kommentera eller höra av er! Fullt ös i labbet! I mitt OT-testrack finns just nu en hel radda roliga och imponerande prylar. Jag har gjort en lite större installation nu dĂ€r ett antal av burkarna fĂ„r leka tillsammans och tĂ€nkte gĂ„ igenom helheten i den hĂ€r artikeln. Framöver kommer jag titta nĂ€rmare pĂ„ prylarna var för sig i kommande nyhetsbrev. Hör av dig om det Ă€r nĂ„got speciellt du Ă€r nyfiken pĂ„ och vill att jag tittar extra noga pĂ„! Det den hĂ€r testmiljön gör Ă€r att generera stora mĂ€ngder trafik mellan hundratals fejkade system dĂ€r trafiken ocksĂ„ innehĂ„ller attacker och skadlig kod. Denna trafik kopieras sedan av ett antal olika nĂ€tverkstappar och aggregeras sĂ„ att summan av all trafik kan kopieras till ett antal mottagare. Dessa mottagare analyserar trafiken och presenterar sina insikter. Tanken med hela upplĂ€gget Ă€r att simulera en nĂ€tverksmiljö för en verksamhet som vill förbĂ€ttra synligheten i sina nĂ€tverk. PĂ„ köpet fĂ„r vi möjlighet att lĂ„ta var och en av komponenterna visa upp vad den kan! Om vi tar det frĂ„n vĂ€nster till höger sĂ„ har vi: Mjukvaran "BreakingPoint" som körs i en "PerfectStorm One" frĂ„n Keysight som du fick en glimt av i nyhetsbrev #25. Trafiken skickas i mitt fall mellan tre par nĂ€tverksinterface dĂ€r var och en av dessa par simulerar ett nĂ€tverk med hundratals klienter och servrar. I mitt fall har jag valt en riktigt jobbig blandning av IT- och OT-trafik dĂ€r jag Ă€ven skjuter in skadlig trafik av lite olika typer. Tre stycken nĂ€tverkstappar frĂ„n Keysight skapar en kopia av den trafik som skickas genom dem. I ett verkligt fall skulle de kunna vara anslutna mellan viktiga switchar i nĂ€tverket. I mitt fall Ă€r det en mer IT-anpassad IxTap och tvĂ„ ruggade varianter dĂ€r "Copper Tough Tap" har RJ45-anslutningar och "Flex Tough Taps" har fiberanslutningar. Jag skrev om IxTap i nyhetsbrev #18. Trafiken frĂ„n de tre tapparna samlas in av en paketaggregator, "Vision T1000" frĂ„n Keysight. Det hĂ€r Ă€r en ruggad aggregator som Ă€r tĂ€nkt att kunna sitta ute i en anlĂ€ggning eller ett stĂ€llverk. Den tar nĂ€tverkstrafik frĂ„n flera hĂ„ll, sammanstĂ€ller den och skickar sedan vidare till en eller flera analysburkar. Jag skrev om en beslĂ€ktad produkt, "Vision Edge 1S", i nyhetsbrev #21. "Guardian NSG-R 50" frĂ„n Nozomi Networks" analyserar trafik den fĂ„r till sig och sammanstĂ€ller en otrolig mĂ€ngd information utifrĂ„n den passivt insamlade trafiken. Den Ă€r utformad i grunden för att passa de speciella förutsĂ€ttningar som rĂ„der inom OT. Resultatet blir en makalös insyn i vad som finns pĂ„ nĂ€tet, hur de kommunicerar, vad som Ă€r normalt eller onormalt och vilka hot som behöver hanteras. TxOne EdgeIPS Pro trĂ€ffade du i förra nyhetsbrevet, dĂ€r du fick en glimt av detta muskedunder till nĂ€tverks-IPS för OT-miljöer som identifierar olika typer av angrepp pĂ„ nĂ€tet. I det hĂ€r exemplet kommer jag köra den som en IDS, dvs den kommer enbart larma nĂ€r den ser nĂ„got otrevligt. En nĂ€tverksdiod DD1G frĂ„n Advenica som kan vara lösningen pĂ„ ett klurigt problem nĂ€r man segmenterat sitt nĂ€tverk. Ofta vill man exempelvis anvĂ€nda gemensamma sĂ€kerhetslösningar för IT- och OT-vĂ€rlden, men hur vet man att den utrustning som skickar nĂ€tverkstrafik för analys Ă€r sĂ€ker och inte Ă€r en bakvĂ€g frĂ„n IT till OT? En möjlighet Ă€r att skicka den kopierade nĂ€tverkstrafiken via en diod för att vara sĂ€ker pĂ„ att nĂ€tverkspaketen verkligen bara kan ta sig Ă„t ena hĂ„llet. Superenkelt att fĂ„ till dessutom, saknar helt konfiguration. Gigabit-sladd in och gigabit-sladd ut, det Ă€r allt! Du kan lĂ€sa mer om dioder i nyhetsbrev #22. Ett första intryck Ă€r att alla delarna imponerar stort! Att kunna skapa testtrafik pĂ„ ett sĂ„ brutalt sĂ€tt som BreakingPoint gör Ă€r fantastiskt för alla former av nĂ€tverkstester. De olika tapparna sköter sig exemplariskt och levererar de kopior av trafiken som vi Ă€r ute efter. Aggregatorn Ă€r precis sĂ„ lĂ€ttjobbad som man vill att en sĂ„ viktig funktion Ă€r. TxOne EdgeIPS Pro vet vi sedan tidigare Ă€r ett monster i sin nisch. Nozomi Guardian vet jag sjĂ€lv sedan tidigare Ă€r en imponerande lösning men jag blir Ă€ndĂ„ fascinerad av hur mycket information den kan plocka ut bara genom att passivt "tjuvlyssna" pĂ„ nĂ€tverkstrafik! Dioden Ă€r i sin enkelhet en fantastisk lösning pĂ„ ett riktigt svĂ„rt problem! Framöver kommer jag titta vidare pĂ„ de hĂ€r olika delarna var för sig. Lyssna pĂ„ OT-trafiken! Vi kastar oss direkt över de helt nya prylarna frĂ„n Keysight! Det Ă€r tre typer av utrustningar, tvĂ„ Ă€r nĂ€tverkstappar och en Ă€r en aggregator. Jag har tidigare tittat pĂ„ en liten smidig tapp frĂ„n Keysight som inte var speciellt anpassad för OT-vĂ€rldens behov, lĂ€s mer i nyhetsbrev #17. I nyhetsbrev #21 tittade jag pĂ„ ett syskon till aggregatorn som inte heller var OT-stukad. I och med de hĂ€r nya produkterna har Keysight verkligen tagit ett tydligt kliv framĂ„t i OT-vĂ€rlden och det hĂ€r Ă€r riktigt coola prylar! Copper Tough Tap Ă€r en nĂ€tverkstapp med vanliga RJ45-anslutningar. Den kopplas in i linje pĂ„ en nĂ€tverksförbindelse som du vill ha insyn i dĂ€r den blir helt osynlig men skickar en exakt kopia av all trafik till en tredje och fjĂ€rde utgĂ„ng. SĂ„ lĂ„ngt Ă€r det inget konstigt, som tappar Ă€r mest. Men... Det hĂ€r Ă€r en ruggad enhet i extruderad aluminium som monteras pĂ„ DIN-skena. Den Ă€r flĂ€ktlös men som trots det fungerar frĂ„n -40 grader till +85 grader! Den har dubbel strömmatning men skulle den tappa ström kommer den Ă€ndĂ„ inte störa kommunikationen. Den genomsnittliga tiden för den att gĂ„r sönder (MTBF) Ă€r över 142 Ă„r! Behöver man mĂ„nga pĂ„ samma stĂ€lle har Keysight en lösning för att effektivt montera och fördela ut ström till dem alla. Eftersom den sjĂ€lv inte har nĂ„gon IP-adress gĂ„r den heller inte att angripa. Den har vad Keysight kallar "airgapped monitor ports", dvs att det inte finns nĂ„gon fysisk möjlighet att störa genom att mata in trafik "bakvĂ€gen". Kör du PoE, Power over Ethernet, sĂ„ skickas spĂ€nningen vidare utan problem. Riktigt cool och imponerande pryl! Bra jobbat Keysight! Flex Tough Taps Ă€r pĂ„ motsvarande sĂ€tt en nĂ€tverkstapp för fiberanslutning. Det första man kanske blir förvĂ„nad över Ă€r att det inte finns nĂ„gonstans att koppla in strömmen! Det hĂ€r Ă€r en helt passiv enhet som helt enkelt "stjĂ€l" lite av ljuset