Perbandingan COB industri: ISIM vs Kics

Serangan sensasional terhadap produsen aluminium Norwegia Norsk Hydro dan sistem energi Venezuela sekali lagi menunjukkan bahwa perusahaan industri masih rentan terhadap peretas. Kami memutuskan untuk mencari tahu OWL khusus mana - sistem deteksi intrusi - yang membantu memerangi kejahatan dunia maya semacam itu dan mampu "melihat" penyusup di segmen jaringan ICS. Memilih dari lima solusi, kami memilih dua - KICS untuk Jaringan dari Kaspersky Lab dan ISIM dari Positive Technologies - dan membandingkannya sesuai dengan 40 kriteria. Apa yang kami lakukan, Anda dapat mencari tahu di bawah luka.

Mengapa burung hantu ke perusahaan industri

1. Ancaman eksternal

   
   Menurut Alexei Petukhov , kepala Kaspersky Industrial CyberSecurity di Federasi Rusia, "Rusia telah memasuki negara TOP-20 dalam hal persentase komputer ICS TP yang diserang." Sayangnya, bukan kebiasaan di Rusia untuk menyebarkan berita tentang insiden yang terjadi di lokasi produksi, tetapi pengalaman kami menunjukkan bahwa situasi yang dihadapi Norsk Hydro dapat diulang di perusahaan industri dalam negeri.
   
   Analisis terperinci tentang serangan terhadap Norsk Hydro baca di sini .
   
   Ada kesalahpahaman umum bahwa dengan membagi jaringan industri dan perusahaan dan tidak termasuk akses ke Internet, perusahaan menjamin keamanannya sendiri. Tapi ini tidak benar. Sekarang serangan direncanakan dan diimplementasikan untuk waktu yang agak lama - penyerang dengan hati-hati mempersiapkan serangan dan memikirkan skenario peretasan secara rinci. Selain itu, motivasi para penyerang bisa sangat berbeda. Ransomware dan ransomware mencoba menekan sebanyak mungkin perangkat, badan intelijen bertujuan untuk memberikan kerusakan maksimum pada infrastruktur, dll. Tetapi setiap serangan memiliki siklusnya sendiri, yang selalu dimulai dengan kecerdasan. Burung hantu dapat mendeteksi penjahat dunia maya yang sudah pada tahap ini dan memberi tahu tentang ancaman, menghentikan kegiatan penyerang pada tahap awal serangan.
   
   Serangan akan berlanjut lebih jauh, dan itu perlu untuk mempersiapkan mereka kemarin.

2. Ancaman internal

   
   Ancaman yang paling umum bukanlah eksternal, tetapi internal. Tidak puas dengan posisi atau gaji, karyawan dapat menggunakan kapasitas perusahaan untuk tujuan mereka sendiri. Pekerja yang diberhentikan meninggalkan bookmark dengan menjual akses ke Darknet atau dengan mengeksploitasi infrastruktur untuk kepentingan pribadi mereka. Dalam praktiknya, kami dihadapkan pada kasus-kasus ketika workstation dipasang perangkat lunak untuk kontrol komputer jarak jauh untuk manajemen operasional atau bekerja dari rumah. Dalam cerita-cerita seperti itu, dilema sering muncul, yang biasanya mengarah pada konfrontasi antara "penjaga keamanan" dan "penjaga sekolah": mana yang lebih penting - kemudahan pemeliharaan atau keselamatan? Seringkali di perusahaan Anda dapat melihat stasiun kerja tanpa perlindungan yang dilarang untuk disentuh, karena dampak apa pun dapat menyebabkan penutupan proses. Tetapi bagi penyusup (eksternal atau internal) ini akan menjadi tujuan utama serangan. Perusahaan seharusnya tidak menderita karena Anda memercayai karyawan Anda dan meninggalkan ruang untuk manipulasi.

3. Legislasi

   
   Negara sedang membangun sistem GosSOPKA, yang, seperti yang direncanakan, seharusnya tidak hanya menginformasikan FSB dari semua insiden yang diidentifikasi di tempat kerja, tetapi juga menjadi basis data lengkap serangan komputer yang terjadi di Rusia. Sekarang kita berada di awal jalan, dan sulit untuk mengatakan kapan badan negara akan mencapai tujuan. Namun demikian, pada tahun 2017, 187- “Mengenai keamanan infrastruktur informasi kritis Federasi Rusia” dikeluarkan, diikuti oleh sejumlah pesanan FSTEC, yang juga menentukan prosedur untuk mengkategorikan objek CII dan langkah-langkah untuk memastikan keamanannya. Setelah menetapkan kategori signifikansi untuk setiap objek, perusahaan harus memastikan perlindungannya. Jadi, Pesanan FSTEC No. 239 tanggal 25 Desember 2017 memberi tahu kita tentang langkah-langkah yang dilakukan entitas (badan negara, lembaga negara, badan hukum Rusia, serta pengusaha perorangan yang memiliki IP, ITS, ACS dengan hak kepemilikan, sewa atau berdasarkan hukum lainnya) wajib diberlakukan saat melindungi benda KII. Untuk pemilik benda dari kategori 2 atau 1, regulator dalam urutan yang ditunjukkan menetapkan persyaratan untuk menggunakan alat deteksi intrusi. Kami yakin bahwa, karena praktik meremehkan kategori, solusi tersebut akan berguna untuk semua objek KII.
   
