W zakładzie spożywczym cyberatak nie musi od razu wyglądać jak spektakularne włamanie, zaszyfrowanie wszystkich systemów czy komunikat… z żądaniem okupu na ekranie operatora. Czasem zaczyna się dużo ciszej: od podejrzanego logowania, nieznanego urządzenia w sieci, zmiany konfiguracji. Problem polega na tym, że w środowisku przemysłowym takie sygnały bardzo szybko mogą przełożyć się na coś znacznie bardziej namacalnego niż incydent IT.
Mogą oznaczać zatrzymanie linii produkcyjnej, utratę komunikacji z urządzeniami sterującymi, brak dostępu do systemów operatorskich, opóźnienia w realizacji zamówień albo konieczność ręcznego prowadzenia procesów, które na co dzień działają automatycznie. I właśnie tym tematem – oraz rozwiązaniem, które pomaga wykrywać zagrożenia zanim przerodzą się w poważny problem – zajmiemy się w czerwcowym wydaniu OTnośnika.
Zacznijmy od kwestii prawnych
NIS2 oraz nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przesuwają nacisk z ogólnych deklaracji na konkretne obowiązki organizacyjne i techniczne. Jak już zapewne wiecie, dla wielu firm oznacza to konieczność sprawdzenia, czy należą do grupy podmiotów kluczowych lub ważnych, a następnie uporządkowania podejścia do zarządzania ryzykiem, obsługi incydentów, dokumentacji, audytów i raportowania (więcej na ten temat mówimy tutaj: tekniska.pl/zgodnosc-z-ksc-nis2/).
W praktyce dotyczy to również firm produkcyjnych, w tym organizacji z sektora żywności. Nie chodzi więc tylko o wdrożenie kolejnego narzędzia. Chodzi o zbudowanie systemowego podejścia: kto odpowiada za ryzyko, jakie zasoby są krytyczne, jak wykrywane są incydenty, jak szybko trafiają do odpowiednich zespołów i czy organizacja potrafi udokumentować swoje działania.
10 miar bezpieczeństwa w praktyce
NIS2 wskazuje obszary, które można potraktować jako praktyczną mapę dojrzewania cyberbezpieczeństwa. Są wśród nich polityki analizy ryzyka, procedury obsługi incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, szkolenia, kryptografia, kontrola dostępu, zarządzanie zasobami i bezpieczna komunikacja.
Na poziomie dokumentu te wymagania mogą brzmieć po prostu jak formalności. W zakładzie przemysłowym trzeba jednak przełożyć je na konkretne pytania:
- czy wiemy, jakie systemy i urządzenia pracują w naszej infrastrukturze?
- czy widzimy nowe zasoby, które pojawiają się w sieci?
- czy potrafimy wykryć zmianę konfiguracji albo podejrzane logowanie?
- czy mamy dostęp do logów z kluczowych hostów, serwerów i urządzeń?
- czy podatności są przypisane do konkretnych zasobów, a nie funkcjonują jako abstrakcyjna lista CVE?
- czy SOC albo zespół bezpieczeństwa otrzymuje dane, które pozwalają działać szybko i świadomie?
Ciągłe monitorowanie = fundament cyberbezpieczeństwa
Będziemy to powtarzać jak mantrę: nie wystarczy okresowy audyt ani jednorazowa inwentaryzacja. Sieć przemysłowa zmienia się w czasie. Pojawiają się nowe urządzenia, aktualizacje, zdalni serwisanci, zmiany konfiguracji, tymczasowe połączenia i integracje z systemami biznesowymi.
Ciągłe monitorowanie pozwala wychwycić te zmiany wtedy, gdy mają miejsce, a nie dopiero po fakcie. Ma to znaczenie zarówno dla wykrywania incydentów, jak i dla zarządzania ryzykiem. Jeżeli organizacja wie, które urządzenie jest podatne, gdzie się znajduje i z jakimi systemami się komunikuje, może szybciej ocenić priorytet działań.
