इंटरनेट ऑफ़ थिंग्स की सूचना सुरक्षा: कौन चीज़ है और कौन मास्टर है?

स्रोत

यह कोई रहस्य नहीं है कि इंटरनेट ऑफ थिंग्स (इंटरनेट ऑफ थिंग्स, IoT) के क्षेत्र में, शायद कम से कम आदेश सूचना सुरक्षा (आईएस) सुनिश्चित करने के संदर्भ में है। आज हम एक उभरती हुई तकनीक, उद्योग के बदलते परिदृश्य, भविष्य में कभी-कभी वास्तविकता से विमुख होने वाले पूर्वानुमानों को देख रहे हैं , दर्जनों संगठन खुद को एक क्षेत्र या दूसरे में, कम से कम "एक घंटे के लिए" विधायक घोषित करने की कोशिश कर रहे हैं। समस्या की प्रासंगिकता पर महाकाव्य घटनाओं द्वारा जोर दिया गया है। Industroyer, BrickerBot, Mirai - और यह सिर्फ हिमशैल का दिखाई देने वाला सिरा है, लेकिन क्या "आने वाला दिन हमारे लिए तैयारी कर रहा है"? यदि आप प्रवाह के साथ आगे बढ़ना जारी रखते हैं, तो बॉटनेट और अन्य "मैलवेयर" चीजों के इंटरनेट के मालिक बन जाएंगे। और गैर-कल्पित कार्यक्षमता वाली चीजें उन लोगों पर हावी होंगी जो उनके स्वामी बनने की कोशिश करते हैं।

नवंबर 2018 में, ENISA (द यूरोपियन यूनियन एजेंसी फ़ॉर नेटवर्क एंड इंफॉर्मेशन सिक्योरिटी) ने दस्तावेज़ "स्मार्ट मैन्युफैक्चरिंग के संदर्भ में इंटरनेट ऑफ़ थिंग्स की सुरक्षा के लिए अच्छे आचरण" जारी किया, जो औद्योगिक इंटरनेट ऑफ़ थिंग्स के लिए सभी प्रकार की साइबर सुरक्षा प्रथाओं का संकलन करता है, जिसमें लगभग सौ विश्लेषण किए गए हैं। इस क्षेत्र में सर्वोत्तम प्रथाओं के साथ दस्तावेज़। अपार आलिंगन के इस प्रयास के तहत क्या है? लेख सामग्री का अवलोकन प्रदान करता है।

औद्योगिक इंटरनेट ऑफ थिंग्स (IIoT), सहित, लेकिन महत्वपूर्ण सूचना अवसंरचना (CII) तक सीमित नहीं है, यह क्लासिक IoT से कुछ अलग है। IIoT सिस्टम के संचालक दशकों के परिचालन क्षितिज के साथ काफी परिपक्व तकनीकी समाधानों को लागू करने के आदी हैं। इस प्रकार, IIoT समाधानों का उपयोग करते हुए आधुनिकीकरण और नवाचार की शुरूआत बाजार की गतिशीलता द्वारा मानकों की आम तौर पर स्वीकृत प्रणाली की अनुपस्थिति के साथ विवश है और आम तौर पर स्वीकृत लाइसेंसिंग योजनाएं हैं।

एक और सवाल: आइओटी सूचना सुरक्षा के क्षेत्र में पिछले 3-4 वर्षों में संचित जानकारी के समुद्र के साथ क्या करना है? आधार के रूप में क्या लिया जाना चाहिए, और माध्यमिक क्या है? और अगर विभिन्न दस्तावेजों में परस्पर विरोधी जानकारी मिलती है, तो क्या अधिक महत्वपूर्ण है? उत्तरों में से एक विश्लेषणात्मक रिपोर्टों का अध्ययन हो सकता है, जिसमें संचित अनुभव सामान्यीकृत और सामंजस्यपूर्ण होता है, जो उपलब्ध स्रोतों की अधिकतम संख्या को ध्यान में रखता है।

तो, ENISA सर्वोत्तम प्रथाओं के उपयोग के आधार पर अनुभव का संश्लेषण प्रदान करता है। यह प्रदर्शित करने के लिए कि यह दृष्टिकोण एकमात्र नहीं है, एक और संभावना पर विचार करें, अर्थात्, सभी प्रकार के मानकों के संग्रह का निर्माण।

नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी (NIST) की वेबसाइट पर, आप दस्तावेज़ "ड्राफ्ट NISTIR 8200। इंटरगेंसी रिपोर्ट ऑन द इंटरनेट ऑफ थिंग्स (IoT) के लिए अंतर्राष्ट्रीय साइबर सुरक्षा मानकीकरण की स्थिति" पा सकते हैं। संस्करण फरवरी 2018 की तारीख है, और अभी भी मसौदा की स्थिति है। यह निम्नलिखित 11 क्षेत्रों में वितरित मौजूदा मानकों का विश्लेषण करता है: क्रिप्टोग्राफिक तकनीक, साइबर दुर्घटना प्रबंधन, हार्डवेयर आश्वासन, पहचान और पहुंच प्रबंधन, सूचना सुरक्षा प्रबंधन प्रणाली (आईएसएमएस), आईटी सिस्टम सुरक्षा मूल्यांकन, नेटवर्क सुरक्षा, सुरक्षा स्वचालन और सतत निगरानी (एसएसीएम) ), सॉफ्टवेयर एश्योरेंस, सप्लाई चेन रिस्क मैनेजमेंट (SCRM), सिस्टम सिक्योरिटी इंजीनियरिंग।

मानकों की सूची सौ पृष्ठों से अधिक लेती है! इसका मतलब है कि इसमें सैकड़ों शीर्षक हैं, ये दसियों हज़ार पृष्ठ हैं, जिन्हें अध्ययन करने में कई साल लग सकते हैं और कई दस्तावेजों का भुगतान किया जाता है। इसी समय, उद्योग मानकीकरण में कई अंतरालों की पहचान की गई, जो स्पष्ट रूप से भरे जाएंगे।

मुझे लगता है कि पाठक पहले से ही समझ चुके हैं कि लेखक के सामान्य ज्ञान और सहानुभूति किस तरफ हैं। इसलिए, सर्वश्रेष्ठ ENISA प्रथाओं पर वापस जाएं। वे पहले से ही जारी किए गए लगभग सौ दस्तावेजों के विश्लेषण पर आधारित हैं। हालांकि, हमें इन सभी दस्तावेजों को पढ़ने की आवश्यकता नहीं है, क्योंकि ENISA के विशेषज्ञों ने अपनी रिपोर्ट में सभी सबसे महत्वपूर्ण एकत्र किए हैं।

दस्तावेज़ की संरचना नीचे प्रस्तुत की गई है, और हम अब इसके साथ विस्तार से खुद को परिचित करेंगे।



चित्रा 1. दस्तावेज़ की संरचना "स्मार्ट विनिर्माण के संदर्भ में इंटरनेट ऑफ थिंग्स की सुरक्षा के लिए अच्छे अभ्यास"

पहला भाग एक परिचय है।

दूसरे भाग में, पहले बुनियादी शब्दावली (2.1) दी गई है, और फिर सुरक्षा चुनौतियां (2.2), जिसमें शामिल हैं:

• कमजोर घटक
• प्रक्रिया प्रबंधन में कमी (प्रक्रियाओं का प्रबंधन);
• कनेक्टिविटी में वृद्धि
• परिचालन और सूचना प्रौद्योगिकी (आईटी / ओटी अभिसरण) की सहभागिता;
• औद्योगिक नियंत्रण प्रणालियों (विरासत औद्योगिक नियंत्रण प्रणाली) की समस्याओं का उत्तराधिकार;
• असुरक्षित प्रोटोकॉल
• मानव कारक
• अत्यधिक कार्यक्षमता (अप्रयुक्त कार्यात्मकता);
• कार्यात्मक सुरक्षा के पहलुओं (सुरक्षा पहलुओं) पर विचार करने की आवश्यकता;
• सूचना सुरक्षा (सुरक्षा अद्यतन) से संबंधित अपडेट का कार्यान्वयन;
• आईएस जीवन चक्र (सुरक्षित उत्पाद जीवनचक्र) का कार्यान्वयन।

