Fjerntilgang, men ikke den typen du husker

Produsentens service-organisasjons-leder åpner sin del av det tekniske møtet med et spørsmål som virker ukontroversielt. Hva er prosedyren for å etablere VPN-tunnelen fra service-senteret deres til anlegget? Vil det være IPsec eller SSL? Hvem utsteder sertifikatene? Er det en foretrukket leverandør for gateway-applianceen?

De spør ikke om det vil være en tunnel. De spør hvordan tunnelen vil bli konfigurert. Svaret de forventer er en rutinemessig teknisk utveksling om gateway-typer, krypterings-parametre og legitimasjons-utveksling. Svaret de mottar er at det ikke vil være en tunnel.

Vedvarende tilkobling fra produsentens kontor til anlegget er en arkitektur fra 2015. Det har vært industriens standard i et tiår, innebygd i langtids-serviceavtaler, tilstandsovervåknings-kontrakter og de operasjonelle vanene til hver større produsent i vind-, sol-, batteri- og inverter-markedene. Det er måten vedlikehold har blitt gjort på. Under EU-forventninger, anvendt på et EU-finansiert prosjekt, er det ikke måten vedlikehold vil bli gjort på.

Ingen IPsec-tunnel. Ingen SSL VPN. Ingen AnyDesk, TeamViewer, Splashtop, eller noen av de andre kommersielle fjerntilgangs-verktøyene som har spredd seg i industrielt vedlikehold. Ingen stående tilkobling av noe slag, i noen protokoll, på noen tidsplan. Produsenten bor ikke inne i perimeteret. De besøker det, så lenge en spesifikk oppgave krever, under forhold som anleggseieren kontrollerer.

Dette er den mest operasjonelt konsekvensbringende av de arkitektoniske endringene i denne serien, fordi det berører produsentens forretningsmodell. Langtids-serviceavtalen forutsetter evnen til å observere aktivumet og til å gripe inn når det underyter. Produsentens første reaksjon er vanligvis at uten vedvarende tilkobling er verken observasjon eller intervensjon mulig. Den første reaksjonen er feil. Begge er mulig. Ingen krever at produsenten er inne i perimeteret.

Hvorfor vedvarende tilkobling ikke lenger er på bordet

Tre grunner konvergerer.

Hver vedvarende tunnel er en stående angrepssti. En VPN fra et produsents service-nettverk inn i anlegget betyr at enhver kompromittering av produsentens nettverk — legitimasjonstyveri, skadevare på en service-ingeniørs laptop, en vellykket phishing-kampanje mot et vedlikeholdsteam-medlem, en upatched sårbarhet i produsentens gateway-appliance — forplanter seg direkte inn i OT-miljøet. Anleggseieren har ingen synlighet inn i produsentens interne sikkerhetsposisjon og ingen kontraktuell stilling til å revidere den dypt. Å stole på at produsentens nettverk er sikkert nok til å være inne i OT-perimeteret er en arkitektonisk beslutning anleggseieren ikke kan validere og långiveren ikke kan akseptere.

NIS2 leverandørkjede-garanti krever aktivt kontrollert tilgang. Operatørens forpliktelser under Artikkel 21 inkluderer å håndtere leverandørkjedesikkerhet, kontrollere tilgang til nettverk- og informasjonssystemer, og være i stand til å demonstrere overfor en regulator at disse kontrollene er på plass. En vedvarende tunnel som produsenten kan bruke når som helst, på en hvilken som helst tidsplan, uten forhåndsgodkjenning og uten sesjons-nivå-synlighet, er ikke aktivt kontrollert. Det er tilgang på leverandørens vilkår.

Revisjonssporet er systemet for registrering. Under NIS2 og det bredere EU-cybersikkerhetsrammeverket forventes operatøren å vite hvem som aksesserte hva, når, til hvilket formål, under hvilken autorisasjon. En vedvarende tunnel kan ikke produsere det revisjonssporet med den granulariteten som kreves. Den kan vise at en tunnel var oppe; den kan ikke pålitelig vise hvilken ingeniør som gjorde hvilken handling mot hvilket aktivum i hvilket vindu.

Resultatet er ikke en mildere versjon av den gamle arkitekturen. Det er en helt annen arkitektur.

Det som erstatter den

To mønstre som kjører parallelt.