i fibern (30% för att vara exakt) för att skicka vidare som en kopia av trafiken. HĂ€r fĂ„r du fyra stycken tappar per burk men i övrigt har den samma imponerande spec som koppar-tappen! Den finns i tvĂ„ varianter beroende pĂ„ fibertyp, för OM1 och för OM5. Har man fiberanslutningar i sitt nĂ€tverk Ă€r det hĂ€r ett klockrent sĂ€tt att fĂ„ insyn i trafiken! Vision T1000 presenteras som en "Industrial Network Packet Aggregator". Men vaddĂ„ "Industrial", tĂ€nker du, den ser ju ut som vilken 19-tums nĂ€tverkspryl som helst? Men skenet bedrar! Den Ă€r flĂ€ktlös, fungerar frĂ„n -40 grader till +85, kan matas med 48V DC eller 240V AC, har relĂ€utgĂ„ng för att markera spĂ€nningsfel och tĂ„l vibrationer, stötar och fall enligt IEC 60068-2. Det gör inte andra nĂ€tverksprylar! Att det hĂ€r Ă€r en industriell pryl mĂ€rks om inte annat i att det gĂ„r att prata MODBUS med den. Det ger möjlighet att lĂ€sa av en vĂ€ldig massa intressant information. Nyttan med den hĂ€r prylen Ă€r att den samlar ihop trafik pĂ„ ett gĂ€ng (20st SFP och 6st RJ45) ingĂ„ngar som kommer frĂ„n tappar och SPAN-portar. All den hĂ€r trafiken kan man sedan filtrera för att slippa onödig belastning och sedan skicka ut till en eller flera mottagare som fĂ„r analysera trafiken. Det man vill uppnĂ„ Ă€r att skapa insyn i mĂ„nga olika nĂ€tverk och segment för att sedan enklare kunna lĂ„ta flera verktyg titta pĂ„ den trafiken. Du kan lĂ€sa mer om tĂ€nket i nyhetsbrev #21. Tillsammans blir de hĂ€r tre komponenterna en fantastisk kombo! Med hjĂ€lp av tapparna kan du enkelt fĂ„ kopior av trafik utan att störa nĂ€tverket Ă€ven om du inte har nĂ€tverksswitchar som erbjuder SPAN-portar. Aggregatorn gör att alla dessa kopior enkelt kan slĂ„s samman till en samlad bild och skickas pĂ„ analys. Är det enkelt att fĂ„ till dĂ„? Ja, det mĂ„ste man faktiskt sĂ€ga! Tapparna har ju i princip ingen konfiguration alls och aggregatorns webbinterface Ă€r riktigt lĂ€ttjobbat. I grunden handlar det om att definiera vilka av de 26 portarna som ska ta emot trafik och till vilka portar denna trafik ska skickas. Mappningen kan kompletteras med olika filterregler och regler för lastbalansering. Förvisso skulle man kunna önska sig vissa mer avancerade finesser som saknas, kanske framför allt deduplicering av nĂ€tverkspaket som fĂ„ngats upp flera gĂ„nger, men enkelheten Ă€r Ă„ andra sidan ocksĂ„ en stor vinst. Just deduplicering skapar man ju Ă€ndĂ„ oftast i en mer central funktion och dĂ„ vill man inte betala för den i onödan hĂ€r. Sammantaget Ă€r det hĂ€r en makalös kombination av prylar som löser ett svĂ„rt problem i mĂ„nga OT-nĂ€tverk. Den trafik man inte ser kan fortfarande stĂ€lla till elĂ€nde! Med en unik kombination av fysisk robusthet, genomtĂ€nkt konstruktion och smidig funktionalitet Ă€r lĂ€tt att fĂ„ den insyn i nĂ€tverket som Ă€r helt nödvĂ€ndig för bĂ„de sĂ€kerhetsverktyg och andra analysbehov. Ett stort beröm till Keysight för den hĂ€r raddan nya produkter som verkligen Ă€r en fulltrĂ€ff! Klurigt med Industri 4.0? Svaret Ă€r NOA! I förra nyhetsbrevet startade jag en serie texter om olika standarder och ramverk. Först ut var ISA 62443 som ju fĂ„r betraktas som en riktig kĂ€ndis jĂ€mfört med den hĂ€r omgĂ„ngens huvudperson, "NOA" eller "NAMUR Open Architecture". NAMUR Ă€r en gammal organisation som grundades 1949, som en samarbetsorganisation för tyska kemikaliefabrikanter. Sedan dess har den utvecklats pĂ„ mĂ„nga sĂ€tt, bĂ„de genom att numera adressera automation i största allmĂ€nhet och genom att bli helt internationell. (Även om ursprunget fortfarande Ă€r vĂ€ldigt tydligt...) NAMUR har en vĂ€ldig massa arbetsgrupper som publicerar rekommendationer inom sĂ„ skilda omrĂ„den som projektledning, ingenjörskonst, MES-system, sensorteknik, asset management, sĂ€kerhet och en massa annat. Men det som jag tittar pĂ„ nu, NOA, "NAMUR Open Architecture", Ă€r faktiskt inte i första hand tĂ€nkt att vara nĂ„got för sĂ€kerhetsfolket. NOA handlar i grunden om "Industri 4.0" (som ju ocksĂ„ var en tysk uppfinning frĂ„n 2011) och hur man pĂ„ ett bra (och indirekt dĂ€rmed sĂ€kert) sĂ€tt ansluter stora mĂ€ngder med informationsinsamling i nya och befintliga automationsmiljöer. Det Ă€r nu vi försöker fĂ„ OT och IoT att bli kompisar pĂ„ riktigt! Jag skulle spontant sĂ€ga att jag inte kan komma pĂ„ en enda av mina OT-kunder, oavsett bransch, som inte brottas med precis den hĂ€r frĂ„gan! Hur man ansluter en massa nya sensorer och hur man tankar ut en massa information ur styrsystem utan att riskera pĂ„litligheten, sĂ€kerheten och utan att skapa en enormt rörig systemmiljö. Dessutom drar man ju ofta pĂ„ sig omaket att man fĂ„r en massa kĂ€nslig information som man inte Ă€r riktigt van vid att hantera i dessa delar av organisationen. Klurigt! NOA Ă€r helt anpassad till ISA 62443 och Ă€r tĂ€nkt att fungera lika bra nĂ€r man utökar en existerande installation som nĂ€r man bygger helt nytt frĂ„n scratch. Hela idĂ©n illustreras riktigt bra av pyramidbilden hĂ€r ovanför. IstĂ€llet för att försöka lirka in en massa nytt i den existerande pyramiden, lĂ€gger man istĂ€llet pĂ„ ett lager pĂ„ sidan. NĂ€r man trĂ€nger in i detaljerna Ă€r det förstĂ„s inte riktigt fullt sĂ„ enkelt men grundtĂ€nket Ă€r helt i linje med en av mina egna gamla kĂ€pphĂ€star: "Blanda inte ihop grejor pĂ„ samma nĂ€tverk bara för att de rĂ„kar sitta i samma maskiner eller i samma fysiska process". Arbetet med NOA har sex styrande principer som ju onekligen lĂ„ter alldeles utmĂ€rkta: Man ska enbart lĂ€gga till lösningar - inte ersĂ€tta eller Ă€ndra. Perfekt för att kunna bygga vidare i existerande anlĂ€ggningar. Vara öppen för nytt tĂ€nk frĂ„n Industri 4.0. NOA fokuserar pĂ„ mĂ€tning och optimering snarare Ă€n processkontroll vilket ger en enkel vĂ€g mot Industri 4.0. Bygga pĂ„ enbart öppna standarder - enkel integration stöttar ju dessutom effektiv segmentering. Ska tillĂ„ta att snabbt förĂ€nderlig IT-teknik integreras Ă€nda nerifrĂ„n vĂ„r fysiska process och hela vĂ€gen upp till affĂ€rssystemet. Ja tack! RejĂ€lt minska kostnaden för information genom öppna, skalbara och integrerade lösningar. DĂ„ fĂ„r vi pengar över till sĂ€kerhetsarbetet! Inte pĂ„ nĂ„got vis pĂ„verka tillförlitlighet eller sĂ€kerhet i den fysiska processen! Naturligtvis helt avgörande för att vi ens ska vara intresserade! Som sĂ„ mycket annat i OT-sĂ€kerhetsvĂ€rlden Ă€r NOA fortfarande under arbete. Av fem