IIC Endpoint Security Best Practices

Съвсем наскоро Консорциумът за индустриални Интернет пусна интересна статия с техните препоръчителни най-добри практики за сигурност за крайната точка.

Barbara IoT винаги се вълнува от този вид инициативи, тъй като ние силно вярваме, че има много работа за сигурност в IoT и устройството е може би най-слабата връзка в момента във веригата на IoT стойност. И както знаем, веригата е толкова силна, колкото и най-слабото звено, така че осигуряването на устройства би било задължително (ако вече не е).

Тази статия преминава през основите на препоръките на IIC и ги съпоставя със софтуерната платформа Barbara, сигурно решение за жизнения цикъл на устройствата на IoT. Следващата таблица обобщава матрицата за съответствие:

Но нека вникнем в подробностите ...

Нива на сигурност:

IIC дефинира три нива на сигурност, ниво на защита на основните (SLB), повишено ниво на защита (SLE) и критично ниво на защита (SLC), съответстващо на нива на сигурност 2, 3 и 4, както са дефинирани в IEC 62443 3–3. Базовото ниво предпазва от „умишлено нарушение с използване на прости средства с ниски ресурси“. Подобреното ниво защитава нашата система от „сложни средства с умерени ресурси“. Критично ниво стъпва, осигурявайки защита на „сложни средства с разширени ресурси“. В зависимост от приложението и обстоятелствата, трябва да защитите вашата крайна точка със съответното ниво на сигурност.

Въз основа на това ниво на сигурност, IIC предлага три различни архитектури, които трябва да се основават на отворени стандарти и трябва да са оперативно съвместими между много доставчици и крайни точки на много платформа, за да се считат за безопасни.

IIC предлага архитектури

Нека да разгледаме по-задълбочено всеки един от тези компоненти, като ги опишем по-подробно и открием как Barbara Software Platform съответства на указанията на IIC.

Root of Trust:

Root of Trust (RoT of Trust) представлява основата за всяка сигурност на крайната точка и предоставя функции като идентичност на крайната точка и удостоверяване на идентичността и целостта на софтуера и хардуера. Както можете да си представите, крайната точка ще бъде толкова силна, колкото Root of Trust, така че сигурното прилагане на Root of Trust е задължително.

По-конкретно, IIC твърди, че за повишени и критични нива на сигурност, Root of Trust трябва да се прилага въз основа на хардуер. За да се съобразим с препоръките на IIC, може да ни е необходим специфичен хардуерен чип за сигурност (или подобен) с устойчивост на неправомерни действия.

Що се отнася до Root of Trust, софтуерната платформа Barbara обединява всички функции за сигурност, за да може Root of Trust. Нашият софтуерен стек използва частна PKI (инфраструктура за публични ключове, базирана на криптографските стандарти за публичен ключ) и осигурява съответните куки, за да позволи лесно интегриране с модули на надеждна платформа по избор на клиента.

Идентичност на крайната точка:

Идентичността на крайната точка е основен компонент за изграждане на повечето функции на защитата. Според препоръките на IIC, поддръжката на PKI (Public Key Infrastructure) е задължителна за покриване на основни, подобрени и критични нива. Препоръчва се също така да се прилага отворен стандартен протокол за управление на сертификати за издаване и управление на сертификати от вътрешен или външен CA (сертифициращ орган).

Както беше коментирано преди, софтуерната платформа на Barbara включва собствен PKI, базиран на PKCS (Freeipa, www.freeipa.org/). FreeIPA е интегрирано решение за идентичност и удостоверяване, което предоставя централизирана идентификация, упълномощаване и информация за акаунта. По искане на IIC, FreeIPA е изграден на базата на добре известни компоненти с отворен код и стандартни протоколи.

Сигурна обувка:

Надеждната система за сигурно зареждане, криптографски защитаваща захранването на крайната точка, отново е изискване за базови, подобрени и критични нива. Според най-добрите практики на IIC, това може да бъде приложено криптографски хешове, базирани на PKCS (Стандарти за криптография с публичен ключ). По този начин можем да сме сигурни, че софтуерът без подходящите клавиши ще може да зарежда устройството. Софтуерната платформа Barbara може да бъде пренесена на хардуерни табла, поддържащи сигурно зареждане в рамките на разумни усилия.

Криптографски услуги и сигурни комуникации:

Използването на криптография по време на транспортиране на данни (в движение), за съхранение на данни (в покой) и приложения (в употреба) е ясно изискване за гореспоменатите три нива на сигурност (Basic, Enhanced, Critical). Характеристиките, необходими за осигуряване на такава защита са:

  • Криптографски алгоритми, базирани на стандарти, утвърдени от NIST / FIPS.
  • Асиметрични и симетрични шифрови пакети, хеширащи функции и произволно число. генератори достатъчно силни и базирани на PKCS (Стандарти за криптография на публичен ключ)
  • Възможност за актуализиране на полето на криптографските алгоритми, за да могат да покрият възможните уязвимости.
  • Контрол, основан на политиката, за използване на криптографски функции на приложения, като се избягва използването на незащитена криптография.
  • Оперативна съвместимост на крипто ключовете и сертификатите в многопроизводителни системи.