Telemetri flyter ut. Tilstandsovervåkning, ytelsesanalyse, feilprediksjon, flåte-benchmarking — alt produsenten trenger for å observere aktivumet — kjører gjennom en enveis-gateway fra anlegget ut til produsentens sky. Gateway-en er et stykke maskinvare som fysisk tillater data å flyte i bare én retning, ved design snarere enn ved konfigurasjon. Kommersielle implementeringer inkluderer Waterfall Security Solutions, Owl Cyber Defense og flere andre; prinsippet er det samme på tvers av leverandører. Produsenten mottar en kontinuerlig, nær-sanntids strøm av driftsdata, behandler den i sitt eget analysemiljø, kjører hvilke maskinlæringsmodeller eller ekspert-system-regler de ønsker, og genererer rapporter, varsler og anbefalinger. Ingenting av dette krever innkommende tilkobling. Produsenten kan vite alt de trenger å vite om aktivumets adferd uten noen gang å koble seg til det.

Vedlikeholds-tilgang er formidlet. Når noe må gjøres som krever at produsenten samhandler med aktivumet — undersøke en feil, anvende en konfigurasjonsendring, kjøre en diagnose, utrulle en oppdatering — ber produsenten om tilgang gjennom en sikker fjerntilgangs-megler drevet av anleggseieren. Megleren er ikke en tunnel. Det er en formidlet sesjon som åpner for et definert formål, for en definert varighet, mot et definert mål, med definerte privilegier, og som lukkes når arbeidet er ferdig eller tiden utløper.

Vanlige plattformer i OT-rommet inkluderer Claroty xDome Secure Access, Dispel, Xage, Waterfall HERA, CyberArk Privileged Session Manager for SSH og RDP, BeyondTrust Privileged Remote Access og flere andre. Teknologien varierer mellom plattformer; den operasjonelle modellen er den samme.

Hva en sesjon faktisk ser ut som

Gå gjennom en typisk vedlikeholds-sesjon.

Produsentens navngitte ingeniør — klarert på forhånd under anleggseierens onboarding-prosess, med legitimasjon klargjort i anleggseierens identitetssystem — åpner en service-ticket. Ticket-en oppgir aktivumet som skal aksesseres, arbeidet som skal utføres, protokollene som kreves (SSH, HTTPS, RDP, leverandør-spesifikt verktøy), den estimerte varigheten, og endringsreferansen hvis arbeidet endrer konfigurasjonen.

Anleggseierens autoriserende myndighet — typisk en kontrollrom-ingeniør med passende delegering — gjennomgår ticket-en. De bekrefter at aktivumet er i en tilstand som tillater arbeidet, at ingen konflikterende aktivitet er i gang, at den forespurte varigheten er rimelig, og at endringsreferansen er godkjent. De autoriserer sesjonen.

Ingeniøren autentiserer seg til megleren med flerfaktor-autentisering. Megleren etablerer sesjonen gjennom en kontrollert jump-host. Ingeniøren samhandler med målet gjennom nettleseren sin eller gjennom en tynn-klient; deres egen laptop snakker aldri direkte med målet. Sesjonen registreres i sin helhet — tastetrykk, skjermopptak, fil-overføringsforsøk, kommando-utdata.

Under sesjonen kan ingeniøren utføre arbeidet spesifisert i ticket-en. De kan ikke utføre arbeid utenfor det omfanget. Utklippstavlen er deaktivert i begge retninger. Filoverføring er deaktivert som standard og krever en separat, navngitt rettferdiggjørelse om nødvendig. Sesjonen har en hard utløpsdato; hvis arbeidet tar lengre tid enn forventet, ber ingeniøren om en forlengelse og den autoriserende myndigheten avgjør.

Det er én ytterligere begrensning som ofte overrasker produsenter. Innenfor sesjonen er skrive-handlinger ikke automatiske. Kanal-brannmuren er typisk konfigurert til å tillate bare-lese-protokoll-adferd som standard. En produsents ingeniør som kobler til en kontrollers webgrensesnitt kan se konfigurasjons-skjermene korrekt, men finne at innsending av et skjema returnerer en feil — fordi HTTP POST, PUT, PATCH eller DELETE-metoden er blokkert ved ICS-brannmuren. SCADA-skrive-funksjonskoder (Modbus 5, 6, 15, 16; IEC 60870-5-104 skrive-ASDU-er; OPC UA Write-tjenesten) er likeledes blokkert som standard. Skrive-privilegium bes om separat, navngir den spesifikke handlingen som skal utføres, med det eksakte målet og den eksakte verdien, og godkjennes separat av en myndighet med passende seniorat. Brannmuren åpner deretter den spesifikke skrive-stien for den spesifikke sesjonen.

Dette er hva IEC 62443-3-3 SR 5.1 — informasjonsflyt-håndheving — ser ut som i praksis. Lesinger blir ikke skrivinger som standard. Skrivinger er eksplisitte, godkjente, tidsbegrensede og registrerte. Prinsippet er det samme som tilgangsprinsippet for selve sesjonen: ingenting er implisitt, ingenting er varig, ingenting er gjenbrukbart uten re-autorisasjon.

