Mengamankan IoT industri:panduan untuk memilih arsitektur Anda
Saat organisasi semakin menghubungkan jaringan kontrol industri ke lingkungan TI, aplikasi cloud, dan pekerja jarak jauh, celah udara yang diciptakan oleh zona demiliterisasi (DMZ) terkikis, dan cara baru untuk mengamankan jaringan teknologi operasional (OT) harus diterapkan.
Solusi keamanan harus mempertimbangkan kebutuhan TI dan OT – memberikan keamanan yang kuat tanpa meningkatkan biaya operasional atau kompleksitas jaringan. Untuk memilih solusi terbaik bagi organisasi Anda, Anda perlu memahami implikasi dari berbagai arsitektur keamanan yang tersedia untuk Anda. Dalam postingan ini, kami menguraikan panduan untuk memilih arsitektur yang tepat untuk mengamankan IoT industri.
Memulai
Langkah pertama untuk mengamankan jaringan IoT industri adalah untuk mendapatkan visibilitas. Anda perlu memahami perangkat apa yang ada di jaringan, apa yang mereka komunikasikan, dan ke mana arah komunikasi tersebut. Namun, jaringan kontrol industri tradisional tidak dibuat untuk memberikan wawasan ini.
Untungnya, teknologi untuk mencapai visibilitas jaringan tersedia saat ini. Inspeksi paket mendalam (DPI) mendekode semua aliran komunikasi dan mengekstrak konten pesan dan header paket, memberikan visibilitas untuk memahami perangkat apa yang Anda perlukan untuk mengamankan dan apa yang mereka komunikasikan. Hal ini tidak hanya memungkinkan Anda membuat kebijakan keamanan yang tepat, tetapi juga memberi Anda kemampuan untuk mendeteksi perilaku abnormal seperti perintah tidak sah ke mesin yang dapat menimbulkan efek buruk.
Memilih arsitektur Anda
Saat mengumpulkan paket jaringan untuk melakukan DPI, penyedia solusi keamanan biasanya menggunakan salah satu dari dua arsitektur:
- Konfigurasikan sakelar jaringan untuk mengirim lalu lintas ke server pusat yang menjalankan DPI
- Terapkan peralatan keamanan khusus di setiap sakelar jaringan
Sementara kedua pendekatan dapat memberikan visibilitas jaringan, mereka juga menciptakan tantangan baru. Mengonfigurasi sakelar jaringan untuk mengirim lalu lintas ke server pusat memerlukan duplikasi aliran jaringan, yang bisa rumit dan mahal. Kemacetan jaringan tambahan juga dapat membuat latensi jaringan — sering kali merupakan kompromi yang tidak dapat diterima.
Menyebarkan alat keamanan mengatasi masalah yang terkait dengan duplikasi lalu lintas jaringan. Alat mengumpulkan dan menganalisis lalu lintas jaringan di sakelar dan hanya mengirimkan metadata ke server untuk analisis tambahan. Namun, visibilitas penuh memerlukan instalasi, manajemen, dan pemeliharaan perangkat keras khusus untuk setiap sakelar di jaringan. Ini dapat dengan cepat menyebabkan tantangan biaya dan skalabilitas. Dan agar efektif, keamanan membutuhkan visibilitas penuh. Bahkan membiarkan satu tombol "dalam kegelapan" menimbulkan risiko.
Pendekatan alternatif
Ada cara yang lebih baik untuk mencapai visibilitas jaringan penuh dan pendekatan arsitektur ketiga:terapkan sakelar tingkat industri dengan kemampuan DPI asli. Ini menghilangkan kebutuhan untuk menduplikasi aliran jaringan dan menggunakan peralatan tambahan. Mendapatkan visibilitas dan fungsionalitas keamanan hanyalah masalah mengaktifkan fitur di dalam sakelar. Biaya, lalu lintas, dan overhead operasional semuanya diminimalkan.
Menanamkan DPI di sakelar jaringan memberi manfaat unik TI dan PL. TI dapat memanfaatkan keahlian yang ada untuk mengamankan jaringan OT tanpa harus mengelola perangkat keras tambahan atau lalu lintas jaringan. OT dapat memperoleh visibilitas ke dalam operasi yang belum pernah ada sebelumnya karena seluruh lalu lintas jaringan industri sekarang dapat dianalisis, memberikan wawasan analitis yang berharga ke dalam sistem kontrol.
Saat Anda mengevaluasi solusi keamanan OT, perhatikan implikasi arsitekturalnya. Untuk menyederhanakan penerapan dan membuatnya skalabel, opsi terbaik adalah menyematkan kemampuan keamanan ke dalam sakelar. Ini memerlukan peralatan jaringan yang memiliki kemampuan komputasi industri – cari sakelar berkemampuan DPI yang dirancang untuk IoT industri.
Ini adalah pendekatan yang kami adopsi dengan Cisco Cyber Vision. Ini memanfaatkan arsitektur komputasi tepi unik yang memungkinkan komponen pemantauan keamanan berjalan di dalam peralatan jaringan industri kami, sehingga memberikan visibilitas, wawasan operasional, dan deteksi ancaman holistik untuk lingkungan OT.
Manfaat Cisco Cyber Vision tidak terbatas pada organisasi dengan jaringan Cisco – sensor juga tersedia dalam alat Cisco IC3000 yang menganalisis lalu lintas di edge dengan menghubungkan ke perangkat jaringan lama Anda. Ini memberikan fleksibilitas penerapan maksimum untuk memenuhi kebutuhan Anda dengan jaringan yang ada, sekaligus memberi Anda waktu untuk mengganti sakelar lama dengan peralatan jaringan berkemampuan DPI yang mampu melihat semua yang terpasang padanya.
Jika Anda ingin mempelajari lebih lanjut, lihat buku putih, “Pendekatan Arsitektur Tepi untuk Mengamankan Jaringan IoT Industri”, di mana kami mengeksplorasi lebih lanjut tiga arsitektur keamanan yang diperkenalkan di sini dan bagaimana menyematkan DPI di sakelar jaringan memenuhi kebutuhan baik TI maupun PL.