Софтуерната платформа Barbara реализира няколко функции, които гарантират качеството на криптографските услуги. Той използва LUKS по подразбиране, което е стандартът за криптиране на твърд диск LINUX. LUKS е отворен, така че е лесно одитируем и се основава на PKCS, както се препоръчва.

От страна на пренос на данни, Barbara OS съдържа необходимите библиотеки за комуникация, използвайки стандартни протоколи за приложения на IoT, при криптиран транспорт (TLS и DTLS).

На всичкото отгоре за трите дефинирани нива е необходим защитен стек от комуникации от край до край. Този стек за комуникация трябва да включва поддръжка за удостоверяване, защитено свързване, защитна стена на крайната точка и включване на сигурни транспортни протоколи (TLS, DTLS, SSH…). Всички тези функции са включени в софтуерната платформа на Barbara, така че ВСИЧКИ съобщения на Barbara са автентифицирани и криптирани.

Конфигурация и управление на крайната точка

И мащабируемата система за актуализиране на операционната система, приложенията и / или конфигурацията на устройството е необходима, за да отговаря на подобрените и критичните нива, като се има предвид, че може да е необходимо да се извършват такива актуализации над милион крайни точки едновременно. Разбира се, всички тези операции трябва да се извършват в защитена среда, включително валидиране на сертификат между субекта, обслужващ актуализацията, и крайната точка, която го получава.

В тази връзка, софтуерната платформа на Barbara включва панела Barbara. Barbara Panel е сървърно решение за управление на всички крайни точки на внедряване в IoT. Той осигурява проста и централизирана конзола за управление на актуализацията на OTA (Over The Air), наблюдение на устройството и управление на конфигурацията. Всички тези функции се предлагат в най-добрите условия за сигурност в класа.

Непрекъснат мониторинг

Мониторингът на крайната точка в реално време е изискване за критично ниво на сигурност, според IIC. Това ще позволи на потребителя да контролира и предотвратява неразрешени промени в конфигурацията и да има контрол на ниво приложение, за да открие и предотврати неразрешени дейности като използване на несигурни шифри, които могат да компрометират системата

Barbara Panel включва и система за предупреждение, която би позволила на потребителя да получава предварително зададени сигнали за сигурност и да дефинира собствените си сигнали и да ги избута до крайните точки.

Табло за политика и дейност

За да бъдете съвместими с критичното ниво, се изисква способността да се управляват дистанционно крайните точки. Системният администратор трябва да може да натиска и изпълнява политики по начин, който гарантира правилното разпределение на политиките в цялата мрежа, действайки по този начин като ефективна рамка за сигурност.

Barbara Panel позволява на мениджърите на разполагане да наблюдават дейностите по крайните точки и да определят и натискат политики за сигурност въз основа на получената информация. Като пример, новите политики могат да разгърнат нови правила в горепосочената защитна стена, когато се открият подозрителни комуникационни модели.

Системна информация и управление на събития

Свързан с предишния параграф, възможността за заснемане на дневници на събития и за дефиниране и разпространение на политики въз основа на информацията от регистрационните файлове също е изискване за критично ниво. Препоръчва се тези операции за управление да се извършват с помощта на модели данни или разширяеми формати като REST API или JSON.

Системата за регистриране на софтуерна платформа Barbara осигурява на системните администратори голямо количество информация, която би била използвана за генериране на политики за сигурност.

заключение

Barbara IoT полага огромни усилия за изграждането на сигурен продукт. Продукт, който може да се използва в най-взискателните сценарии по отношение на индустриалната сигурност. Подобно на IIC, ние смятаме, че този вид инициативи могат да помогнат на цялата екосистема на индустрията чрез насърчаване на доверието и овластяване на всички участници в екосистемата.

Препратки:

  • http://www.iiconsortium.org/
  • IIC Best Practices Best Practices; IIC: WHT: IN17: V1.0: PB: 20180312 Стив Хана, Шринивас Кумар, Дийн Вебер.
  • https://github.com/guardianproject/luks/wiki
  • Какво потребителите трябва да знаят за пълното криптиране на дисковете, базирано на LUKS, Simone Bossi и Andrea Visconti; Лаборатория за криптография и кодиране (CLUB), Катедра по компютърни науки, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Тази публикация е публикувана първоначално на barbaraiot.com на 6 юни 2018 г. Ако ви харесва и искате да получавате подобно съдържание, абонирайте се за нашия бюлетин