تبدیل درگاه یواسبی به یک ایست بازرسی
شرکت TXOne بازرسی در نقطه ورود فیزیکی را پیشنهاد میکند — فایلهای پاکشده، سابقه ممیزی از آنچه عبور کرده، و بدون نصب عامل روی داراییهای تولیدی یا نیاز به اتصال شبکه.
شرکت TXOne Networks از یک ایست بازرسی امنیتی ویژه فناوری عملیاتی برای رسانههای جداشدنی خبر داده است: بازرسی حافظههای یواسبی و دیگر رسانهها در نقطه ورود، انتقال فایلهای پاکشده، و نگهداری سابقهای از آنچه وارد محیط شده — بدون نصب نرمافزار روی سامانههای تولیدی و بدون نیاز به اتصال شبکه.
مسئلهای که به آن میپردازد همان است که هر کارخانه ایزوله دارد و کمتر کسی مستندش میکند. شبکه جداشده باز هم به فایلهایی نیاز دارد که از مرزش بگذرند: ایمیج میانافزار، برنامه پیالسی، وصله سازنده، پشتیبان پیکربندی، نتایج آزمایشگاه، فایلهای دستورالعمل. اینها روی حافظه یواسبی پیمانکار یا لپتاپ مهندس میرسند و در بیشتر کارخانهها کنترل ماجرا عبارت است از یک سیاست، یک برچسب روی لپتاپ، و امید. شبکههای ایزوله به این دلیل شکست نمیخورند که کسی شبکه را پل میزند؛ به این دلیل شکست میخورند که کسی فایلی را از مرز عبور میدهد، و این دقیقا همان کاری است که خود ایزوله بودن ایجابش میکرد.
دو انتخاب طراحانه در این رویکرد ارزش بیرون کشیدن دارند چون فراتر از هر محصولی تعمیم مییابند. نخست، کار کردن بدون عامل روی داراییهای تولیدی. هر کنترل امنیتی عملیاتی که به نصب نرمافزار روی پیالسی، رابط اپراتوری یا رایانه تولیدی نیاز داشته باشد به قید اعتبارسنجی، شرایط پشتیبانی سازنده و پنجرههای تغییر برمیخورد و اغلب روی تجهیزی که ضمانتش به آن بستگی دارد یکسره رد میشود. بردن کنترل به نقطه ورود به جای نقطه پایانی، از همه اینها میگذرد.
دوم، سابقه ممیزی. مسدود کردن فایل بد تنها نیمی از ارزش است؛ دانستن اینکه چه چیزی و کی و به دست چه کسی عبور کرده همان است که کنترل را قابل ممیزی میکند و بررسی رخداد را از باستانشناسی به یک پرسوجو بدل میکند. هر کسی که به سمت استاندارد IEC 62443 کار میکند میداند مدیریت رسانه جداشدنی الزامی مستند است نه ایدهای خوب، و بخش دشوارش همان مدرک است.
احتیاط آشکار این است که ایست بازرسی پویشگر، در برابر آنچه میشناسد بازرسی میکند. کاشت هدفمند در ایمیج میانافزار یک سازنده را نمیگیرد و نباید درون سازمان چنان معرفی شود که انگار میگیرد. کاری که مطمئن انجام میدهد بالا بردن هزینه مسیرهای عمومی، حذف موارد تصادفی و تولید همان سابقه است — که در بیشتر کارخانهها بهبودی چشمگیر نسبت به درگاه یواسبی بدون پایش و سیاستی است که کسی اعمالش نمیکند.
شرکت قیمت یا زمان عرضهای منتشر نکرده و جف مانکریف، مدیر فنی، نقل شده که تیمهای عملیاتی این را همان نوع کنترلی توصیف میکنند که دنبالش بودهاند. وبیناری برای نمایش این رویکرد در نهم سپتامبر برنامهریزی شده است.
منبع: TXOne Networks