مقارنة بين البوليفيين الصناعي: ISIM مقابل. KICS

أظهرت الهجمات المثيرة على منتج الألمنيوم النرويجي نورسك هيدرو ونظام الطاقة الفنزويلي مرة أخرى أن الشركات الصناعية لا تزال عرضة للقراصنة. قررنا معرفة أي OWLs المتخصصة - أنظمة كشف التسلل - تساعد على مكافحة هذه الجرائم الإلكترونية وتكون قادرة على "رؤية" المتسللين في شرائح شبكة ICS. بالاختيار من بين خمسة حلول ، استقرنا على حلقتين - KICS للشبكات من Kaspersky Lab و ISIM من Positive Technologies - وقمنا بمقارنتها وفقًا لمعايير 40. ما فعلناه ، يمكنك معرفة تحت خفض.

لماذا البوم للمؤسسات الصناعية

1. التهديدات الخارجية

   
   وفقًا لـ Alexei Petukhov ، رئيس Kaspersky Industrial CyberSecurity في الاتحاد الروسي ، "دخلت روسيا الدول العشرين الأولى من حيث النسبة المئوية لأجهزة الكمبيوتر ICS TP التي تمت مهاجمتها". لسوء الحظ ، ليس من المعتاد في روسيا نشر الكلمة حول الحوادث التي تحدث في موقع الإنتاج ، ولكن تجربتنا تشير إلى أن الموقف الذي واجهته شركة Norsk Hydro قد يتكرر في المؤسسات الصناعية المحلية.
   
   تحليل مفصل للهجوم على نورسك هيدرو قراءة هنا .
   
   هناك اعتقاد خاطئ شائع بأنه من خلال تقسيم الشبكات الصناعية والشركات واستبعاد الوصول إلى الإنترنت ، فإن الشركة تضمن لنفسها الأمان. لكن هذا ليس كذلك. الآن يتم التخطيط للهجمات وتنفيذها لفترة طويلة إلى حد ما - يقوم المهاجمون بالإعداد بعناية لهجوم والتفكير في سيناريو القرصنة بالتفصيل. علاوة على ذلك ، يمكن أن يكون دافع المهاجمين مختلفًا تمامًا. تحاول Ransomware و ransomware الوصول إلى أكبر عدد ممكن من الأجهزة ، تهدف وكالات الاستخبارات إلى إلحاق أكبر قدر من الضرر بالبنية التحتية ، إلخ. لكن أي هجوم له دورة خاصة به ، والتي تبدأ دائمًا بالذكاء. البوم قادر على اكتشاف مجرمي الإنترنت بالفعل في هذه المرحلة والإبلاغ عن التهديد ، وإيقاف أنشطة المهاجمين في المرحلة الأولى من الهجوم.
   
   ستستمر الهجمات أكثر ، وكان من الضروري الاستعداد لها بالأمس.

2. التهديدات الداخلية

   
   التهديدات الأكثر شيوعًا ليست خارجية بل داخلية. غير راضين عن المنصب أو الراتب ، يمكن للموظفين استخدام قدرات الشركات لأغراضهم الخاصة. يترك العمال المستبعدون إشارات مرجعية عن طريق بيع الوصول إلى شبكة Darknet أو عن طريق استغلال البنية التحتية لمصالحهم الشخصية. في الممارسة العملية ، واجهنا حالات عندما تم تثبيت محطات العمل برنامج للتحكم عن بعد في الكمبيوتر لإدارة التشغيل أو العمل من المنزل. في مثل هذه القصص ، تنشأ معضلة في كثير من الأحيان ، والتي تؤدي عادة إلى المواجهة بين "حراس الأمن" و "حراس المدارس": أيهما أكثر أهمية - سهولة الصيانة أو السلامة؟ في كثير من الأحيان في المؤسسات ، يمكنك رؤية محطات العمل دون أي حماية ممنوع للمسها ، لأن أي تأثير قد يؤدي إلى إيقاف العملية. ولكن بالنسبة للمتسلل (خارجي أو داخلي) ، سيكون هذا هو الهدف الرئيسي للهجوم. يجب ألا تعاني الشركة لأنك تثق في موظفيك وتترك مجالًا للتلاعب.