   Persyaratan Pesanan FSTEC No. 239 tanggal 25 Desember 2017
   Bagian VII. - Intrusion Prevention (COB) mensyaratkan COB.1 persyaratan “Deteksi dan Pencegahan Serangan Komputer” untuk fasilitas infrastruktur informasi kritis kategori 2 dan 1.

Fungsionalitas OWL

Menurut pendapat kami, solusi harus menyediakan fitur berikut.

1. Memantau jaringan teknologi dengan kemampuan untuk mendukung protokol teknologi dari produsen utama sistem kontrol proses.
2. Deteksi tipe perangkat otomatis (AWP, server, PLC).
3. Kemampuan untuk mengendalikan proses.
4. Deteksi intrusi dalam jaringan teknologi.
5. Transfer peristiwa yang direkam ke sistem pemantauan pihak ketiga (SIEM) dengan kemungkinan analisisnya.
6. Konstruksi grafis dari peta jaringan teknologi.
7. Membuat dan mengunggah laporan.
8. Bantuan dalam menyelidiki insiden.

Bagaimana kami memilih solusi untuk perbandingan

Ketika memilih solusi untuk penelitian, kami dipandu oleh tiga kriteria utama: keberadaan produk di pasar Rusia, pengalaman proyek kami sendiri dan kompatibilitas solusi dengan produk vendor lainnya.

Hari ini, setidaknya 5 solusi disajikan di pasar Rusia yang dapat dianggap sebagai SOW dalam jaringan industri:

• KICS untuk Jaringan dari Kaspersky Lab;
  
• ISIM dari Positive Technologies;
  
• ASAP dari InfoWatch;
  
• Datapk dari USSB;
  
• DITINGKATKAN oleh Cyberbit.
  

Dari keseluruhan variasi, kami memilih 3 solusi, yang sekarang, menurut pendapat kami, adalah yang paling populer di pasar Rusia: KICS untuk Jaringan dari Kaspersky Lab, ISIM dari Positive Technologies dan ASAP dari InfoWatch.

Selama negosiasi, InfoWatch memutuskan untuk tidak berpartisipasi dalam perbandingan. Kolega sedang mempersiapkan untuk merilis versi baru dari produk mereka dan pada saat analisis komparatif tidak siap untuk memberikannya kepada kami untuk pengujian. Kami akan dengan senang hati menambahkan solusi ini ke versi perbandingan kami selanjutnya.

Adapun solusi dari Kaspersky Lab dan Positive Technologies, kedua perusahaan memberi kami distribusi untuk studi independen dan dengan cepat menjawab pertanyaan kami selama proses pengujian. Dalam mendukung solusi KICS for Networks dan ISIM, kami juga memainkan peran dalam kenyataan bahwa kami telah mengimplementasikan keduanya untuk pengujian dan dalam operasi komersial. Selain itu, kedua produk dapat diintegrasikan ke dalam solusi terintegrasi lainnya. Sebagai contoh, ISIM bekerja sangat baik dalam hubungannya dengan Max Patrol SIEM, dan seringkali kedua produk diuji. Kaspersky Lab memiliki KICS untuk Nodes, solusi khusus (antivirus) untuk melindungi server, pengontrol, dan workstation yang berlokasi di jaringan industri. Dalam ulasan ini, kami tidak menetapkan tujuan untuk membandingkan kepenuhan integrasi dengan produk lain dan membatasi diri hanya pada fungsionalitas solusi yang dipilih. Namun demikian, ini merupakan faktor penting ketika memilih sistem untuk implementasi.

Bagaimana perbandingannya

Untuk perbandingan kualitatif, kami menentukan kriteria dan membaginya menjadi 5 kelompok. Dasarnya adalah pertanyaan yang paling sering ditanyakan oleh pelanggan kami ketika memilih solusi. Kami tidak menganalisis teknologi yang digunakan dalam produk secara rinci, tetapi hanya mempelajari yang secara fundamental penting yang memengaruhi pilihan solusi.

Kemudian kami menempatkan stan di server virtual Jet Infosystems dan menyaksikan produk-produk terbaru: KICS for Networks 2.8 dan ISIM 1.5.390.

Menurut hasil penelitian, kami menyusun tabel perbandingan dan mengirimkannya ke vendor untuk persetujuan. Mereka melengkapi komentar mereka dengan penilaian yang mereka anggap perlu. Komentar vendor diberikan dalam kolom terpisah dari tabel perbandingan dan huruf miring . Temuan kami disajikan di bagian "Komentar" dan mungkin berbeda dari posisi vendor.