खंड 2.3, ISA के संदर्भ में, एक संदर्भ वास्तुकला प्रदान करता है, जो, हालांकि, आम तौर पर स्वीकार किए गए ISA (Purdu) वास्तुकला के विपरीत है, क्योंकि RTU और PLC 1 स्तर के बजाय 2 वें को सौंपे गए हैं (जैसा कि अभ्यास में है) ISA)।


चित्रा 2. IIoT संदर्भ वास्तुकला

संदर्भ वास्तुकला संपत्ति कर के गठन के लिए इनपुट है, जो कि धारा 2.4 में किया जाता है। विशेषज्ञ आंकड़ों के आधार पर, सूचना सुरक्षा पर उनके प्रभाव के संदर्भ में संपत्ति की महत्वपूर्णता का आकलन किया गया था। हम प्रतिनिधित्व के बारे में बात नहीं कर रहे हैं (रिपोर्ट कहती है कि 42 विभिन्न संगठनों के विशेषज्ञों ने भाग लिया), और आप इन आंकड़ों को "अपनी राय" के रूप में देख सकते हैं। चार्ट पर प्रतिशत का मतलब उन विशेषज्ञों का प्रतिशत है जो किसी संपत्ति को सबसे महत्वपूर्ण मानते हैं।



चित्रा 3. IIoT परिसंपत्तियों की महत्वपूर्णता के एक विशेषज्ञ मूल्यांकन के परिणाम

धारा 3.1 IIoT क्षेत्र के संबंध में संभावित खतरों का एक वर्गीकरण और विवरण प्रदान करता है। इसके अलावा, परिसंपत्ति वर्ग जो प्रभावित हो सकते हैं वे प्रत्येक खतरे से जुड़े हैं। खतरों के मुख्य वर्गों पर प्रकाश डाला गया है:

• नापाक गतिविधि / दुरुपयोग (अनुचित गतिविधि और दुरुपयोग) - डेटा और उपकरणों के साथ किए गए विभिन्न प्रकार के जोड़तोड़;
• एवेर्सड्रोपिंग / इंटरसेप्शन / हाइजैकिंग (सुनना / इंटरसेप्टिंग / हैकिंग) - जानकारी एकत्र करना और सिस्टम को हैक करना;
• अनजाने में नुकसान (आकस्मिक) - कॉन्फ़िगरेशन, प्रशासन और आवेदन में त्रुटियां;
• आउटेज - बिजली, संचार या सेवाओं के नुकसान के साथ जुड़े आउटेज;
• आपदा (आपदा) - एक प्राकृतिक और मानव निर्मित प्रकृति के विनाशकारी बाहरी प्रभाव;
• शारीरिक हमले (शारीरिक हमले) - चोरी, बर्बरता और तोड़फोड़ (विफलता), सीधे उपकरणों पर प्रदर्शन;
• विफलता / खराबी - प्रदाता हार्डवेयर विफलताओं के कारण हो सकता है, प्रदाता सेवा विफलताओं के कारण, और सॉफ्टवेयर के विकास में समस्याओं के कारण भी जो कमजोरियों की ओर जाता है;
• कानूनी (कानूनी मुद्दे) - कानूनों और अनुबंधों की आवश्यकताओं से विचलन।

चित्रा 3. खतरा वर्गीकरण

धारा 3.2 IIoT सिस्टम के घटकों पर हमलों के विशिष्ट उदाहरणों का वर्णन करता है।

दस्तावेज़ में सबसे महत्वपूर्ण खंड 4 है, जो IIoT घटकों की सुरक्षा के लिए सर्वोत्तम प्रथाओं की समीक्षा करता है। तीन श्रेणियां प्रथाओं में शामिल हैं: नीतियों, संगठनात्मक प्रथाओं और तकनीकी प्रथाओं।


चित्रा 4. IIoT IS सुनिश्चित करने के लिए सर्वोत्तम प्रथाओं की संरचना

नीतियों और संगठनात्मक प्रथाओं के बीच मूलभूत अंतर को नहीं समझाया गया है, और प्रक्रियात्मक स्तर दोनों मामलों में मौजूद है। उदाहरण के लिए, जोखिम और खतरा प्रबंधन राजनीति में गिर गया, और संगठनात्मक प्रथाओं में कमजोरता प्रबंधन। अंतर केवल इतना है कि आप पकड़ सकते हैं कि नीतियां मुख्य रूप से डेवलपर्स के लिए लागू होती हैं, और ऑपरेटिंग संगठनों के लिए संगठनात्मक अभ्यास।

