Hava Boşluklu Ortamlar için OT Patch Management : Eksiksiz Çevrimdışı Yama Uygulama İş Akışı

• OT yama yönetimi, zaman çizelgesi daha uzun olan bir BT yama yönetimi değildir. Güvenlik bağımlılıkları, sertifikalı tedarikçi yapılandırmaları, uzun varlık yaşam döngüleri ve plansız yeniden başlatmalara karşı neredeyse sıfır tolerans, sürecin neredeyse her adımını değiştirir.
• Hava boşluklu ağlar, otomatik yama kapsamını yitirir; ancak buna olan ihtiyaçları ortadan kalkmaz. Ana sunucuya bağlanamayan uç cihazlar , çevrimdışı bir depo ve şirket içi yönetim aracılığıyla izole edilmiş bölge içinde bu görünürlük yeniden sağlanmadıkça, bulut tabanlı tarama ve güncelleme hizmetlerinden kaybolur.
• OT yama önceliği asla yalnızca CVSS ciddiyet derecesine göre belirlenmemelidir. Saldırı vektörünün olgunluk düzeyi, ağa erişilebilirlik, varlığın kritikliği ve operasyonel güvenlik sonuçları da puanla birlikte karar sürecinde dikkate alınmalıdır; aksi takdirde, benzer derecelendirmelere sahip iki güvenlik açığına yanlış bir yanıt verilebilir.
• Çıkarılabilir ortamlar bir kontrol noktasıdır, bir kolaylık değildir. Her yama paketi ve bunu taşıyan aygıt, kaynak doğrulaması, imza ve hash kontrolleri ile kötü amaçlı yazılım taraması sonucunda aktarım için uygun olduğu teyit edilene kadar güvenilmez olarak değerlendirilmelidir.
• MetaDefender Endpoint™, tek bir uç nokta ajanı aracılığıyla güvenlik açığı ve yama yönetimi, çıkarılabilir ortam koruması ve BadUSB savunması sağlar; bu süreçler , My adresindeki OPSWAT™ Central Managementüzerinden merkezi olarak izlenebilir; ancak yönetişim, testler ve tedarikçi onayı, kuruluşun sorumluluğunda kalır.

İnternete erişemeyen uç cihazlar, bulut tabanlı güvenlik açığı taraması, güncelleme depoları ve ilke senkronizasyonu kapsamı dışında kalır; bu da, bu kapsama yerel olarak yeniden sağlanmadıkça, bu cihazların uyumluluk raporlamasından da kaybolacağı anlamına gelir. Manuel, elektronik tablo tabanlı yama uygulaması bir süreliğine alternatif olabilir, ancak büyük ölçekte işlevini yitirir: gayri resmi USB aktarımları belgelenmez, dağıtım sonuçları kaydedilmez ve her denetim bir yeniden yapılandırma çalışmasına dönüşür.

Çevrimdışı bir yama deposu, şirket içinde merkezi yönetim ve kontrollü bir aktarım yolu, hava boşluğunu zayıflatacak bir canlı bağlantı eklemeden, bağlantılı bir ortamda bulut otomasyonunun sağladığı kapsamı yeniden oluşturur.

• Edinme ve ilk doğrulama işlemleri, üretim ortamının dışında, satıcı güncellemelerini almak ve ilk aşamadaki imza ve hash kontrollerini gerçekleştirmek için internet erişimi bulunan bir bölgede gerçekleştirilir.
• Çevrimdışı yama deposu, onaylanmış işletim sistemi ve üçüncü taraf uygulama güncellemelerini bir araya getirir; sürüm kontrolü, eski sürümlerin geçersiz kılınmasının takibi ve senkronizasyon kayıtları, izole edilmiş ağ içinde tutulur.
• Yerinde merkezi yönetim, bulut hizmetlerine, harici kimlik sağlayıcılara veya “call-home” lisanslamasına bağımlı olmaksızın ilkeleri dağıtır, dağıtımları planlar, uç nokta durum bilgilerini toplar ve raporlar oluşturur.
• Politikaların nihai olarak uygulanması ve devreye alınması yerel OT kontrolü altında kalır; bu sayede, güvenliği ihlal edilmiş veya gecikmeli bir harici kaynak hiçbir zaman bir değişikliği doğrudan üretim ortamına aktaramaz.

Tekrarlanabilir bir çevrimdışı yama uygulama iş akışı altı aşamaya ayrılır; her aşama, sürecin baştan sona denetlenebilir olmasını sağlamak üzere tanımlanmış bir karar, çıktı ve onay kaydı oluşturur.

