OT-miljöer är avgörande för driften av fabriker, fastigheter och kritisk infrastruktur. Samtidigt genererar systemen stora mängder nätverkstrafik och verksamhetskritisk data som måste utvärderas. Att kunna använda denna information är bra. Utmaningen är dock att kunna urskilja vilka signaler som har en betydelse.
En OT-miljö bygger på flera samverkande delar som tillsammans skapar en bild av nätverket och de tillgångar som styr eller övervakar fysiska processer. Sensorer placeras strategiskt för att passivt följa kommunikationen utan att påverka driften. På så sätt kan organisationen exempelvis identifiera enheter, sensorer, anslutningar och trafikmönster.
Men när informationen väl börjar analyseras framträder ofta en mer komplex verklighet. Okända tillgångar identifieras, larm genereras och tidigare osynliga anslutningar blir synliga. Det kan handla om fjärranslutningar, kopplingar mellan IT- och OT-nätverk, ovanliga trafikmönster, osäkra protokoll eller indikationer på bristfälliga konfigurationer.
Synligheten ger en tydligare bild av organisationens faktiska attackyta och beroenden, men skapar också ett betydligt större informationsflöde för potentiella cyberangrepp. Det är inte nödvändigtvis ett tecken på att något är fel, utan speglar en vanlig situation i många OT-miljöer. Utmaningen är att avgöra vilken information som innebär en faktisk risk för produktion, drift eller säkerhet och omvandla den till ett relevant beslutsunderlag.
Synlighet utan struktur skapar brus
Att samla in data är relativt enkelt. Att förstå vad den betyder för verksamheten är betydligt svårare. Ett Security Operations Center (SOC) kan ta emot information från nätverkssensorer, brandväggar, endpointskydd, logghanteringssystem och andra säkerhetslösningar.
Tillsammans kan dessa källor generera miljontals händelser och tusentals larm varje dygn. Utan ett tydligt arbetssätt för att filtrera, korrelera och prioritera informationen riskerar datamängden att skapa osäkerhet i stället för kontroll.
I en OT-miljö behöver varje larm dessutom bedömas utifrån sitt sammanhang. Samma tekniska avvikelse kan vara relativt harmlös i ett kontorsnätverk men få allvarliga konsekvenser om den påverkar en produktionslinje, ett styrsystem eller en samhällsviktig funktion.
Ett typiskt utgångsläge kan se ut så här:
Råa händelser: 24 646 677
Larm efter detektion: 1 982 853
Kvalificerade ärenden: 47
Poängen är att volymerna i sig säger väldigt lite. Det avgörande är hur snabbt och träffsäkert organisationen kan identifiera de händelser som faktiskt kräver en åtgärd.
Grunden måste fungera
Effektivt säkerhetsarbete bygger på att de grundläggande delarna fungerar. System och säkerhetslösningar behöver hållas uppdaterade för att kunna upptäcka och hantera nya hot, samtidigt som sensorer och datakällor kontinuerligt måste verifieras för att säkerställa att de ger en korrekt och komplett bild av miljön.
Det behöver även etableras en baslinje för vad som är normal aktivitet. Tydliga processer för incidenthantering behöver fastställas och detektionsregler behöver justeras kontinuerligt för att minska mängden brus. Arbetet bör dessutom följas upp över tid för att säkerställa att säkerhetsnivån successivt förbättras.
Om någon av dessa grunder brister arbetar organisationen med en ofullständig lägesbild. Det försvårar både analys och prioritering, samt förmågan att upptäcka och agera på verkliga incidenter.
Från reaktivt arbete till kontroll
Att gå från initial synlighet till ett moget säkerhetsarbete är en gradvis process. I början domineras arbetet ofta av stora datamängder och många larm. Med tiden kan informationsflödet struktureras och prioriteras, vilket gör att fokus flyttas från att hantera volym till att hantera risk.
Efter en period av kontinuerligt förbättringsarbete kan samma miljö exempelvis se ut så här:
Råa händelser: 50 243
Larm efter detektion: 3 414
Kvalificerade ärenden: 3
Skillnaden handlar inte bara om färre händelser, utan om högre träffsäkerhet och en bättre förmåga att fokusera på det som verkligen är relevant. Här spelar organisationens SOC en central roll, inte bara som övervakningsfunktion utan som nav för analys, prioritering och kontinuerlig förbättring.
För att arbetet ska fungera krävs samtidigt nära samverkan med de personer som ansvarar för OT-miljön och de fysiska processerna. Ett tekniskt larm kan inte alltid bedömas korrekt utan kunskap om hur systemet används och vilka konsekvenser en störning kan få.
I takt med att IT- och OT-system blir alltmer sammankopplade är synlighet bara början. Först när informationen struktureras, prioriteras och omsätts i konkreta åtgärder skapas verklig kontroll. Det stärker organisationens motståndskraft, försvårar cyberangrepp och minskar risken för produktionsstopp, driftstörningar och andra konsekvenser för den fysiska verksamheten.
Andreas Jacobsson