dokument som Ă€r tĂ€nkta att tas fram Ă€r tvĂ„ klara. "NE 175 – NOA Concept" slĂ€pptes i höstas och "NE 177 – NOA Security Zones and NOA Security Gateway" dök upp för ett par veckor sedan. Vi har att se fram emot "NE 176 – NOA Information Model", "NE 178 – NOA Verification of Request", "NE 179 – NOA Aggregating Server". Som sagt, det hĂ€r Ă€r inte en sĂ€kerhetsstandard utan ett arkitektuellt tĂ€nk med högt fokus pĂ„ sĂ€kerhet. Precis som det ska vara! VĂ€ldigt fĂ„ saker hĂ€r i livet Ă€r gratis, inte heller NOA! Man kan köpa de separata dokumenten för 53 Euro styck eller prenumerera pĂ„ hela NAMURs dokumentbibliotek för 200 Euro per Ă„r. Jag kan direkt sĂ€ga att det Ă€r vĂ€l vĂ€rt pengarna att skaffa sig tillgĂ„ng till dem! Det Ă€r oerhört vĂ€lskrivna dokument, tydligt och exakt utan att bli lĂ„ngt i onödan. Kan det vara det noggranna tyska arvet? Dokumentet NE 175 som beskriver hela det grundlĂ€ggande konceptet Ă€r inte mer Ă€n pĂ„ 22 sidor! En viktig del kan ocksĂ„ vara att dessa dokument inte Ă€r tĂ€nkta att vara standarder utan enbart rekommendationer. I vilket fall som helst Ă€r de vĂ€ldigt tydligt skrivna! Jag mĂ„ste trycka pĂ„ att man verkligen lyckats med att hĂ„lla sig till de 6 principerna! Inte minst att man skiljer extremt tydligt pĂ„ kĂ€rnprocessen som inte ska pĂ„verkas och det nya som NOA tillför. Eftersom de olika delarna har helt olika uppgifter och dĂ€rmed kravbilder ska de hanteras pĂ„ helt olika sĂ€tt! Man Ă€r ocksĂ„ vĂ€ldigt verklighetsförankrad, till exempel har man redan frĂ„n början med faktumet att de flesta organisationer har mĂ„nga produktionssajter och dĂ€rmed separata OT-system, vilket ju sĂ„ klart mĂ„ste hanteras pĂ„ ett bra sĂ€tt! PĂ„ samma tema Ă€r man tydlig med att kĂ€rnan i de flesta OT-system bygger pĂ„ proprietĂ€ra lösningar och att vi ska akta oss för att försöka "jacka in oss" i dem! Även omvĂ€nt Ă€r det vĂ€ldigt viktigt att inte de nya delarna som vi tillför "av misstag" blir nödvĂ€ndiga för att kunna köra processen pĂ„ ett sĂ€kert och effektivt sĂ€tt. DĂ€rmed kan vi sĂ€tta helt olika krav, bĂ„de för sĂ€kerhet och annat, vilket förstĂ„s skapar nya möjligheter! "Jaha? Molnet nĂ€sta dĂ„?" hör jag att du undrar! Ja! Precis! I och med att NOA-tillĂ€ggen inte pĂ„ nĂ„got vis pĂ„verkar sĂ€kerheten i den fysiska processen öppnar vi sĂ€kerhetsmĂ€ssigt dörren till att enklare besluta om att inte nödvĂ€ndigtvis implementera allting i lokal teknik utan flytta det till nĂ„got slags molnfunktion. Men det kan förstĂ„s finnas andra skĂ€l till att en lokal edge-lösning passar bĂ€ttre! Rent tekniskt pekar NOA med hela handen pĂ„ OPC UA för kommunikation med existerande OT-system, vilket ska kombineras med en rekommenderad datamodell som kommer inom kort. Men tro inte att NOA-tillĂ€gg i en process enbart kan syssla med datainsamling och analys! NOA-modellen öppnar för att feedback och ordrar skickas till OT-systemet, som i sĂ„ fall mĂ„ste ha lĂ€mpliga skydd (manuella eller automatiska) för att granska den input som tas emot sĂ„ att den Ă€r relevant. DĂ€r pĂ„verkan ska vara helt omöjlig pekar NOA pĂ„ en "diod-lösning" som man inte beskriver tekniskt men dĂ€r kraven pĂ„ den Ă€r specade i "NE 177". Man kan tĂ€nka sig flera olika sĂ€tt att lösa det praktiskt beroende pĂ„ vilka krav pĂ„ man har i den aktuella situationen. Den som sysslar med Industri 4.0 eller arkitektur i allmĂ€nhet kan ha kommit kontakt med "RAMI 4.0" (The Reference Architectural Model Industrie 4.0), med den karakteristiska 3-dimensionella modellen. Den kommer frĂ„n en annan tysk organisation "Zvei", dĂ€r frĂ€mst tillverkande industrier inom el- och elektronik Ă€r med. GlĂ€djande Ă€r att Zvei och NAMUR nu samarbetar kring NOA vilket förstĂ„s ger resultatet Ă€nnu bĂ€ttre möjligheter att "slĂ„ igenom"! Vi fĂ„r bara hoppas att det inte sinkar arbetet med de sista delarna... SĂ„ hĂ€r lĂ„ngt har jag egentligen bara berört de allmĂ€nna delarna som beskrivs i "NE 175 – NOA Concept" hĂ€r i den hĂ€r texten. Jag tĂ€nker Ă„terkomma med en djupdykning i lite mer detaljer frĂ„n "NE 177 – NOA Security Zones and NOA Security Gateway" i ett kommande nyhetsbrev. Och nĂ€r de tre Ă„terstĂ„ende delarna dyker upp sĂ„ tar vi förstĂ„s oss en titt pĂ„ dem. Jag mĂ„ste sĂ€ga att jag Ă€r vĂ€ldigt positiv till NOA, bĂ„de för det nonsensfria sĂ€tt som den Ă€r skriven pĂ„ och för den rĂ€ttframma lösningen pĂ„ ett klurigt problem! Det blir intressant att se hur snabbt det hĂ€r tĂ€nket kommer anammas. Det har den dĂ€r hĂ€rliga kĂ€nslan av att vara sjĂ€lvklart, sĂ„ dĂ€r att det nĂ€stan kĂ€nns onödigt att ha dokument som beskriver det. Klassiskt tecken pĂ„ en riktigt bra idĂ©! Om nĂ„gon av mina lĂ€sare har egna erfarenheter sĂ„ utbyter jag gĂ€rna lite sĂ„dana! LĂ€stips! Ett litet provocerande blogginlĂ€gg som jag sjĂ€lv skrev för att jĂ€mföra ISA 62443 och ISO 27000. Handlar framför allt om vikten av att vĂ€lja ett verktyg som passar bra till det som du tĂ€nker göra. https://www.atea.se/it-specialisten/sakerhet/isa-62443-battre-an-iso-27000/ För den som vill lĂ€sa fler av mina alster sĂ„ finns nĂ„gra artiklar med koppling till OT-sĂ€kerhet pĂ„ Ateas officiella blogg: Det nya NIS-direktivet, "NIS2": https://www.atea.se/it-specialisten/sakerhet/ett-helt-nytt-nis-direktiv-ar-pa-vag/ Vad Ă€r OT-sĂ€kerhet?: https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ I veckan fick vi det trĂ„kiga beskedet att Ă„rets CS3STHLM stĂ€lls in. Jag vet att de försökte in i det sista att fĂ„ till en fysisk trĂ€ff i Ă„r men pandemin har tyvĂ€rr skördat ytterligare ett offer i och med att vĂ„r favoritkonferens stĂ€lls in. Det lĂ„ter lyckligtvis som att de kommer satsa pĂ„ en revansch 2022. Om du inte redan gjort det kan du stötta dem genom att köpa tillgĂ„ng till alla spĂ€nnande presentationer frĂ„n förra Ă„ret: https://vod.cs3sthlm.com/product/cs3sthlm-2020-video-on-demand/ En avhandling frĂ„n tyska Saarbrucken Graduate School of Computer Science, Saarland University som tittat pĂ„ praktiska utmaningar och sĂ€kerhetsmĂ€ssiga snubbeltrĂ„dar i OPC UA. https://arxiv.org/pdf/2104.06051.pdf Goda rĂ„d frĂ„n Center of Internet Security (CIS, mest kĂ€nda för CIS Controls) kring hur man gör RDP lite sĂ€krare. RDP Ă€r ju (tyvĂ€rr) ett vanligt sĂ€tt att ta sig mellan olika system och nĂ€tverkszoner. I de fall man inte vill eller kan göra nĂ„got lite bĂ€ttre kan man ju i alla fall försöka fĂ„ till sĂ€kerheten sĂ„ bra det gĂ„r. https://www.cisecurity.org/blog/commonly-exploited-protocols-remote-desktop-protocol-rdp/ Sarah Fluchs skriver om sĂ€kerhet i tvĂ„ perspektiv, "Security" och "Safety" för att ge oss lite nya perspektiv pĂ„ hur de hĂ€nger ihop. Möjligheter och utmaningar för dem som dra nytta av de gemensamma aspekter som dessa omrĂ„den har. https://fluchsfriction.medium.com/coupling-security-and-safety-engineering-2e08ef2148ba CISA har slĂ€ppt tolkar för OT-protokoll att anvĂ€nda i Zeek (tidigare "Bro"), en vĂ€lkĂ€nd open-source IDS. De har lagt till stöd för BACnet, BSAP, Ethercat, Ethernet/IP och CIP. Dessutom har de utökat logg-funktionaliteten för DNP3 och Modbus. https://github.com/cisagov/icsnpp Det hĂ€r nyhetsbrevet skickas till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© pĂ„ Atea Sverige och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se .