3. تشريع

   
   تقوم الدولة ببناء نظام GosSOPKA ، والذي ، كما هو مخطط له ، ينبغي ألا يقوم بإبلاغ FSB بجميع الحوادث المحددة في العمل فحسب ، بل يصبح أيضًا قاعدة بيانات كاملة بهجمات الكمبيوتر التي تحدث في روسيا. نحن الآن في بداية الطريق ، ومن الصعب تحديد متى ستصل هيئات الدولة إلى الهدف. ومع ذلك ، في عام 2017 ، صدر 187 " على أمن البنية التحتية للمعلومات الهامة في الاتحاد الروسي" ، تليها عدد من أوامر FSTEC ، والتي تحدد أيضا إجراءات تصنيف كائنات CII والتدابير لضمان سلامتها. بعد تعيين فئة ذات أهمية لكل كائن ، يجب على الشركة ضمان حمايتها. لذلك ، يخبرنا أمر FSTEC رقم 239 المؤرخ 25 ديسمبر 2017 بالتدابير التي يقوم بها الكيان (الهيئات الحكومية ، ومؤسسات الدولة ، والكيانات القانونية الروسية ، فضلاً عن رواد الأعمال الأفراد الذين يمتلكون IP أو ITS أو ACS عن طريق حق الملكية أو التأجير أو أي أساس قانوني آخر) ملزمة للتطبيق عند حماية الكائنات KII. بالنسبة لأصحاب أجسام الفئة 2 أو 1 ، يحدد المنظم بالترتيب المشار إليه شرط استخدام أداة كشف التسلل. نحن مقتنعون بأنه نظرًا لممارسة التقليل من الفئات ، فإن هذه الحلول ستكون مفيدة لجميع كائنات KII.
   
   متطلبات وسام FSTEC رقم 239 بتاريخ 25 ديسمبر 2017
   القسم السابع. - يتطلب منع الاختراق (COB) متطلب COB.1 "اكتشاف ومنع هجمات الكمبيوتر" لمرافق البنية التحتية للمعلومات الهامة للفئة 2 و 1.

وظيفة البومة

في رأينا ، يجب أن توفر الحلول الميزات التالية.

1. مراقبة الشبكة التكنولوجية مع القدرة على دعم البروتوكولات التكنولوجية للمصنعين الرئيسيين لأنظمة التحكم في العمليات.
2. الكشف التلقائي عن نوع الجهاز (AWP ، الخادم ، PLC).
3. القدرة على التحكم في العملية.
4. كشف التسلل في شبكة تكنولوجية.
5. نقل الأحداث المسجلة إلى أنظمة مراقبة خارجية (SIEM) مع إمكانية تحليلها.
6. بناء الرسوم البيانية لخريطة الشبكة التكنولوجية.
7. إنشاء وتحميل التقارير.
8. المساعدة في التحقيق في الحوادث.

كيف اخترنا حلول للمقارنة

عند اختيار حلول للبحوث ، فقد استرشدنا بثلاثة معايير رئيسية: وجود المنتج في السوق الروسية ، وتجربة المشروع الخاصة بنا وتوافق الحل مع منتجات البائعين الآخرين.

اليوم ، يتم تقديم 5 حلول على الأقل في السوق الروسية التي يمكن اعتبارها SOW في الشبكات الصناعية:

• KICS للشبكات من Kaspersky Lab ؛
  
• ISIM من التقنيات الإيجابية ؛
  
• في اسرع وقت ممكن من InfoWatch.
  
• Datapk من USSB ؛
  
• SCADAShiled بواسطة Cyberbit.
  

من بين المجموعة الكاملة ، اخترنا 3 حلول ، والتي هي الآن ، في رأينا ، الأكثر شعبية في السوق الروسية: KICS for Networks من Kaspersky Lab و ISIM من Positive Technologies و ASAP من InfoWatch.

