IIC végpontbiztonsági bevált gyakorlatok

Nemrégiben az The Industrial Internet Consortium érdekes tanulmányt adott ki a végpont ajánlott biztonsági bevált gyakorlataival.

A Barbara IoT mindig izgatott az ilyen típusú kezdeményezésekkel, mivel szilárdan hisszük, hogy még sok tennivaló van az IoT biztonságában, és az eszköz valószínűleg a leggyengébb láncszeme jelenleg az IoT értékláncában. És amint tudjuk, a lánc olyan erős, mint a leggyengébb lánc, tehát kötelező lenne biztosítani az eszközöket (ha még nem létezik).

Ez a cikk áttekinti az IIC ajánlásainak alapjait, és összehasonlítja azokat a Barbara szoftverplatformmal, amely az IoT-eszközök életciklusának biztonságos megoldása. Az alábbi táblázat összefoglalja a megfelelési mátrixot:

De menjünk bele a részletekbe ...

Biztonsági szintek:

Az IIC három biztonsági szintet határoz meg: Alapvető biztonsági szintet (SLB), Javított biztonsági szintet (SLE) és Kritikus biztonsági szintet (SLC), amelyek megfelelnek az IEC 62443 3–3 szabvány 2., 3. és 4. biztonsági szintjének. Az alapszint megvédi a „szándékos megsértést egyszerű eszközökkel, alacsony forrásokkal”. A fokozott szint védi rendszerünket a „kifinomult eszközökkel, mérsékelt erőforrásokkal”. A kritikus szint fokozza a „kifinomult eszközök és kiterjesztett erőforrások” védelmét. Az alkalmazástól és a körülményektől függően meg kell védenie a végpontját a megfelelő biztonsági szinttel.

Ezen biztonsági szintek alapján az IIC három különféle architektúrát javasol, amelyeknek nyílt szabványokon kell alapulniuk, és több szállító, több platformon végpontok között interoperábilisnak kell lenniük, hogy biztonságosnak lehessen tekinteni.

IIC javasolt architektúrák

Menjünk mélyebben ezen komponensek mindegyikébe, részletesebben ismertetve azokat és fedezve fel, hogy a Barbara Software Platform hogyan felel meg a IIC iránymutatásoknak.

A bizalom gyökere:

A Root of Trust (RoT) minden végpontbiztonság alapját képezi, és olyan funkciókat kínál, mint végpont-identitás, valamint a szoftver és a hardver azonosságának és integritásának igazolása. Mint el tudod képzelni, a végpont olyan erős lesz, mint a bizalom gyökere, tehát a bizalom gyökerének biztonságos megvalósítása kötelező.

Pontosabban az IIC azt állítja, hogy a fokozott és kritikus biztonsági szintek érdekében a Root of Trustot hardverre kell építeni. A IIC ajánlásainak való megfeleléshez szükség lehet egy speciális hardver biztonsági chipre (vagy hasonlóra), amelynek szabotázsállósága van.

Ami a bizalom gyökerét illeti, a Barbara Software Platform összes biztonsági elemet összehozza a bizalom gyökerének megerősítése érdekében. Szoftverkötegünk magántulajdonban lévő PKI-t (nyilvános kulcsú infrastruktúra alapja a nyilvános kulcsú kriptográfiai szabványokon alapul), és biztosítja a megfelelő horgokat, hogy lehetővé tegyék a könnyű integrációt az ügyfél által választott, megbízható platformmodulokkal.

Végpont azonosító:

A végpont-identitás alapvető alkotóeleme a legtöbb biztonsági szolgáltatás felépítésének. Az IIC ajánlása szerint a PKI (nyilvános kulcsú infrastruktúra) támogatása kötelező az alap, a továbbfejlesztett és a kritikus szintek lefedésére. Javasoljuk továbbá egy nyílt szabványos tanúsítványkezelési protokoll megvalósítását a belső vagy külső CA (tanúsító hatóság) által kiadott tanúsítványok kiadására és kezelésére.

Amint azt már korábban kommentáltuk, a Barbara Software Platform magában foglalja a saját PKCS-en alapuló PKI-jét (Freeipa, www.freeipa.org/). A FreeIPA egy integrált személyazonossági és hitelesítési megoldás, amely központosított hitelesítési, engedélyezési és számlainformációkat biztosít. A IIC kérése szerint a FreeIPA a jól ismert nyílt forrású összetevők és a szabványos protokollok tetejére épül.

Biztonságos rendszerindítás:

A végpont bekapcsolásának kriptográfiailag védő, megbízható, biztonságos rendszerindító rendszere ismét követelmény az alap, a továbbfejlesztett és a kritikus szint számára. Az IIC bevált gyakorlata szerint ez megvalósítható a PKCS (Public Key Cryptography Standards) alapú kriptográfiai hash-okkal. Így biztosak lehetünk abban, hogy a megfelelő kulcsok nélküli szoftver képes lesz-e a készülék indítására. A Barbara szoftverplatform ésszerű erőfeszítésekkel átvihető a biztonságos indítást támogató hardverlemezekre.

Kriptográfiai szolgáltatások és biztonságos kommunikáció:

A kriptográfia használata az adatok szállítása során (mozgásban), az adatok tárolásakor (nyugalomban) és az alkalmazásokban (használatban) egyértelmű követelmény a fent említett három biztonsági szintre (alapvető, továbbfejlesztett, kritikus). Az ilyen védelem biztosításához szükséges tulajdonságok a következők:

  • A NIST / FIPS által hitelesített szabványokon alapuló kriptográfiai algoritmusok.
  • Aszimmetrikus és szimmetrikus rejtjelkészletek, kivonási funkciók és véletlenszám. elég erősek és a PKCS (Public Key Cryptography Standards) alapú generátorok
  • A kriptográfiai algoritmusok helyszíni frissítési képessége az esetleges sérülékenységek fedezésére.
  • A kriptográfiai funkciók alkalmazásának házirendeken alapuló ellenőrzése, elkerülve a nem biztonságos titkosítás használatát.
  • A titkosítási kulcsok és a tanúsítványok interoperabilitása több gyártó rendszerein keresztül.