I tu pojawia się Wazuh
Platforma, która pomaga zebrać wiele rozproszonych sygnałów bezpieczeństwa w jednym miejscu. Z natury jest to rozwiązanie klasy SIEM, ale nie warto sprowadzać go wyłącznie do narzędzia, które agreguje logi i pokazuje je na dashboardach – jego rola jest szersza.
Wazuh łączy podejście SIEM z funkcjami HIDS, czyli hostowego systemu wykrywania zagrożeń, oraz wybranymi mechanizmami kojarzonymi z XDR. W praktyce pozwala zbierać, korelować i analizować dane z różnych źródeł. Może pracować z agentami instalowanymi na serwerach, stacjach roboczych, maszynach wirtualnych, systemach chmurowych czy kontenerach. Może też analizować logi pochodzące z innych systemów i urządzeń.
To szczególnie ważne w środowisku przemysłowym, gdzie pojedyncze zdarzenie rzadko daje pełną odpowiedź. Dopiero połączenie informacji o logowaniu, zmianie pliku, wykrytej podatności, nietypowym zachowaniu hosta i zdarzeniach z infrastruktury sieciowej pozwala ocenić, czy mamy do czynienia z incydentem, czy z rutynową zmianą.
Co Wazuh może zautomatyzować, a czego nie zastąpi?
Warto w tym miejscu dobrze ustawić oczekiwania, bo Wazuh nie jest narzędziem, które automatycznie sklasyfikuje krytyczność systemów w organizacji i samodzielnie przeprowadzi analizę ryzyka. Krytyczność zasobów zależy przecież od kontekstu biznesowego: roli danego systemu w procesie produkcyjnym, wpływu na ciągłość działania, zależności między urządzeniami i skutków ewentualnego przestoju. Może jednak ten proces mocno wesprzeć.
Moduł wykrywania podatności pozwala powiązać podatności z konkretnymi monitorowanymi zasobami, a to znacząco porządkuje analizę. Zespół bezpieczeństwa nie pracuje wtedy wyłącznie na ogólnej liście CVE, ale może odnieść podatności do realnej infrastruktury: systemów, hostów i usług, które działają w danym środowisku.
Jednak w zakładzie przemysłowym sama informacja o podatności nie wystarczy. Znaczenie ma dopiero jej kontekst: czy dotyczy zasobu krytycznego dla produkcji, czy systemu pomocniczego, w której strefie znajduje się dane urządzenie i czy potencjalne wykorzystanie podatności może przełożyć się na zatrzymanie procesu.
Podobnie wygląda kwestia wykrywania anomalii. Sercem detekcji w Wazuh są reguły, które analizują zdarzenia i generują alerty bezpieczeństwa, gdy zostaną spełnione określone warunki. Dzięki temu można wykrywać m.in.
- podejrzane logowania,
- zmiany w systemach,
- naruszenia integralności plików,
- zdarzenia wskazujące na podatności
- lub aktywności odbiegające od przyjętych zasad.
Wazuh może również wspierać reakcję na wybrane zdarzenia za pomocą mechanizmu Active Response. Oznacza to, że po spełnieniu określonego warunku system może uruchomić wcześniej zdefiniowane działanie, np. zablokować niepożądany ruch, wykonać skrypt albo ograniczyć skutki konkretnego zdarzenia. Nie jest to jednak „magiczna automatyzacja”, którą można uruchomić bez przygotowania. Active Response wymaga przemyślenia scenariuszy, testów i dopasowania do środowiska, szczególnie w OT, gdzie zbyt agresywna reakcja mogłaby zakłócić produkcję.
Z tej perspektywy łatwiej zobaczyć…
jak Wazuh może wspierać organizację w obszarach, które są ważne z punktu widzenia NIS2 i UoKSC 2.0, a mianowicie:
- W inwentaryzacji zasobów pomaga zebrać informacje o monitorowanych hostach, ich konfiguracji, oprogramowaniu i stanie bezpieczeństwa. To punkt wyjścia do zarządzania ryzykiem, bo trudno chronić systemy, których nie widzimy.
- W wykrywaniu zdarzeń i incydentów wspiera analizę logów, aktywności hostów i zmian w systemach. Reguły detekcji pozwalają generować alerty, które mogą wskazywać na podejrzane logowania, naruszenia integralności plików, błędy konfiguracji albo inne symptomy incydentu.