أثناء المفاوضات ، قررت InfoWatch عدم المشاركة في المقارنة. يستعد الزملاء لإصدار نسخة جديدة من منتجاتهم وفي وقت التحليل المقارن لم يكونوا مستعدين لتقديمه إلينا للاختبار. سنكون سعداء لإضافة هذا الحل إلى الإصدار التالي من المقارنة.

بالنسبة للحلول المقدمة من Kaspersky Lab و Positive Technologies ، فقد زودتنا الشركتان بتوزيعات للدراسة المستقلة وأجابنا بسرعة على أسئلتنا أثناء عملية الاختبار. لصالح حلول KICS للشبكات وحلول ISIM ، لعبنا أيضًا دورًا في حقيقة أننا قمنا بالفعل بتنفيذها على حد سواء للاختبار وفي التشغيل التجاري. بالإضافة إلى ذلك ، يمكن دمج كلا المنتجين في حلول متكاملة أخرى. على سبيل المثال ، يعمل ISIM بشكل رائع مع Max Patrol SIEM ، وغالبًا ما يتم اختبار كلا المنتجين. يحتوي Kaspersky Lab على KICS for Nodes ، وهو حل متخصص (مكافحة الفيروسات) لحماية الخوادم ووحدات التحكم ومحطات العمل الموجودة على شبكة صناعية. في هذا الاستعراض ، لم نضع أنفسنا هدفًا لمقارنة كمال التكامل مع المنتجات الأخرى وقصرنا فقط على وظائف الحلول المحددة. ومع ذلك ، هذا عامل مهم عند اختيار نظام للتنفيذ.

كيف كانت المقارنة

للمقارنة النوعية ، حددنا المعايير وقسمناها إلى 5 مجموعات. كان الأساس هو الأسئلة الأكثر شيوعًا التي يطرحها عملاؤنا عند اختيار الحل. لم نحلل التقنيات المستخدمة في المنتجات بالتفصيل ، لكننا درسنا فقط التقنيات المهمة التي تؤثر على اختيار الحل.

ثم نشرنا منصات على الخوادم الافتراضية لـ Jet Infosystems وشاهدنا أحدث المنتجات: KICS for Networks 2.8 و ISIM 1.5.390.

وفقًا لنتائج الدراسة ، قمنا بتجميع جدول مقارن وأرسلناه إلى البائعين للموافقة عليه. وقد استكملوا بتعليقاتهم تلك التقييمات التي اعتبروها ضرورية. ترد تعليقات البائعين في أعمدة منفصلة من الجداول المقارنة وبالحروف المائلة . يتم عرض النتائج التي توصلنا إليها في قسم "التعليقات" وقد تختلف عن موقف البائعين.

استعراض مقارن لل SOW (معرفات صناعية)

المذكرة. يشير الجدول المائل إلى تعليقات البائعين.

الجدول 1. مقارنة مجموعة المعايير "الوظيفية"

في هذه المجموعة ، نقارن المكونات الوظيفية الرئيسية لأنظمة مراقبة حركة المرور الصناعية. للمقارنة ، اخترنا التقنيات الأساسية لتحليل حركة المرور في أنظمة التحكم الصناعية. نحن نعتقد أن هذه المعايير يجب أن تكون موجودة في جميع SOVs ، على حد سواء متخصصة في معالجة حركة المرور التكنولوجية ، وتحديد التهديدات التي تنشأ في المؤسسات الصناعية.

جدول 2. مقارنة مجموعة المعايير "عام"

في هذه المجموعة ، نعتبر سهولة الاستخدام والسمات المعمارية لـ SOW. لقد حددنا المعايير الرئيسية التي يتم تقديمها أثناء تنفيذ النظام والتي يتم أخذها في الاعتبار من قبل المستخدمين عند اختيار الحل.