Ulasan komparatif dari SOW (IDS industri)

Catatan Tabel dalam huruf miring menunjukkan komentar dari vendor.

Tabel 1. Perbandingan kelompok kriteria "Fungsional"

Dalam grup ini, kami membandingkan komponen fungsional utama sistem pemantauan lalu lintas industri. Sebagai perbandingan, kami memilih teknologi yang penting untuk analisis lalu lintas dalam sistem kontrol industri. Kami percaya bahwa kriteria ini harus ada di semua SOV, baik yang berspesialisasi dalam pemrosesan lalu lintas teknologi, dan untuk mengidentifikasi ancaman yang muncul di perusahaan industri.

Tabel 2. Perbandingan kelompok kriteria "Umum"

Dalam grup ini, kami mempertimbangkan kemudahan penggunaan dan fitur arsitektural dari SOW. Kami telah mengidentifikasi kriteria utama yang disajikan selama implementasi sistem dan dipertimbangkan oleh pengguna saat memilih solusi.

Tabel 3. Perbandingan berdasarkan kelompok kriteria "Layanan"

Grup ini mencakup kriteria untuk layanan tambahan dari vendor. Kami memilih layanan paling populer yang diminati pelanggan.

Tabel 4. Perbandingan kelompok kriteria "Biaya"

Biaya kepemilikan OWL tidak disediakan oleh vendor.

Tabel 5. Perbandingan berdasarkan kelompok kriteria "Normatif"

Grup ini berisi persyaratan dasar yang diberikan pelanggan pada semua solusi keamanan informasi. Ketersediaan sertifikat FSTEC dan FSB penting bagi perusahaan yang terkait dengan sektor publik. Laporan analitik menunjukkan tingkat kematangan solusi di pasar internasional.

Pro dan kontra dari solusi yang diulas

Di sini kami memberikan penilaian subjektif tentang kekuatan dan kelemahan. Kekuatan dapat dengan mudah dikonversi menjadi kelemahan dan sebaliknya.

KICS untuk Jaringan

Pro:

• Kemampuan untuk menambahkan acara pemantauan jaringan individu melalui konsol manajemen.
  
• Kemampuan untuk mengimpor tag dari file CSV, serta menghasilkan daftar tag berdasarkan pengenalan lalu lintas (untuk beberapa protokol).
  
• Semua fungsionalitas tersedia dalam satu lisensi.
  
• Semua fungsionalitas hadir dalam satu solusi.
  
• .
  

Cons:

• , . - .
  
• Kaspersky Security Center.
  
• .
  
• -.
  

ISIM

Pro:

• , .
  
• -.
  
• .
  
• .
  
• .
  
• PDF.
  

Cons:

• .
  
• Pro.
  
• -.
  

Kesimpulan

Pasar OWL secara aktif berkembang karena munculnya ancaman baru dan kebutuhan mendesak untuk mendeteksinya tepat waktu. Persaingan mendorong produsen untuk mencari ceruk mereka, untuk datang dengan "chip" yang akan membedakan keputusan mereka dari yang lain. Vendor mengembangkan produk, menanggapi kebutuhan pengguna, dan dengan setiap rilis menjadi lebih mudah untuk bekerja dengan solusi.

Cara membuat pilihan. Kerugian dan kelebihan dari solusi yang kami pertimbangkan adalah individu untuk masing-masing perusahaan. Misalnya, jika Anda menggunakan protokol yang didukung oleh hanya satu sistem deteksi intrusi, pilihannya menjadi jelas. Meskipun tidak dapat dikesampingkan bahwa vendor akan siap untuk bertemu Anda dan menambahkan fungsionalitas yang diperlukan untuk produk.

Faktor penting adalah harga. ISIM memiliki pendekatan yang lebih menarik dengan pilihan fungsi (karena dua versi produk), dan KICS untuk jaringan dibangun berdasarkan prinsip "semua dalam satu". Pastikan untuk bertanya kepada mitra produsen tentang biaya pembelian awal solusi. Tidak akan berlebihan untuk melihat biaya kepemilikan (pembelian + dukungan) dengan solusi selama 3-5 tahun.

Jika perusahaan sudah menggunakan solusi lain dari salah satu vendor yang dipertimbangkan dalam ulasan, ada baiknya mempertimbangkan hal ini. Kami bertemu berbagai variasi di perusahaan industri. Beberapa perusahaan industri menggunakan KICS untuk Nodes untuk melindungi workstation, dan ISIM sebagai alat deteksi intrusi. Solusi gabungan juga memiliki hak untuk ada.

Cara terbaik untuk memahami solusi mana yang tepat bagi Anda adalah dengan mengujicobakan atau mencari nasihat dari perusahaan yang sudah memiliki pengalaman dalam implementasi.

Versi elektronik dan cetak ulasan akan segera dirilis.
Ulasan ini disusun oleh: Vitaliy Siyanov, Anton Elizarov, Andrey Kostin, Sergey Kovalev, Denis Terekhov.