1. Envanter çıkarın ve sorunları tespit edin. Donanım ve yazılım sürümleri, ağ bölgesi, güvenlik işlevi ve destek durumunu içeren bir varlık envanteri tutun ; ardından bu envanteri, satıcıların uyarıları ve çevrimdışı güvenlik açığı taramalarıyla karşılaştırarak ilgili güncellemeleri belirleyin.

2. Risklere öncelik verin. Her bir yama adayını, yalnızca ciddiyet puanına göre değil, istismar edilebilirlik, maruz kalma düzeyi, varlığın kritikliği ve güvenlik sonuçları açısından da değerlendirin ve iş akışına girmeden önce donanım yazılımı, işletim sistemi ve satıcı desteği ile uyumluluğunu doğrulayın.

3. Paketi doğrulayın ve onaylayın. Resmi değişiklik onayı öncesinde kaynağın gerçekliğini, dijital imzaları ve kriptografik hash değerlerini doğrulayın , izole edilmiş bir test ortamında kötü amaçlı yazılım taraması yapın ve temsili testler gerçekleştirin.

4. Aktarım ve hazırlık. Onaylanan paketi kontrollü bir şekilde çıkarılabilir depolama ortamı aracılığıyla aktarın , aktarımdan sonra yeniden doğrulayın ve dağıtım aralığı öncesinde yerel olarak hazırlayın.

5. Aşamalı olarak dağıtın. Yamayı, belirlenmiş uç nokta hedeflemesi, desteklenen durumlarda sessiz kurulum ayarları, yeniden başlatma denetimleri ve durdurma koşulları ile birlikte, onaylanmış bir bakım aralığı sırasında devreye alın .

6. Doğrulama, geri alma ve raporlama. Kurulum durumunu, hizmet durumunu ve güvenlik işlevlerinin çalışmasını doğrulayın ; kabul kriterleri karşılanmadığında test edilmiş bir geri alma işlemini başlatın ve denetim incelemesi için sonucu, istisnaları ve kanıtları kaydedin.

Siber olayların gerçekleşme olasılığını operasyonel sonuçlarla karşılaştıran bir öncelik matrisi, ekiplere her yüksek ciddiyetli bulguyu aynı şekilde ele almak yerine kararları tutarlı bir şekilde yönlendirmeleri için bir yol sunar.

Bir yamanın uygulanmak yerine ertelenmesi durumunda, bu istisna için sorumlu bir kişi, teknik bir gerekçe, bir son geçerlilik tarihi ve telafi edici kontroller belirlenmesi gerekir; bunlar, istismar faaliyetlerinde veya tedarikçi kılavuzlarında bir değişiklik olduğunda yeniden gözden geçirilmelidir. Kalıcı ve gözden geçirilmemiş istisnalar, denetçilerin ilk olarak tespit ettiği güvenlik açıklarıdır.

Bir yama paketi ve bunu barındıran çıkarılabilir ortam, ilke tarafından doğrulanana kadar güvenilmez olarak değerlendirilmelidir. Öncelikli olarak incelemeye dayalı bir izleme zinciri, bir dosyanın OT ağı içinde erişilebilir hale gelmeden önce kaynağını, bütünlüğünü ve içerik güvenliğini teyit eder.

• Kaynak doğrulama. Güncellemeleri yalnızca satıcı portallarından veya doğrulanmış dağıtım kanallarından alın ve kaynağı, edinim zamanını, paket sürümünü ve güncellemeyi indiren kişinin kimliğini kaydedin.
• İmza ve hash doğrulaması. Aktarımdan önce dijital imzaları, sertifikanın geçerliliğini ve satıcı tarafından yayınlanan kriptografik hash değerlerini kontrol edin . Geçerli bir imza, orijinalliği destekler; ancak tek başına paketin belirli bir OT ortamı için güvenli olduğunu kanıtlamaz.
• Kötü amaçlı yazılım denetimi. İç içe geçmiş arşivler, yükleyiciler, komut dosyaları ve sürücüler dahil olmak üzere tüm paketi, izole edilmiş bir hazırlık ortamında tarayın ; şüpheli sonuçlar için önceden tanımlanmış karantina ve reddetme eylemleri uygulayın.
• Çıkarılabilir ortamlar ve BadUSB koruması. Aygıt yetkilendirme ve erişim öncesi tarama zorunluluğu getirilerek , klavye kılığına giren BadUSB saldırıları da dahil olmak üzere virüs bulaşmış sürücüler ve sahte aygıtların, bir OT uç noktasında herhangi bir işlem gerçekleştirmeden önce engellenmesi sağlanır.
• Zincirleme sorumluluk kayıtları. Medya kimliğini, sorumluyu, hash değerlerini, inceleme sonuçlarını, onayları, aktarım zamanını ve hedefini kaydedin ; böylece bir denetim sırasında her aktarım yeniden canlandırılabilsin.