الجدول 3. مقارنة حسب مجموعة معايير "الخدمة"

تتضمن هذه المجموعة معايير لخدمات إضافية من البائعين. اخترنا الخدمات الأكثر شعبية التي يهتم بها العملاء.

جدول 4. مقارنة مجموعة المعايير "التكلفة"

لا يتم توفير تكلفة ملكية OWL من قبل البائعين.

الجدول 5. مقارنة حسب مجموعة المعايير "المعيارية"

تحتوي هذه المجموعة على المتطلبات الأساسية التي يضعها العملاء على جميع حلول أمان المعلومات. يعد توفر شهادات FSTEC و FSB مهمًا للشركات المرتبطة بالقطاع العام. تظهر التقارير التحليلية مستوى نضج الحل في السوق الدولية.

إيجابيات وسلبيات الحلول التي تمت مراجعتها

هنا نقدم تقييمنا الشخصي لنقاط القوة والضعف. يمكن بسهولة تحويل نقاط القوة إلى نقاط الضعف والعكس.

KICS للشبكات

الايجابيات:

• القدرة على إضافة أحداث مراقبة الشبكة الفردية من خلال وحدة التحكم في الإدارة.
  
• القدرة على استيراد العلامات من ملف CSV ، وكذلك إنشاء قائمة من العلامات بناءً على التعرف على حركة المرور (لبعض البروتوكولات).
  
• جميع الوظائف متوفرة في ترخيص واحد.
  
• جميع وظائف موجودة في حل واحد.
  
• .
  

سلبيات:

• , . - .
  
• Kaspersky Security Center.
  
• .
  
• -.
  

ISIM

الايجابيات:

• , .
  
• -.
  
• .
  
• .
  
• .
  
• PDF.
  

سلبيات:

• .
  
• Pro.
  
• -.
  

النتائج

يتطور سوق OWL بنشاط بسبب ظهور تهديدات جديدة والحاجة الملحة للكشف عنها في الوقت المناسب. تشجع المنافسة الشركات المصنعة على البحث عن مكانتها ، والوصول إلى "رقائق" تميز حلولها عن غيرها. يقوم البائعون بتطوير المنتجات والاستجابة لاحتياجات المستخدم ، ومع كل إصدار يصبح العمل مع الحلول أسهل.

كيفية اختيار. إن عيوب ومزايا الحلول التي نعتبرها فردية لكل مؤسسة. على سبيل المثال ، إذا كنت تستخدم بروتوكولًا مدعومًا من قبل نظام واحد فقط لاكتشاف التسلل ، يصبح الاختيار واضحًا. على الرغم من أنه لا يمكن استبعاد أن يكون البائع مستعدًا لمقابلتك وإضافة الوظيفة اللازمة للمنتج.

عامل مهم هو السعر. لدى ISIM منهج أكثر إثارة مع اختيار الوظيفة (بسبب إصدارين من المنتجات) ، كما أن KICS للشبكات مبنية على مبدأ "الكل في واحد". تأكد من مطالبة شركاء التصنيع بتكلفة الشراء المبدئي للحلول. لن يكون من الضروري النظر في تكلفة الملكية (شراء + دعم) عن طريق حل لمدة 3-5 سنوات.

إذا كانت الشركة تستخدم بالفعل حلولًا أخرى لأحد البائعين المدرجين في المراجعة ، فمن الجدير النظر في ذلك. التقينا الاختلافات المختلفة في المؤسسات الصناعية. تستخدم بعض الشركات الصناعية KICS for Node لحماية محطات العمل و ISIM كأداة للكشف عن التسلل. الحلول المدمجة لها أيضًا الحق في الوجود.

أفضل طريقة لفهم الحل المناسب لك هي تجربة أو طلب المشورة من الشركات التي لديها بالفعل خبرة في التنفيذ.

سيتم إصدار الإصدارات الإلكترونية والمطبوعة من المراجعة قريبًا.
أعد هذا الاستعراض كل من: فيتالي سيانوف ، أنطون إليزاروف ، أندريه كوستين ، سيرجي كوفاليف ، دينيس تيريكوف.