  • Nyhetsbrev OT-SĂ€kerhet #26 - Tungviktare och dödliga kedjor

    HĂ€r kommer ett nytt nyhetsbrev fyllt till bredden med personligt utvalda godbitar frĂ„n OT-sĂ€kerhetsvĂ€rlden. Du fĂ„r ett nytt boktips, en premiĂ€rvisning (i Norden) av en riktig OT-tungviktare, spretiga tankar kring standarden 62443, ett ramverk kring insiderbrott och en massa annat spĂ€nnande! Om det Ă€r första gĂ„ngen du lĂ€ser ett av mina nyhetsbrev kanske du undrar vad det dĂ€r "OT" Ă€r som jag pratar om? OT stĂ„r för Operational Technology vilket Ă€r ett syskon till IT, Information Technology. Med IT anvĂ€nder man teknik för att hantera information. Inom OT anvĂ€nder man liknande teknik men för "Operations", alltsĂ„ att fĂ„ fysiska saker under kontroll. Det kan exempelvis vara att styra maskiner i en fabrik, elproduktionen i ett kraftverk eller kemiska processer i ett raffinaderi. Inom IT Ă€r fokus ofta pĂ„ att skydda hemligheter men inom OT blir det oftast viktigast att hĂ„lla en funktion tillgĂ€nglig och korrekt. Det innebĂ€r att sĂ€kerhetsarbetet kommer se vĂ€ldigt annorlunda ut, vilket Ă€r anledningen till mina texter. Jag skrev nyligen ett inlĂ€gg pĂ„ Atea-bloggen som förklarar mer. Jag vill ge er ett stort tack för alla trevliga mejl jag fĂ„r med frĂ„gor, förslag och uppmuntrande ord. Som vanligt vill jag gĂ€rna att du delar med dig av nyhetsbrevet till kollegor som kan vara intresserade! Ju fler som lĂ€ser, desto bĂ€ttre möjligheter fĂ„r jag att producera bra innehĂ„ll framöver! Om du vill ha nyhetsbrevet i inkorgen i fortsĂ€ttningen Ă€r det bara att dra ett mejl till mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar alla tidigare utgĂ„vor av nyhetsbrevet pĂ„ www.ot-sĂ€kerhet.se. NĂ€r det kommer nytt material sĂ„ annonserar jag det pĂ„ en massa stĂ€llen: min Linkedin-profil, i en egen LinkedIn grupp, i Facebook-gruppen SĂ€kerhetsbubblan, pĂ„ Twitter och pĂ„ en egen Facebook-sida. Du kan ocksĂ„ prenumerera via RSS pĂ„ www.ot-sĂ€kerhet.se. Framöver kommer ocksĂ„ en kopia publiceras pĂ„ Ateas officiella blogg tillsammans med en del annat som jag skriver dĂ€r. Ge mig gĂ€rna mothugg, frĂ„gor eller förslag pĂ„ LinkedIn dĂ€r den hĂ€r utgĂ„van delades. TĂ€nk pĂ„ att du kan hjĂ€lpa mig, mer Ă€n du kanske tror, genom att trycka "like" pĂ„ artikeln och genom att dela den vidare. Tack för hjĂ€lpen! Konsekvensdrivet sĂ€kerhetsarbete - Ett boktips (till...) Om du lĂ€ste om boken "Security PHA Review for Consequence-Based Cybersecurity" i förra nyhetsbrevet sĂ„ kanske du undrar om det hĂ€r Ă€r en repris? Men det Ă€r det faktiskt inte! Det mĂ€rks om inte annat pĂ„ att den hĂ€r boken Ă€r nĂ€stan tre gĂ„nger sĂ„ tjock. Men det Ă€r verkligen inte bara barlast som fyller boken, det Ă€r vĂ€ldigt mycket matnyttigt! Det som presenteras Ă€r en metod som kallas CCE, "Consequence-driven, Cyber-informed Engineering", slarvigt översatt sĂ„ handlar det om hur man arbetar ingenjörsmĂ€ssigt med att hantera konsekvenserna av olika typer av hĂ€ndelser med blicken stadigt fĂ€st pĂ„ de utmaningar som modern teknik tillfört. Historiskt sĂ„ Ă€r det ju precis dĂ€r vi kört vilse nĂ€r vi skulle ta oss frĂ„n tiden nĂ€r det framför allt handlade om att hantera att OT-komponenter slumpmĂ€ssigt gick sönder till att kunna hantera medvetna och avancerade sabotage utförda av kunniga mĂ€nniskor med insyn i utformningen av de system som angrips. Redan i titeln förstĂ„r vi ocksĂ„ att den handlar om "Engineering" och inte "Security", det Ă€r viktigt att komma ihĂ„g skillnaden! Författarna, Andrew A. Bochman och Sarah Freeman, arbetar pĂ„ INL. "Idaho National Lab" Ă€r en intressant amerikansk institution som inte riktigt Ă€r vad vi Ă€r vana vid nĂ€r vi pratar om "Lab". Vi brukar tĂ€nka pĂ„ vetenskaplig forskning nĂ€r vi pratar om "Lab" men INL sysslar inte med den typen forskning utan försöker lösa lite mer ingenjörsmĂ€ssiga problem i samtiden eller den nĂ€rmaste framtiden. De sysslar med allt frĂ„n att pressa kĂ€rnreaktorer till alla tĂ€nkbara grĂ€nser, via att kalibrera enorma kanoner för flottans slagskepp, till att testa EMP-attacker. De gör vĂ€ldigt mycket kopplat till OT-sĂ€kerhet, i synnerhet nĂ€r det gĂ€ller elnĂ€tet. De Ă€r kanske mest kĂ€nda för "Aurora", en demonstration dĂ€r de visade dĂ€r de kunde förstöra en elektrisk generator fysiskt med hjĂ€lp en liten snutt programkod. De gĂ„r ut stenhĂ„rt och mĂ„lar upp en becksvart bild av vĂ„ra möjligheter att försvara vĂ„ra verksamheter mot den stĂ€ndigt ökande strömmen av attacker högt och lĂ„gt. En av mina egna favoritliknelser dyker upp, den av kĂ€nslan av att stĂ„ pĂ„ ett löpband och springa allt man kan men utan att man kommer framĂ„t en enda millimeter. Drar man av pĂ„ tempot det minsta sĂ„ Ă„ker man obönhörligt bakĂ„t... Det hĂ€r sĂ€ttet att tĂ€nka leder naturligt fram till en del andra populĂ€ra tankesĂ€tt, exempelvis att ingen absolut sĂ€kerhet nĂ„gonsin kommer existera (vilket vi bara kan försöka lösa genom att bygga vĂ„ra skydd i mĂ„nga lager och med ganska stort fokus pĂ„ att kunna upptĂ€cka och hantera de angrepp som oundvikligen kommer) eller "Assume breach" dvs att vi alltid ska förutsĂ€tta att vi Ă€r hackade, faktiskt redan innan vi gĂ„tt i drift. Den största delen av INLs finansiering kommer frĂ„n den nukleĂ€ra delen av amerikanska Department of Energy. Startskottet för CCE kom 2017 i och med ett forskningsuppdrag för att genomlysa OT-sĂ€kerhetsutmaningarna för organisationer som kör kĂ€rnkraftverk. KĂ€rnkraftsbranschen, dĂ€r jag sjĂ€lv fick min praktiska sĂ€kerhetsskolning, Ă€r förmodligen den