A Barbara szoftverplatform számos olyan funkciót valósít meg, amely garantálja a kriptográfiai szolgáltatások minőségét. Alapértelmezés szerint LUKS-t használ, amely a LINUX merevlemez-titkosítás standardja. A LUKS nyitva van, tehát könnyen auditálható, és az ajánlott PKCS-en alapul.

Az adatátvitel oldalán a Barbara OS tartalmazza a szükséges könyvtárakat a kommunikációhoz az IoT szabványos alkalmazásprotokolljaival titkosított átvitel (TLS és DTLS) segítségével.

Ráadásul egy biztonságos, egymás közötti kommunikációra is szükség van a három meghatározott szinthez. Ennek a kommunikációs halomnak tartalmaznia kell a hitelesítés, a védett kapcsolatok, a végpont tűzfal és a biztonságos szállítási protokollok (TLS, DTLS, SSH…) támogatását. Ezeket a funkciókat a Barbara Software Platform tartalmazza, tehát az összes Barbara kommunikáció hitelesítve és titkosítva van.

Végpont konfigurálása és kezelése

És az operációs rendszer frissítésére méretezhető rendszernek, az alkalmazásoknak és / vagy az eszköz konfigurációjának meg kell felelnie a továbbfejlesztett és kritikus szinteknek, figyelembe véve, hogy szükség lehet az ilyen frissítések több mint millió végpont egyidejű végrehajtására. Természetesen mindezeket a műveleteket biztonságos környezetben kell elvégezni, beleértve a frissítést kiszolgáló entitás és a fogadó végpont közötti tanúsítvány-alapú érvényesítést.

Ebben a tekintetben a Barbara szoftverplatform magában foglalja a Barbara panelt. A Barbara Panel a szerveroldali megoldás az IoT központi telepítésének összes végpontjának kezelésére. Egyszerű és központosított konzolt biztosít az OTA (Over the Air) frissítéskezeléshez, eszközfigyeléshez és konfigurációkezeléshez. Mindezeket a szolgáltatásokat az osztály legjobb szintű biztonsági környezetében kínáljuk.

Folyamatos monitorozás

A végpont valós idejű figyelése a kritikus biztonsági szint követelménye, a IIC szerint. Ez lehetővé tenné a felhasználó számára, hogy ellenőrizze és megakadályozza a konfiguráció jogosulatlan változásait, és az alkalmazás szintjén ellenőrzést gyakoroljon az illetéktelen tevékenységek észlelésére és megakadályozására, mivel a rendszert veszélyeztető bizonytalan titkosítások használata

A Barbara Panel tartalmaz egy riasztási rendszert, amely lehetővé tenné a felhasználó számára, hogy előre meghatározott biztonsági riasztásokat kapjon, meghatározza saját riasztásait, és továbbítsa azokat a végpontokhoz.

Irányelvek és tevékenységek irányítópultja

A kritikus szintnek való megfeleléshez szükséges a végpontok távolról történő kezelése. A rendszergazdának képesnek kell lennie az irányelvek tolására és végrehajtására oly módon, hogy garantálva legyen a házirendek megfelelő eloszlása ​​a hálózaton keresztül, ezáltal hatékony biztonsági keretként működve.

A Barbara Panel lehetővé teszi a telepítési menedzsereknek a végpont tevékenységeinek nyomon követését, valamint a megszerzett információk alapján a biztonsági házirendek meghatározását és bevezetését. Például az új házirendek új szabályokat telepíthetnek a fent említett tűzfalen, ha gyanús kommunikációs mintákat észlelnek.

Rendszerinformáció és eseménykezelés

Az előző bekezdéssel összekapcsolva az eseménynaplók rögzítésének, valamint a naplókból származó információk alapján a házirendek meghatározásának és terjesztésének képessége szintén kritikus követelmény. Ajánlott, hogy ezeket a kezelési műveleteket adatmodellek vagy bővíthető formátumok, például REST API vagy JSON felhasználásával végezzék el.

A Barbara Software Platform naplózási rendszer nagy mennyiségű információt szolgáltat a rendszergazdáknak a biztonsági politikák előállításához.

Következtetés

A Barbara IoT hatalmas erőfeszítéseket tesz egy biztonságos termék létrehozása érdekében. Olyan termék, amelyet az ipari biztonság szempontjából a legigényesebb helyzetekben lehet használni. Hasonlóan az IIC-hez, úgy gondoljuk, hogy az ilyen típusú kezdeményezések elősegíthetik az egész ipari ökoszisztémát azáltal, hogy elősegítik a bizalmat és az ökoszisztéma összes szereplőjét képessé teszik.

Irodalom:

  • http://www.iiconsortium.org/
  • IIC végpontbiztonsági bevált gyakorlatok; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Mit kell a felhasználóknak tudniuk a LUKS, Simone Bossi és Andrea Visconti alapú teljes lemez titkosításról; Kriptográfia és kódoló laboratórium (CLUB), Számítástechnikai Tanszék, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Ezt a bejegyzést eredetileg a barbaraiot.com címen tették közzé 2018. június 6-án. Ha tetszik és szeretne hasonló tartalmat kapni, iratkozzon fel hírlevelünkre