- W zarządzaniu podatnościami pozwala przypisywać wykryte podatności do konkretnych zasobów. Dzięki temu łatwiej ocenić, które problemy wymagają pilnej reakcji.
- W raportowaniu i audycie porządkuje informacje o zdarzeniach, alertach i zmianach. To ułatwia odtworzenie przebiegu incydentu, udokumentowanie działań oraz pokazanie, że organizacja posiada mechanizmy monitorowania i nadzoru.
- We współpracy z SOC dostarcza dane, które można przekazać do dalszej analizy bezpieczeństwa.
Mapa rozwiązań: gdzie Wazuh mieści się w architekturze OT?
W środowisku przemysłowym nie ma jednego narzędzia, które rozwiązuje cały problem cyberbezpieczeństwa. Potrzebne są różne warstwy ochrony: segmentacja, firewall, UTM, IDS/IPS, NAC, monitoring ruchu sieciowego, agenty hostowe, analiza logów i SIEM.
Wazuh najlepiej rozumieć jako element tej układanki. Odpowiada przede wszystkim za zbieranie i analizę zdarzeń, pracę z logami, monitoring hostów, korelację danych i dostarczanie informacji potrzebnych do reakcji.
No dobrze, w takim razie jak zaimplementować to rozwiązanie w środowisku przemysłowym?
W małej instalacji przemysłowej punktem wyjścia mogą być sterowniki PLC, urządzenia IED i RTU, panele HMI, stacje operatorskie oraz stacje inżynierskie. To elementy, które wspólnie tworzą środowisko produkcyjne, ale nie wszystkie powinny komunikować się ze sobą w dowolny sposób.
- Pierwszym krokiem jest uporządkowanie komunikacji. Wymiana routera lub switcha na urządzenie wspierające VLAN-y, firewall i port SPAN może umożliwić podział infrastruktury na strefy oraz przygotować sieć do monitorowania ruchu. Dzięki temu można oddzielić najniższe poziomy automatyki od systemów operatorskich i wyższych warstw zarządzania.
- Następnie przechodzimy do segmentacji. W praktyce może to oznaczać wydzielenie strefy obejmującej poziomy L0 i L1, osobnej strefy dla poziomu L2 oraz strefy DMZ pomiędzy OT a siecią firmową. Taki podział pozwala ograniczać komunikację do wymaganych kanałów i zmniejszać ryzyko rozprzestrzeniania się incydentu.
- Warto też uzupełnić architekturę o urządzenie klasy UTM. To warstwa odpowiedzialna m.in. za ochronę brzegu sieci, VPN, IDS/IPS, monitorowanie ruchu i głębszą inspekcję pakietów. W zakładzie przemysłowym ma to znaczenie szczególnie wtedy, gdy pojawia się zdalny dostęp serwisowy, połączenie z centralą firmy albo integracja z usługami chmurowymi.
- Dopiero na takim fundamencie warto uruchamiać rozwiązanie SIEM, takie jak Wazuh.
Rola DMZ: bezpieczny bufor między OT a IT
Nie pomijajmy znaczenia strefy DMZ, w której można umieścić serwer przesiadkowy, serwer aktualizacji, serwer archiwów albo inne elementy potrzebne do bezpiecznej wymiany danych. Dzięki temu dostęp do OT nie musi oznaczać bezpośredniego połączenia z najważniejszymi systemami produkcyjnymi.
Wazuh może wspierać taki model, dostarczając informacji o zdarzeniach, zmianach i logach z wybranych komponentów. W połączeniu z segmentacją, firewallem i monitoringiem ruchu pozwala to budować środowisko, w którym organizacja nie tylko reaguje na incydenty, ale także szybciej zauważa ich pierwsze symptomy.
Chcesz wiedzieć więcej?
Wypełnij formularz i otrzymaj dostęp do nagrania naszego ostatniego webinaru, podczas którego Michał Bednarczyk i Piotr Grychtoł zaprezentowali live demo wybranych funkcji systemu Wazuh: tekniska.pl/webinar-wazuh-monitoring-ot/