bransch som förflyttat sig lĂ€ngst nĂ€r det gĂ€ller OT-sĂ€kerhet. Man har ju gĂ„tt mer eller mindre helt elektromekaniska styrsystem till mycket sofistikerade kontrollsystem baserat pĂ„ modern teknik och lĂ€ngs vĂ€gen skapat ett sĂ€tt att arbeta mĂ„linriktat med alla möjliga former av sĂ€kerhet för att möta de vitt skilda utmaningarna som uppstĂ„r kring alla de verksamheter och system som krĂ€vs för att köra ett kĂ€rnkraftverk pĂ„ ett effektivt och hypersĂ€kert sĂ€tt. NĂ„got som intresserade mig Ă€r att de refererar till ett vĂ€ldigt centralt dokument i all vĂ€rldens kĂ€rnkraftsverksamheter, IAEA NSS 13: "Nuclear Security Recommendations on Physical Protection of Nuclear Material and Nuclear Facilities". Den definierar bland annat kravet pĂ„ att arbeta med en DBT, "Design Basis Threat" - pĂ„ svenska "Dimensionerande Hotbeskrivning". (AlltsĂ„ vilka hot organisationens system ska dimensioneras för att "tĂ„la".) Tidigare saknades OT-faktorer helt i det hĂ€r dokumentet men det Ă€r nu sĂ„ klart vĂ€ldigt centralt i skyddet av dessa anlĂ€ggningar. Den som Ă€r road kan mycket vĂ€l lĂ€sa detta dokument Ă€ven om man inte Ă€r i kĂ€rnkraftsbranschen, exempelvis Ă€r IAEAs resonemang kring begreppet "Graded approach" intressant för alla, alltsĂ„ att man alltid ska anpassa skyddet, bĂ„de uppĂ„t och nedĂ„t, baserat pĂ„ hotnivĂ„n och konsekvenserna kopplade till det man skyddar. Om du lĂ€st mina nyhetsbrev ett tag sĂ„ vet du att en DBT Ă€r nĂ„got jag tycker Ă€r viktigt för alla organisationer, oavsett bransch, om inte annat sĂ„ för att sĂ€kerstĂ€lla att organisationen Ă€r överens med sig sjĂ€lv om hur hoten ser ut. Det gör att man slipper mĂ„nga onödiga diskussioner! NĂ„... Nog med sidospĂ„r... Tillbaka till CCE! Om man frĂ„gar sig sjĂ€lv Ă€r "vad kan hĂ€nda om nĂ„gon riktigt elak med full kunskap om vĂ„r anlĂ€ggning, om vĂ„ra system och om vĂ„ra rutiner fĂ„r full tillgĂ„ng och kontroll över alla vĂ„ra system? De har dessutom alla resurser och all tid de behöver..." NĂ€r rysningarna lĂ€ngs ryggraden lagt sig lite börjar man leta efter svar och det Ă€r dĂ„ som CCE blir som mest anvĂ€ndbar. ...och kom ihĂ„g: svaren vi ska hitta Ă€r alltsĂ„ inte hur vi ska undvika att det hĂ€nder utan hur vi ser till att konsekvenserna inte blir en katastrof! Deras budskap till alla som ansvarar för samhĂ€llskritisk infrastruktur Ă€r benhĂ„rt: Om din verksamhet Ă€r det minsta intressant för andra nationer sĂ„ kommer du angripas av statsfinansierade angripare. Garanterat! Om du attackeras av dem sĂ„ kommer de att lyckas. Garanterat! Det betyder att de förmodligen redan rör sig i dina system. Garanterat! NĂ€stan... Din egen stat har inga möjligheter att skydda dig Ă„t dig. Garanterat! Det Ă€r under de hĂ€r bistra förutsĂ€ttningarna som de mĂ„lar upp CCE. Och dĂ„ var vi tillbaka vid "Assume breach", som Ă€r den svĂ„raste delen att ta till sig för de som medverkar i en sĂ„dan hĂ€r övning. AlltsĂ„ att helt ge upp tanken pĂ„ att hĂ„lla angripare ute (eftersom de redan Ă€r inne med full access) och istĂ€llet helt fokusera pĂ„ att ta ifrĂ„n angriparen möjligheten att göra allvarlig skada. Det Ă€r ju ocksĂ„ dĂ€rför denna typ av Ă„tgĂ€rder inte gĂ„r att göra med enbart "omskolat IT-sĂ€kerhetsfolk". Det mĂ„ste vara mĂ„nga andra kategorier med, inte minst processingenjörer, eftersom de flesta Ă„tgĂ€rder sannolikt kommer göras med hjĂ€lp av förĂ€ndringar i processen och i sĂ€ttet vi anvĂ€nder vĂ„ra leverantörer! CCE pĂ„minner mycket om SPR som jag skrev om i förra nyhetsbrevet i det att man flyttar fokus för sin analys till att förstĂ„ konsekvenser. I SPR överger man den gamla trötta riskanalysformeln "Risk = Sannolikhet * Konsekvens" som ju fungerar vĂ€ldigt dĂ„ligt för att bedöma mĂ€nskliga motstĂ„ndare eftersom det inte Ă€r slumpmĂ€ssiga hĂ€ndelser. I CCE Ă€r det istĂ€llet det klassiska ingenjörstĂ€nket "Risk = Hot * SĂ„rbarhet * Konsekvens" som dissas. I traditionellt sĂ€kerhetsarbete, oavsett vilket omrĂ„de det handlar om, har vi nĂ€stan alltid tittat pĂ„ faktorn "SĂ„rbarhet" eftersom den upplevs enklast att pĂ„verka. Vi lever i en tid dĂ€r vi nĂ€stan blivit lite avtrubbade av alla enorma sĂ„rbarheter som identifieras i system efter system, ena dagen Solarwinds Orion och nĂ€sta Microsoft Exchange. Det Ă€r hĂ€r CCE pekar pĂ„ att vi oundvikligen kommer drabbas av problem och dĂ€rför mĂ„ste lĂ€gga vĂ„rt krut pĂ„ att se till att konsekvenserna blir hanterbara! För oss som sysslar med OT-sĂ€kerhet finns det en annan vinkel pĂ„ samma resonemang som passar oss bra. Vi vet att vi under lĂ„ng tid framöver kommer fortsĂ€tta ha svĂ„rt att hĂ€nga med IT-vĂ€rlden i deras patchningstempo. Det Ă€r förstĂ„s ocksĂ„ ett skĂ€l till att vi inte kan jobba med faktorn "SĂ„rbarhet" som en vĂ€g att minska vĂ„ra risker. Faktorn "Hot" kommer vi aldrig Ă„t, sĂ„ dĂ„ Ă„terstĂ„r "Konsekvens" som möjlig att jobba med! Men om man ska peka pĂ„ skillnaderna mellan SPR och CCE sĂ„ blir det ganska snart tydligt att det finns en anledning till att CCE-boken Ă€r betydligt tjockare, det var inte bara författarnas utsvĂ€vningar. DĂ€r SPR Ă€r mer av ett allmĂ€nt tĂ€nk sĂ„ Ă€r CCE verkligen en tydligt beskriven metod. Författarna sĂ€ger sjĂ€lva att man "lĂ„nat" bitar frĂ„n en massa vĂ€letablerade metoder och listar bland annat Process Hazard Analysis (PHA), ICS Cyber Kill Chain, Design Basis Threat (DBT) och Crown Jewels Analysis (CJA). Det första man gör i metoden Ă€r att identifiera vilka saker som skulle vara det absolut vĂ€rsta som skulle kunna hĂ€nda. FrĂ„gor i stil med "Vad fĂ„r oss att gĂ„ i konkurs?", "Vad skulle sĂ€tta vĂ„r anlĂ€ggning helt ur spel?" och "Vad skulle döda vĂ„ra medarbetare?" stĂ€lls och besvaras pĂ„ fullt allvar. Tanken Ă€r att till en början helt strunta i om det finns teknikbaserade (oavsett om det Ă€r IT eller OT) angreppssĂ€tt. Vi vill hitta de funktioner i verksamheten som vi stĂ„r och faller med. Deras grundpoĂ€ng Ă€r att de flesta verksamheter inte bottnat i den typen av resonemang och att motstĂ„nd i stil med "Det kan ju inte hĂ€nda!" nĂ€stan alltid faller platt till marken nĂ€r man rotar lite djupare. Det hĂ€r gĂ€ller Ă€ven verksamheter som Ă€r duktiga pĂ„ att förbereda sig pĂ„ naturkatastrofer och andra slumpmĂ€ssiga hĂ€ndelser eftersom de oftast tenderar att vara sĂ€mre pĂ„ att genomskĂ„da mĂ€nskliga angrepp, och i synnerhet dĂ„ IT- och OT-baserade sĂ„dana. I steg tvĂ„, nĂ€r man har hittat sina vĂ€rsta