नीतियां (4.2) 4 श्रेणियों और 24 प्रथाओं का वर्णन करती हैं। संगठनात्मक खंड (4.3) में 27 प्रथाओं को 6 श्रेणियों में विभाजित किया गया है, और तकनीकी अनुभाग (4.4) में 59 प्रथाओं को 10 श्रेणियों में विभाजित किया गया है।

परिशिष्ट ए नोट करता है कि यह ENISA 2017 में क्रिटिकल इंफ़ॉर्मेशन इन्फ्रास्ट्रक्चर दस्तावेज़ के संदर्भ में IoT के लिए बेसलाइन सुरक्षा सिफारिशों में घोषित किए गए शोध को जारी रखता है। बेशक, IoT IIoT की तुलना में एक व्यापक अवधारणा है, और, इस दृष्टिकोण से, कोई इस समीक्षा के आधार के रूप में पिछले साल के दस्तावेज़ ले सकता है, हालांकि, एक हमेशा नई सामग्री से निपटना चाहता है।

परिशिष्ट B दस्तावेज़ का मुख्य अर्थ भाग है। धारा 4 से प्रथाओं की सूची को तालिकाओं के रूप में प्रस्तुत किया जाता है जहां खतरे समूहों के लिंक बनाए जाते हैं और एक विशेष अभ्यास के उपयोग का समर्थन करने वाले दस्तावेजों के लिंक दिए जाते हैं, हालांकि, दुर्भाग्य से, एक विशिष्ट पृष्ठ या पैराग्राफ को निर्दिष्ट किए बिना। उदाहरण के लिए, क्लाउड सेवाओं की सुरक्षा से संबंधित कुछ बिंदु यहां दिए गए हैं।


चित्रा 5. IIoT IS सुनिश्चित करने के लिए सर्वोत्तम प्रथाओं के विवरण का एक टुकड़ा

परिशिष्ट सी में उद्धृत दस्तावेजों की एक सूची शामिल है (कुल में उनमें से लगभग 100 हैं) जो विकसित किए गए थे और विकसित सर्वोत्तम प्रथाओं का आधार थे।

परिशिष्ट डी औद्योगिक अनुप्रयोगों में आईएस के उल्लंघन की सबसे महत्वपूर्ण घटनाओं को सूचीबद्ध करता है।

निष्कर्ष

"स्मार्ट मैन्युफैक्चरिंग के संदर्भ में इंटरनेट ऑफ थिंग्स की सुरक्षा के लिए अच्छा अभ्यास" , नवंबर 2018 में विकसित किया गया, वर्तमान में चीजों की इंटरनेट की सूचना सुरक्षा के क्षेत्र में सबसे विस्तृत दस्तावेजों में से एक है। 110 वर्णित प्रथाओं के कार्यान्वयन पर कोई विस्तृत तकनीकी जानकारी नहीं है, हालांकि, आईओटी के क्षेत्र में अग्रणी विशेषज्ञ संगठनों के सैकड़ों दस्तावेजों के विश्लेषण के आधार पर प्राप्त संचित ज्ञान का एक सेट है।

दस्तावेज़ IIoT पर केंद्रित है, औद्योगिक वास्तुकला और इसकी संबंधित परिसंपत्तियों, खतरों और संभावित हमलों के परिदृश्यों को ध्यान में रखते हुए। IoT के लिए अधिक सामान्य, ENISA अग्रदूत दस्तावेज़ है, 2017 में जारी क्रिटिकल इंफ़ॉर्मेशन इन्फ्रास्ट्रक्चर के संदर्भ में IoT के लिए बेसलाइन सुरक्षा सिफारिशें ।

"सदी की शिकारी चीजें" और वह प्रवृत्ति जिसे हम लोगों पर चीजों की शक्ति हासिल करने के लिए नहीं देखा है, सूचना सुरक्षा सुनिश्चित करने के उपायों के बिखरे प्रतिरोध से फिलहाल नियंत्रित किया जाता है। हमारा भविष्य कई मायनों में निर्भर करता है कि आईएस के उपाय कितने प्रभावी होंगे।