Doğrulanmış bir yamanın devreye alınması yine de bir operasyonel değişikliktir ve başarılı bir uygulama, bir güvenlik açığını kapatmanın yanı sıra süreç kontrolünü, güvenliği ve kurtarılabilirliği de aynı ölçüde korumalıdır.

• Temsili bir test ortamı oluşturun. Mümkün olduğu ölçüde kritik donanımları, işletim sistemi sürümlerini, uygulamaları ve iletişim kanallarını taklit edin ; test ve üretim ortamları arasında kaçınılmaz olarak farklılık gösteren noktaları belgelendirin.
• Dağıtımdan önce uyumluluğu doğrulayın. Ekipman üreticisinin kılavuzlarını, uygulama sertifikalarını ve sürücü bağımlılıklarını inceleyin ; bir yama, üreticinin desteklediği yapılandırmanın dışında kaldığında ek onay alın.
• Uygulamayı aşamalı olarak gerçekleştirin. Sonuçları değerlendirmek üzere, etkisinin daha az olduğu ve temsil niteliği taşıyan varlıklarla başlayın ; tüm ortamı tek seferde güncellemek yerine, belirlenen duraklama kriterleri ve acil durdurma yetkisi çerçevesinde kademeli olarak genişletin.
• Kurulum ve yeniden başlatma işlemlerini kontrol edin. Desteklenen durumlarda dikkat dağınıklığına yol açmayan kurulum yöntemini kullanın ve yeniden başlatma işlemlerini, tedarikçinin talimatlarına, yedeklilik tasarımına ve tesisin onayına göre engelleyin veya koordine edin.
• Çalışır durumda olduğunu doğrulayın, ardından döngüyü tamamlayın. Hizmetin başlatılmasını, kontrol mantığını, alarmları ve güvenlik işlevlerini ölçülebilir kabul kriterlerine göre kontrol edin ve dağıtım başlamadan önce, yapılandırma yedekleri ve kurtarma ortamlarını içeren, test edilmiş bir geri alma planını hazır bulundurun.

Eski işletim sistemi sürümlerine ve özel mühendislik uygulamalarına sahip uzun ömürlü uç cihazlar, genellikle yaygın olarak kullanılan BT yama araçlarının kapsamı dışında kalır; bu nedenle, programdan tamamen dışlanmak yerine ayrı bir yol izlenmeleri gerekir.

• Eski işletim sistemine sahip uç noktalarda, herhangi bir güncelleme seçilmeden önce sürüm, mimari ve üretici tarafından onaylanmış temel yapılandırmaya ilişkin kesin bir envanterin hazırlanması gerekir; bu sürece çevrimdışı paket desteği ve geri alma özelliği de dahil edilmelidir.
• Tarayıcılar, çalışma ortamları ve uzaktan erişim araçları gibi üçüncü taraf uygulamalar genellikle işletim sisteminin yerel güncelleme kanalları dışında kalır ve bu uygulamalar için ayrı bir sürüm algılama, bağımlılık çözümleme ve çevrimdışı yükleyici desteği gerekir.
• Yama uygulanamayan sistemler için de dokümantasyon gereklidir: yama uygulamanın neden mümkün olmadığı veya güvenli olmadığı, sorumlu bir sistem sahibi, gözden geçirme tarihi ve sistemin değiştirilmesi ya da başka bir sisteme geçiş için bir yol haritası.
• Ağ segmentasyonu, uygulama izin listesi ve çıkarılabilir ortam kısıtlamaları gibi telafi edici önlemler, yama uygulanamayan varlıkların maruz kalma riskini azaltır; ancak bunlar, altta yatan güvenlik açığını ortadan kaldırmaz ve tehdit koşulları değiştikçe periyodik olarak gözden geçirilmeleri gerekir.

Merkezi kanıt toplama süreci, uyumluluk raporlamasını, her denetim planlandığında gerçekleştirilen manuel bir yeniden yapılandırma çalışması olmaktan çıkarmak yerine, yama uygulama iş akışının rutin bir çıktısı haline getirir.