katastrofer, börjar man arbetet med att förstĂ„ alla sĂ€tt som de kan uppstĂ„. AlltsĂ„ lite bakvĂ€nt mot mĂ„nga andra metoder som tittar pĂ„ konsekvenser kopplat till ett visst system. Det hĂ€r Ă€r ett brutalt arbete dĂ€r man analyserar "system av system" ner pĂ„ skruv- och mutter-nivĂ„ och verifierar dokumentation mot verkligheten för att sĂ€kerstĂ€lla att man har full förstĂ„else för de utmaningar vi verkligen stĂ„r inför. Det var hĂ€r jag insĂ„g vilken sanslöst dyr metod det hĂ€r Ă€r för stora verksamheter, men Ă„ andra sidan Ă€r det rimligt att en analys av komplexa system blir ett komplext arbete! I det tredje steget anvĂ€nder vi en variant pĂ„ "ICS Cyber Kill Chain" för att definiera en vĂ€g till de vĂ€rsting-resultat som vi identifierade i steg 1 med hjĂ€lp av de insikter vi skapat i steg 2. Det görs genom att analysera var i verksamhetens processer vi sĂ€tter tillit till saker som vi inte har bekrĂ€ftat att vi kan lita pĂ„. AlltsĂ„ samma tĂ€nk som ligger bakom "Zero trust" fast istĂ€llet anvĂ€nt av en tĂ€nkt angripare. HĂ€r anvĂ€nds alla tĂ€nkbara attackvĂ€gar - klassisk hacking, angrepp mot supply chain och att utnyttja mĂ€nskliga mĂ„l. Den fjĂ€rde, och sista, delen i arbetet fokuserar pĂ„ att ta de attackvĂ€gar som skapades i steg 3 och identifiera motmedel mot dem. Grundtanken Ă€r att alltid anvĂ€nda "icke-hackbara" Ă„tgĂ€rder dĂ€r det Ă€r möjligt och olika former av övervakning eller fĂ€llor dĂ€r de digitala systemen inte gĂ„r att komplettera med fysiska Ă„tgĂ€rder. För att anvĂ€nda begreppen frĂ„n NIST CSF sĂ„ föredrar man "Protect", följt av "Detect" & "Respond" med "Recover" som sista alternativ. Om du inte redan insett det, sĂ„ Ă€r det om CCE försöker hantera de problem som orsakas av OT-tekniken i vĂ„ra processer men utan att stirra sig blind pĂ„ att lösningen mĂ„ste innehĂ„lla OT eller ens digital teknik! Det innebĂ€r ocksĂ„ att CCE inte Ă€r svaret pĂ„ alla vĂ„ra risker. Det man ska komma ihĂ„g Ă€r att det Ă€r inte Ă€r sjĂ€lvklart att man löst alla mindre allvarliga hot bara för att man hanterat de vĂ€rsta. CCE Ă€r inte svaret pĂ„ alla frĂ„gor men det Ă€r svaret pĂ„ ett antal frĂ„gor som mĂ„nga organisationer inte orkat stĂ€lla. CCE mĂ„ vara en tung metodik att ta frĂ„n A till Ö men för verksamheter som hanterar extrema risker, för sig sjĂ€lva och för samhĂ€llet, Ă€r det ett arbete som mĂ„ste göras. SPR som jag skrev om i förra nyhetsbrevet Ă€r en enklare metod som siktar delvis pĂ„ samma risker men som inte Ă€r lika deterministisk. Beroende pĂ„ verksamhetens utmaningar fĂ„r man vĂ€lja sin egen vĂ€g framĂ„t. Om nĂ„gon av mina lĂ€sare har erfarenheter frĂ„n den hĂ€r typen av arbete skulle det vara vĂ€ldigt intressant att utbyta erfarenheter. Som bok kan jag bara rekommendera den starkt. Förutom att förklara metoden vĂ€ldigt tydligt finns det en massa annat intressant som ocksĂ„ diskuteras. Om du vill höra författarna sjĂ€lva diskutera CCE-metoden har Andrew Ginter har intervjuat dem, var för sig, i tvĂ„ avsnitt av podcasten "The Industrial Security Podcast". Sarah Freeman i ett avsnitt för nĂ„gra veckor sedan och Andy Bochman i ett annat avsnitt som sĂ€ndes innan boken givits ut. Tungt skydd för OT! Jag har tidigare skrivit om de smidiga brandvĂ€ggarna och IPSerna frĂ„n TxOne, senast i min artikel om virtuell patchning i nyhetsbrev #23. De kombinerar ett litet fysiskt format med ett stort skydd pĂ„ ett sĂ€tt som gör det vĂ€ldigt smidigt och elegant att bygga in skydd i maskiner och ute i anlĂ€ggningar. Och de Ă€r ruggade pĂ„ ett sĂ€tt som inger förtroende i sĂ„dana miljöer! Den lilla "EdgeIPS" som Ă€r "osynlig" pĂ„ nĂ€tverket gör det verkligen enkelt att lĂ€gga till ett starkt skydd utan att alls pĂ„verka den existerande uppsĂ€ttningen. Den smidiga "EdgeFire" ger möjlighet att enkelt hantera de adresskonflikter som ofta uppstĂ„r nĂ€r man börjar ansluta nĂ€tverk som tidigare varit isolerade. BĂ„da tvĂ„ har en direkt koppling till systerorganisationen ZDI, Zero Day Initiative, som föder den virtuella patchningsfunktionen med zero-days. Men! Om man inte vill, eller kan, bygga in skyddet ute i sin anlĂ€ggning sĂ„ blir det ju lite fĂ„nigt att sĂ€tta en massa ruggade burkar i sin datorhall eller i nĂ€tverksrummet! Det vore ju smidigt att fĂ„ samma skydd men förpackat i ett lite mer rack-vĂ€nligt format? In pĂ„ scenen kommer dĂ„ "TxOne EdgeIPS Pro"! Det Ă€r 16kg tung fullblods-IPS, helt inriktad pĂ„ OT men anpassad för att placeras datacentermiljöer. Det finns faktiskt en storebror ocksĂ„, en modell som Ă€r dubbelt sĂ„ stor. Jag har fĂ„tt möjligheten att klĂ€mma pĂ„ den första enheten som kommit till Norden i mitt lilla OT-labb. Det Ă€r verkligen en rejĂ€l pjĂ€s. Förutom den stadiga vikten Ă€r den 80cm djup vilket krĂ€ver ett stadigt rack för att kunna monteras. Man skulle kunna tro att det TxOne gjort Ă€r bara att kombinera 24 stycken EdgeIPS i en racklĂ„da men det Ă€r faktiskt lite mer Ă€n sĂ„. Den har en del riktigt intressanta funktioner som man inte hittar i den betydligt mindre EdgeIPS. Tanken Ă€r att man sĂ€tter den mellan en access-switch och utrustningarna i verksamheten. NĂ€tverksportarna sitter i par dĂ€r den ena porten ansluts till switchen och den andra till den fysiska utrustningen. Eftersom den nĂ€tverksmĂ€ssigt Ă€r helt osynlig kan införandet göras helt odramatiskt nĂ€r man har möjlighet att koppla om de fysiska anslutningarna. ApropĂ„ drama och de fysiska anslutningarna sĂ„ Ă€r det hĂ€r vi hittar den första skillnaden mot den lilla EdgeIPS. De har bĂ„da tvĂ„ relĂ€-baserade bypass-kopplingar för att inte nĂ€tverksanslutningarna ska brytas vid ett haveri eller strömförlust. Men i Pro-versionen kan vi vĂ€lja hur relĂ€t ska agera. "Fail Open" eller "Fail Close" avgörs förstĂ„s av om du föredrar att köra processen utan skydd eller om du hellre bryter nĂ€tverkskopplingen vid ett fel. Eftersom det hĂ€r förstĂ„s varierar mellan olika utrustningar gĂ„r detta att stĂ€lla in per port! Dessutom finns en tredje instĂ€llning, "Force Open", som fysiskt kopplar förbi trafiken helt vilket kan vara praktiskt vid felsökning. Snyggt! En efterlĂ€ngtad finess som bara finns i Pro-versionerna Ă€r "Packet Capture". Det handlar helt enkelt om att du kan fĂ„ en inspelning av nĂ€tverkstrafiken som triggat en IPS-regel. Det hĂ€r Ă€r förstĂ„s helt ovĂ€rderligt vid incidentanalys om man saknar generell inspelning av sin nĂ€tverkstrafik. Den inspelade