Hvordan tilgjengelighets-garantier fortsatt fungerer

Produsentens bekymring, ofte uttrykt stille på dette tidspunktet i møtet, er at langtids-serviceavtalens ytelsesforpliktelser — tilgjengelighet over 97 prosent, gjennomsnittlig tid til gjenoppretting innen et oppgitt antall timer, responstider for kritiske feil — ikke kan møtes uten vedvarende tilgang. Bekymringen er forståelig, men feilaktig.

Det vedvarende tilgang faktisk gir for en serviceavtale er to ting: kontinuerlig observasjon av aktivumet, og evnen til å gripe inn raskt når intervensjon kreves. Begge kan leveres uten stående tilkobling.

Kontinuerlig observasjon kommer fra telemetri-strømmen. Produsentens overvåknings-senter ser hver verdi, hver alarm, hver driftstilstand, med latens målt i sekunder. Mange produsenter finner at telemetrien tilgjengelig under en strukturert enveis-arkitektur er rikere og mer pålitelig enn det de tidligere trakk gjennom en VPN, fordi gateway-en er konstruert for høy-gjennomstrømnings enveis-flyt og datamodellen er spesifisert snarere enn improvisert på hvert sted.

Rask intervensjon er et prosess-spørsmål, ikke et arkitektur-spørsmål. Gjennomsnittlig tid til første tekniske engasjement under en formidlet tilgangs-modell avhenger av hvordan vakt-rotasjonen, autorisasjons-arbeidsflyten, og megler-klargjøringen er designet. Med forhåndsgodkjente nødresponse-prosedyrer, navngitte vakt-ingeniører hvis legitimasjon allerede er klargjort i anleggseierens identitetssystem, og en autoriserende myndighet på vakt døgnet rundt, er første tekniske engasjement innen ti til femten minutter etter en varsel oppnåelig. For serviceavtaler skrevet mot velutformede tilgjengelighets-mål, er dette komfortabelt innenfor den påkrevde responstiden.

Produsentene som presser hardest mot denne modellen er ofte de hvis tidligere service-økonomi var avhengig av rutinemessig fjern-intervensjon snarere enn planlagt, strukturert engasjement. Skiftet til formidlet tilgang har en tendens til å avdekke en annen operasjonell rytme — færre ad-hoc tilkoblinger, mer deliberat arbeid, flere dokumenterte endringer — som, i det lange løp, er bedre for aktivumet og bedre for revisjonssporet. Service-avtalens pris kan trenge å reflektere det skiftet. Tilgjengelighets-garantien trenger det ikke.

På forslagsstadiet

Produsenten som foreslår en vedvarende VPN for service-tilgang foreslår en modell som långiveren ikke vil akseptere og operatøren ikke kan tilby. Forslaget vil bli returnert med kommentarer som ber produsenten omformulere service-modellen sin rundt formidlet tilgang og enveis-telemetri.

Et bud som ankommer med den nye modellen allerede forstått — som lister navngitte vakt-ingeniører som ville bli onboardet i anleggseierens identitetssystem, som spesifiserer protokollene som kreves for typiske vedlikeholds-oppgaver, som foreslår en telemetri-datamodell for enveis-flyten, som estimerer arbeidssyklus for formidlede sesjoner — er et bud som har gjort hjemmeleksen sin. Samtalen om hvordan å levere serviceavtalen mot anleggseierens tilgangs-modell blir en strukturert operasjonell diskusjon snarere enn en re-forhandling av den arkitektoniske premissen.

Det dypere poenget er at produsentens tilstedeværelse inne i perimeteret ikke er en forutsetning for produsentens verdi. Verdien sitter i ingeniør-vurderingen til service-organisasjonen — å vite hva man skal lete etter i dataene, å vite hva man skal gjøre, å vite hvilke risikoer aktivumet bærer. Ingenting av det krever at ingeniøren er inne i nettverket. Det krever at de ser dataene, at de kommuniserer med anleggseieren, og at de handler gjennom den kontrollerte mekanismen anleggseieren leverer.

Den neste artikkelen beveger seg til selve kontrollerkortet, og til den ene komponenten på det som anleggseiere har kommet til å insistere på å fjerne fysisk snarere enn å deaktivere i firmware: cellulærmodemet som ankommer for «nødstøtte».

Denne artikkelen reflekterer det regulatoriske og standard-landskapet ved publisering. Referanser til IEC 62443 kan bli erstattet av revisjoner av den standarden; NIS2-gjennomføringen fortsetter å utvikle seg på tvers av medlemsstatene; navngitte kommersielle produkter er illustrative snarere enn anbefalinger. Hvis et sitat har råtnet eller en klausul har flyttet seg, er LinkedIn veien å flagge det på.