• Saklanması gereken kayıtlar: varlık kapsamı, güvenlik açığı durumu, onaylar, dosya hash değerleri, imza sonuçları, denetim sonuçları, ortam etkinlikleri, dağıtım sonuçları, istisnalar ve geri alma olayları; bunların tümü, kaynaklanabilir zaman damgalarıyla birlikte.
• Kapsam göstergeleri: Envanter kapsamını, yama dağıtım oranını, gecikmiş düzeltme işlemlerini ve istisnaları, tesis ve varlık kritikliğine göre segmentlere ayırarak takip edin ; böylece toplam yüzdeler, ciddi sonuçlara yol açabilecek eksiklikleri gizlemesin.
• Risk azaltma göstergeleri: Yama uygulama süresi ve maruz kalma süresi rakamlarını, geri alma oranı ve planlanmamış kesinti süreleriyle karşılaştırın ; böylece, istikrarsızlığa yol açtığı durumlarda daha hızlı yama uygulaması hiçbir zaman bir başarı olarak değerlendirilmesin.
• Çerçeve uyumu: Envanter, risk değerlendirmesi, değişiklik kontrolü ve izleme uygulamalarını, IEC 62443 ve OT güvenliği konusunda güncel kılavuz olan NIST SP 800-82 Revizyon 3’teki ilgili hedeflerle eşleştirin . Çerçeve uyumu, denetim sürecini destekler; ancak tek başına sertifikasyonun yerini almaz veya uyumluluğu garanti etmez.

Herhangi bir belirli ürün gündeme gelmeden önce, değerlendirme süreci satıcıdan bağımsız gereksinimlere dayandırılmalıdır: gerçek çevrimdışı çalışma, şirket içi merkezi yönetim, geniş uç nokta ve uygulama kapsamı, harici ortam koruması ve buluta bağımlılık olmaksızın denetime hazır kanıtlar sunan merkezi raporlama.

• Çevrimdışı çalışma özelliği, varsayılmamış, kanıtlanmış. İnternete bağlı bir ürünün çevrimdışı ortamda da aynı şekilde çalışacağını kabul etmek yerine, hava boşluklu bir ortamda bir gösterim talep edin .
• Endpoint ve uygulama kapsamı. Kuruluşun kurulu Windows, macOS, Linux ve eski sistemlerine yönelik fiili desteği, çevrimdışı paket biçimleri ve geri alma görünürlüğü dahil olmak üzere doğrulayın .
• Harici ortam koruması. Platformun, aktarım yolunu ayrı ve bağlantısız bir araca bırakmak yerine, cihazları yetkilendirdiğini, dosya erişiminden önce tarama yaptığını ve BadUSB saldırılarına karşı koruma sağladığını doğrulayın .
• Merkezi raporlama ve yönetişim. Yalnızca başarılı işlemlerle sınırlı kalmayıp, reddedilen ortamlar ve başarısız kurulumları da içeren senaryolar karşısında rol tabanlı erişim, dağıtım durumu, istisna iş akışları ve kanıt aktarımını test edin .

MetaDefender Endpoint™, OPSWAT tarafından sunulan, uç cihazları harici ortamlardan kaynaklanan tehditlere karşı korumak, cihaz uyumluluğunu izlemek, güvenlik açıklarını tespit etmek ve hem internete bağlı hem de izole ortamlarda yama uygulamasını mümkün kılan gelişmiş bir uç cihaz koruma çözümüdür. 980’den fazla uygulama ve işletim sistemindeki güvenlik açıklarını tespit eder ve 580’den fazla üçüncü taraf uygulama ile işletim sistemi güncellemesi için otomatik yama uygulamasını sağlar; bu işlem, bakım süresi boyunca operatör ekranlarının kesintiye uğramasını önleyen, dikkat dağıtmayan bir yama uygulaması ile gerçekleştirilir.

Çıkarılabilir ortam koruması, Metascan™ Multiscanning ve Deep CDR™ Teknolojisi: MetaDefender Endpoint üzerinde çalışır. Bu teknoloji, her dosya taranıp temiz olduğu teyit edilene kadar USB sürücülerine erişimi otomatik olarak algılar ve engeller; ayrıca, dosyayı uç cihazda önceden çalıştırmaya gerek kalmadan BadUSB, rubber ducky ve diğer cihaz taklit saldırılarına karşı koruma sağlar.

Merkezi görünürlük, şirket içinde veya bulutta kullanılabilen My OPSWAT™ Central Management çözümünden sağlanır. Bu çözüm, internet erişimine bağlı kalmaksızın politikaları dağıtır, dağıtım durumunu toplar ve tesisler arasında raporlar oluşturur; böylece güvenlik ekibi, tek bir yerden birden fazla izole OT konumunda aynı çevrimdışı iş akışını yürütebilir.