nĂ€tverkstrafiken laddar man sedan ner i administrationsgrĂ€nssnittet och öppnar med WireShark eller nĂ„got annat analysverktyg. Konfigurationen av brandvĂ€ggsregler och IPS-skydd Ă€r intuitiv och snygg precis som tidigare. Men Ă€ven hĂ€r tillför Pro-versionen lite extra. HĂ€r finns möjligheter att kombinera klassiska brandvĂ€ggsregler med filtrering baserat pĂ„ OT-protokoll, IPS-regler och överföring av filer via olika protokoll. MĂ„nga OT-verksamheter kan exempelvis ha enorm nytta av att kunna styra och reglera trafik som skickas över SMB version 1. Annars kĂ€nner man igen det smidiga administrationsgrĂ€nssnittet frĂ„n de tidigare modellerna. Administrationskonsolen levereras som en fĂ€rdig virtuell appliance som krĂ€ver ett minimum av instĂ€llningar för att komma igĂ„ng. GrĂ€nssnittet Ă€r enkelt och tydligt. Man skapar konfigurationsgrupper vilket gör det enkelt att snabbt fĂ„ till en vĂ€l standardiserad uppsĂ€ttning Ă€ven om man har mĂ„nga enheter. Genom att flytta enheter mellan konfigurationsgrupper kan man pĂ„ ett vĂ€ldigt smidigt sĂ€tt byta en hel konfiguration, sjĂ€lvklart utan att trafiken eller skyddet pĂ„verkas under bytet! Summa summarum Ă€r det hĂ€r en fantastisk maskin som, trots sitt datorhallsanpassade yttre, levererar OT-sĂ€kerhetsfunktioner som Ă€r extremt vĂ€l anpassade till operativa verksamheter. Jag lovade i förra nyhetsbrevet att utsĂ€tta det lilla underverket för en del extrema prestandatester vilket jag tĂ€nker be att fĂ„ Ă„terkomma till! Funktionellt Ă€r det hĂ€r unika produkter för den som vill skydda sin OT-miljö och tack vare kopplingen till Zero Day Initiative blir skyddet dessutom riktigt vasst Ă€ven nĂ€r det gĂ€ller zero-days! Standarder och sĂ„nt... Jag tĂ€nkte dra igĂ„ng en liten serie korta texter om olika standarder och ramverk med nĂ„got slags anknytning till OT framöver. Först ut blir förstĂ„s min stĂ€ndiga favorit ISA/IEC 62443 men sedan tĂ€nkte jag lĂ„ta dig lĂ€sare tycka till om vad som ska tas upp. Kanske blir det NIST CSF, NERC CIP, ICS Cyber Kill Chain, ISA 95, NAMUR eller nĂ„gon annan spĂ€nnande variant. Hör av dig om du har önskemĂ„l! Mats.Karlsson-Landre@atea.se Men jag börjar förstĂ„s med ISA/IEC 62443. Men varför dĂ„? - blir ju den uppenbara motfrĂ„gan. Vad Ă€r det som gör den standarden sĂ„ speciell förutom att det Ă€r min egen favorit? Det kanske viktigaste skĂ€let Ă€r att den skapades uteslutande för att hantera de speciella förutsĂ€ttningar som ofta gĂ€ller inom OT. FörutsĂ€ttningar som gör att man inte oftast kan resonera kring risker och kring sĂ€kerhetsĂ„tgĂ€rder pĂ„ samma sĂ€tt som man gör inom informationssĂ€kerhet. De hĂ€r skillnaderna har jag skrivit om flera gĂ„nger förut, exempelvis kan du lĂ€sa mer i nyhetsbreven #25, #24 och #23. Arbetet började 2002 nĂ€r en grupp kallad ISA99 inom International Society of Automation började ta fram standarden som först publicerades via ANSI och senare via IEC. Det Ă€r ett pĂ„gĂ„ende arbete med flera olika delar, sĂ„ det finns bĂ„de hĂ„l i listan över dokument och en del motsĂ€gelser mellan dokument som Ă€r olika gamla. Standarden har fyra delar, Ă€ven om de flesta bara kommer i kontakt med del 1, 2 och 3. Del 1 beskriver definitioner och en del allmĂ€nna koncept pĂ„ dryga 90 sidor. Den viktigaste biten i del 2 Ă€r 170 sidor som handlar om hur man sĂ€tter upp ett sĂ€kerhetsprogram i en OT-verksamhet för att sĂ€kerstĂ€lla att man har koll pĂ„ sina sĂ€kerhetsĂ„tgĂ€rder. Del 2 lĂ„nar CMMIs mognadsmodell för att ge lite mĂ€tbarhet pĂ„ sĂ€kerhetsarbetet. I del 2 finns ocksĂ„ tvĂ„ tekniska rapporter, en om patchningsrutiner och en som beskriver krav pĂ„ tjĂ€nsteleverantörer inom OT. Del 3 Ă€r förmodligen den mest vĂ€lkĂ€nda. DĂ€r spenderas drygt 120 sidor för att definieras konceptet "SL" - "Security Level" dĂ€r sĂ€kerhetsĂ„tgĂ€rder graderas frĂ„n 0 till 4 baserat pĂ„ ett 50-tal Ă„tgĂ€rder med undervarianter. PĂ„ sĂ€tt och vis kan man jĂ€mföra det med ISO-27002 inom 27000-serien. Utöver Ă„tgĂ€rderna beskrivs ocksĂ„ en metod för att bedöma risker och i vilken sĂ€kerhetsĂ„tgĂ€rder behövs för att uppnĂ„ önskad sĂ€kerhet. Del 4 riktar sig till dem som tillverkar OT-utrustning. Den beskriver hur en sĂ€ker utvecklingsprocess ska se ut och vilka krav som stĂ€lls pĂ„ produkterna. Som sĂ„ ofta Ă€r inte standard-texterna gratis men genom att bli medlem i ISA för en överkomlig penning fĂ„r man tillgĂ„ng till alla deras standarder. De ger ocksĂ„ ut intressanta böcker och har ocksĂ„ en mĂ€ngd utbildningar, bland annat de fyra utbildningar med tillhörande certifieringar som jag sjĂ€lv tagit för att stolt fĂ„ kalla mig "ISA/IEC 62443 Cybersecurity Expert". Den inledande Fundamentals-kursen Ă€r ett perfekt sĂ€tt att komma underfund med standarden. En stark sida med bĂ„de böcker och kurser frĂ„n ISA Ă€r att de anstrĂ€nger sig för att de ska fungera oavsett om din bakgrund Ă€r frĂ„n automationsvĂ€rlden eller frĂ„n IT-vĂ€rlden. En klurig balans att hantera... Som medlem i ISA blir man ocksĂ„ inslĂ€ppt i deras diskussionsforum dĂ€r det emellanĂ„t gĂ„r hett till... Vill man, som jag, engagera sig i arbetet med att utveckla standarden eller ta del av nya texter innan de publiceras kan man gĂ„ med i arbetsgrupperna utan extra kostnad. Personligen tycker jag verkligen att 62443 Ă€r vĂ€rd att ta till sig för alla organisationer som pĂ„ nĂ„got vis lutar sig mot OT-system. Det Ă€r en standard som krĂ€ver lite arbete innan man blir kompisar men grundtĂ€nket i texterna Ă€r ett perfekt stöd för allt OT-sĂ€kerhetsarbete. Den gĂ„r utmĂ€rkt att kombinera med ISO 27001 och 27002 om man har information som behöver skyddas i OT-systemen. Jag kan tycka att tĂ€nket kring riskbedömningar kan utvecklas och dĂ„ kan ju exempelvis SPR-metoden som jag berĂ€ttade om i förra nyhetsbrevet vara en alldeles utmĂ€rkt metod. Killchain för insiders! Ett gissel i alla former av sĂ€kerhetsarbete Ă€r att du mĂ„ste lita pĂ„ dina medarbetare. En extern angripare kan man förstĂ„, förutse och hantera men att försvara sig mot att en betrodd kollega plötsligt vĂ€nder sig mot sin egen organisation Ă€r vĂ€ldigt svĂ„rt att hantera för de flesta verksamheter. Det gĂ€ller i allra högsta grad Ă€ven inom OT eftersom en insider ofta har unika möjligheter i och med att man bĂ„de kĂ€nner till och kan manipulera de skydd som finns. Det hĂ€r Ă€r av naturliga skĂ€l en stor frĂ„ga i min egen gamla bransch, kĂ€rnkraften. DĂ€r har man sedan lĂ€nge arbetat strukturerat med denna riktigt svĂ„ra frĂ„ga. Jag rĂ„kade nyligen snubbla över en artikel frĂ„n G-Research, en organisation som inte har ett smack med OT och OT-sĂ€kerhet att göra. Det Ă€r en brittisk forskningsgrupp i finansbranschen. Vad de har gjort Ă€r att, med inspiration frĂ„n de vĂ€lkĂ€nda ramverken "Lockheed Martin Cyber Kill Chain" och "MITRE ATT&CK" utvecklat resonemangen frĂ„n en bok som heter "CERT Guide to Insider Threats" till nĂ„got de kallar "Insider Attack Matrix" och "Insider Kill Chain". De sĂ€ger sjĂ€lva att det krĂ€vs mer arbete för att vidareutveckla deras resultat men jag tycker redan det finns riktigt starka delar i detta. Om du Ă€r intresserad av Ă€mnet kan jag definitivt rekommendera att du lĂ€ser deras text. Om du anvĂ€nder killchains eller MITRE ATT&CK i andra sammanhang vill jag gĂ€rna höra om du tycker det hĂ€r Ă€r ett vettigt komplement. En grĂ€nsdragning jag gĂ€rna skulle vilja se diskuterad framöver Ă€r om, och i sĂ„ fall hur, man skiljer pĂ„ en insider med ont uppsĂ„t och en insider som blir lurad/manipulerad att göra nĂ„got elakt. Det Ă€r en diskussion som dyker upp ibland och som jag Ă€nnu inte sett nĂ„got tydligt grepp kring. LĂ€stips! Dale Peterson funderar kring hur vi ska fĂ„ fram fler mĂ€nniskor med kompetens inom OT-sĂ€kerhet. Han resonerar ur ett amerikanskt perspektiv men hans tankar kĂ€nns relevanta Ă€ven hĂ€r. Vi fĂ„r tre förslag: 1.) FĂ„ in fler kvinnor i branschen 2.) Tro inte att det finns massor med folk som redan kan allt utan leta upp dem med bra förutsĂ€ttningar och lĂ€r dem det som de saknar 3.) Belasta inte automationsfolket med sĂ€kerhetsĂ„tgĂ€rder utan hyr in OT-sĂ€kerhetsproffs! https://www.linkedin.com/pulse/how-do-we-solve-ot-cybersecurity-staffing-challenges-dale-peterson En artikel i ISAs tidning som vĂ€ckt diskussioner kring hur man ska Ă„stadkomma separation mellan processkontroll och processsĂ€kerhet. Författarna har tittat pĂ„ hur kravtexter frĂ„n standarder och leverantörernas egna texter anvĂ€nder olika ord som dĂ€rmed kan tolkas pĂ„ olika sĂ€tt. Exempelvis "Separation" kontra "Isolation". https://intechdigital.isa.org/publication/?m=60495&i=684843&p=28 Den som Ă€r road av Ă€mnet kan ocksĂ„ lĂ€sa i ISA-rapporten ISA-TR84 Part 9 dĂ€r man i Appendix A tittar pĂ„ för- och nackdelar med olika arkitekturer. Vi i Sverige har ju dessutom det beslĂ€ktade problemet med att "Security" och "Safety" bĂ„da översĂ€tts till "SĂ€kerhet" vilket jag sjĂ€lv har varit med om att det lett till allvarliga missförstĂ„nd. Jim Gavigan resonerar kring anvĂ€ndningen av Historian-tjĂ€nster framöver pĂ„ vĂ€gen in i Industrie 4.0. https://www.industrialinsightinc.com/post/2019/08/01/are-industrial-data-historians-an-iiot-platform Remote Desktop Protocol (RDP) Ă€r en vanlig svag punkt nĂ€r vi bygger den enklaste formen av jumphosts mellan segmenterade nĂ€tverk. Center for Internet Security, CIS, har ett bra White Paper kring hur man kan göra sĂ„ gott det gĂ„r för att skydda tjĂ€nsten. https://www.cisecurity.org/white-papers/exploited-protocols-remote-desktop-protocol-rdp/ Jag har nĂ€mnt projektet "Top 20 Secure PLC Coding Practices" förut. Deras arbete för att ta fram riktlinjer för sĂ€ker programmering av PLCer gĂ„r framĂ„t och en första publicering planeras till sommaren. Förutom rena programmeringsrĂ„d samlar de ocksĂ„ in en massa andra klokskaper. Redan nu finns det vĂ€ldigt mycket att ta till sig om man sysslar med programmering eller kodgranskning. Personligen tror jag att det hĂ€r arbetet kommer leda till riktigt viktiga framsteg i att göra PLC-program mer tĂ„liga mot pĂ„verkan. https://top20.isa.org/ AnmĂ€l dig till MSBs NIS-konferens den 19:e Maj! Perfekt tillfĂ€lle att lĂ€ra sig mer om detta viktiga omrĂ„de oh vad som Ă€r pĂ„ gĂ„ng framöver! https://www.msb.se/sv/aktuellt/kalender/2021/maj/kunskapshojande-nis-konferens/ Joe Weiss slĂ„r ett slag för de underskattade sĂ€kerhetsriskerna kopplat till OT-system i vĂ„ra datorhallar. System för avbrottsfri kraft, eldistribution, kyla, inpassering mm innehĂ„ller ofta kompontenter eller anvĂ€nder protokoll som vi kĂ€nner igen frĂ„n OT-vĂ€rlden. Om inte de skyddas pĂ„ rĂ€tt sĂ€tt Ă€r det en riktigt effektiv pungspark mot driften av en datorhall. https://scadamag.infracritical.com/index.php/2021/03/23/data-center-cybersecurity-dont-overlook-the-cyber-vulnerable-building-control-systems/ Jag skrev en inlĂ€gg nyligen pĂ„ Atea-bloggen om vad OT-sĂ€kerhet Ă€r dĂ€r jag beskriver vad OT-sĂ€kerhet Ă€r och varför det Ă€r speciellt tillsammans med nĂ„gra vanliga utmaningar och missförstĂ„nd som lĂ€tt uppstĂ„r. https://www.atea.se/it-specialisten/sakerhet/ot-sakerhet-vad-ar-det/ OTCSA (OT Cyber Security Alliance) har gett ut en serie om tre dokument kring hur man bygger upp en OT-sĂ€kerhetsorganisation: https://otcsalliance.org/wp-content/uploads/2021/01/OTCSA-DTX_Whitepaper-1-August062020.pdf https://otcsalliance.org/wp-content/uploads/2021/01/OTCSA-DTX_Whitepaper-2-August062020.pdf https://otcsalliance.org/wp-content/uploads/2021/01/OTCSA-DTX_Whitepaper-3-August2020.pdf Matthew Loong tittar nĂ€rmare pĂ„ sĂ€kerheten i de system som ligger allra nĂ€rmast de fysiska processerna och avslutar med tankar kring hur detta kan förĂ€ndras i takt med att vi gĂ„ in i Industrie 4.0 https://www.linkedin.com/pulse/taking-closer-look-level-0-1-security-matthew-loong/ Ytterligare en standard att hĂ„lla ordning pĂ„: ISO/SAE 21434 CybersĂ€kerhet för bilar och andra vĂ€gburna fordon. NĂ„gon som har mer koll pĂ„ detta och som vill berĂ€tta? https://www.cyres-consulting.com/hello-iso-sae-21434-the-new-point-of-reference-for-cybersecurity-in-the-automotive-industry-is-coming/ Det hĂ€r nyhetsbrevet skickas till mottagare med intresse av sĂ€kerhet inom OT. Det produceras av Mats Karlsson LandrĂ© pĂ„ Atea Sverige och fĂ„r spridas vidare fritt. Tanken Ă€r att det ska innehĂ„lla tips om intressanta resurser kombinerat med mina egna tankar om aktuella hĂ€ndelser. Återkoppla gĂ€rna med egna idĂ©er eller funderingar till mats.karlsson-landre@atea.se! Förslag till Ă€mnen eller innehĂ„ll tas förstĂ„s emot med tacksamhet! Om du önskar fĂ„ nyhetsbrevet direkt till din inkorg i fortsĂ€ttningen kan du gĂ€rna kontakta mig pĂ„ mats.karlsson-landre@atea.se. Jag lovar att din mejladress inte anvĂ€nds till nĂ„got annat Ă€n detta! Du hittar tidigare nyhetsbrev pĂ„ ot-sĂ€kerhet.se .

bottom of page