Comparação de COB industrial: ISIM vs. Kics

Os ataques sensacionais contra a produtora norueguesa de alumínio Norsk Hydro e o sistema de energia venezuelano mostraram mais uma vez que as empresas industriais ainda são vulneráveis ​​a hackers. Decidimos descobrir quais OWLs especializados - sistemas de detecção de intrusão - ajudam a combater esses crimes cibernéticos e são capazes de "ver" intrusos nos segmentos de rede do ICS. Escolhendo entre cinco soluções, escolhemos duas - KICS for Networks da Kaspersky Lab e ISIM da Positive Technologies - e as comparamos de acordo com 40 critérios. O que fizemos, você pode descobrir sob o corte.

Por que corujas para empresas industriais

1. Ameaças externas

   
   Segundo Alexei Petukhov , chefe da Kaspersky Industrial CyberSecurity na Federação Russa, "a Rússia entrou nos 20 países em termos de porcentagem de computadores TP ICS atacados". Infelizmente, não é costume na Rússia espalhar a notícia sobre os incidentes que ocorrem no local de produção, mas nossa experiência sugere que a situação enfrentada pela Norsk Hydro poderia ser repetida em empresas industriais domésticas.
   
   Uma análise detalhada do ataque à Norsk Hydro, leia aqui .
   
   Existe um equívoco comum de que, ao dividir redes industriais e corporativas e excluir o acesso à Internet, a empresa garante a si mesma segurança. Mas isso não é verdade. Agora, os ataques são planejados e implementados por um longo tempo - os atacantes se preparam cuidadosamente para um ataque e pensam em detalhes sobre um cenário de hackers. Além disso, a motivação dos atacantes pode ser completamente diferente. O ransomware e o ransomware tentam atingir o maior número possível de dispositivos, as agências de inteligência pretendem infligir o máximo dano à infraestrutura etc. Mas qualquer ataque tem seu próprio ciclo, que sempre começa com a inteligência. As corujas são capazes de detectar criminosos cibernéticos já neste estágio e notificar sobre a ameaça, interrompendo as atividades dos atacantes no estágio inicial do ataque.
   
   Os ataques continuarão mais, e foi necessário se preparar para eles ontem.

2. Ameaças internas

   
   As ameaças mais comuns não são externas, mas internas. Insatisfeitos com o cargo ou salário, os funcionários podem usar as capacidades corporativas para seus próprios propósitos. Trabalhadores demitidos deixam marcadores vendendo acesso à Darknet ou explorando a infraestrutura para seus interesses pessoais. Na prática, nos deparamos com casos em que as estações de trabalho eram instaladas em software para controle remoto por computador para gerenciamento operacional ou trabalho em casa. Nessas histórias, freqüentemente surge um dilema, que geralmente leva ao confronto entre "guardas de segurança" e "guardas da escola": o que é mais importante - facilidade de manutenção ou segurança? Geralmente, nas empresas, é possível ver estações de trabalho sem nenhuma proteção proibida de tocar, pois qualquer impacto pode levar ao desligamento do processo. Mas para o invasor (externo ou interno), esse será o principal objetivo do ataque. A empresa não deve sofrer porque você confia em seus funcionários e deixa espaço para manipulação.

3. Legislação

   
   O estado está construindo o sistema GosSOPKA, que, conforme planejado, não deve apenas informar o FSB de todos os incidentes identificados no trabalho, mas também se tornar um banco de dados completo de ataques de computador que ocorrem na Rússia. Agora estamos no começo do caminho, e é difícil dizer quando os órgãos estaduais atingirão a meta. No entanto, em 2017, foi emitida a 187- “Sobre a segurança da infraestrutura de informações críticas da Federação Russa”, seguida de várias ordens do FSTEC, que também determinam o procedimento para categorizar objetos e medidas de CII para garantir sua segurança. Depois de atribuir uma categoria de significância a cada objeto, a empresa deve garantir sua proteção. Portanto, a Ordem FSTEC nº 239, de 25 de dezembro de 2017, informa sobre as medidas que a entidade (órgãos estatais, instituições estatais, entidades legais russas, bem como empresários individuais que possuem IP, ITS, ACS pelo direito de propriedade, arrendamento ou qualquer outra base legal) obrigado a aplicar ao proteger objetos KII. Para proprietários de objetos de categoria 2 ou 1, o regulador na ordem indicada estabelece o requisito para usar uma ferramenta de detecção de intrusão. Estamos convencidos de que, devido à prática de subestimar categorias, essas soluções serão úteis para todos os objetos do KII.
   
   Requisitos da Ordem do FSTEC nº 239, de 25 de dezembro de 2017
   Seção VII - Prevenção de intrusões (COB) requer o requisito COB.1 "Detecção e prevenção de ataques de computadores" para instalações críticas de infraestrutura de informações das categorias 2 e 1.

Funcionalidade OWL

Em nossa opinião, as soluções devem fornecer os seguintes recursos.

1. Monitorar a rede tecnológica com capacidade de suportar os protocolos tecnológicos dos principais fabricantes de sistemas de controle de processos.
2. Detecção automática de tipo de dispositivo (AWP, servidor, PLC).
3. Capacidade de controlar o processo.
4. Detecção de intrusão em uma rede tecnológica.
5. Transferência de eventos gravados para sistemas de monitoramento de terceiros (SIEM) com a possibilidade de análise.
6. Construção gráfica de um mapa de rede tecnológica.
7. Criando e enviando relatórios.
8. Assistência na investigação de incidentes.

Como escolhemos soluções para comparação

Ao escolher soluções para pesquisa, fomos guiados por três critérios principais: a presença do produto no mercado russo, nossa própria experiência em projetos e a compatibilidade da solução com outros produtos de fornecedores.

Hoje, pelo menos 5 soluções são apresentadas no mercado russo que podem ser consideradas SOW em redes industriais:

• KICS para redes da Kaspersky Lab;
  
• ISIM da Positive Technologies;
  
• O mais rápido possível do InfoWatch;
  
• Datapk do USSB;
  
• SCADAShiled por Cyberbit.
  

De toda a variedade, selecionamos três soluções que, em nossa opinião, agora são as mais populares no mercado russo: KICS para redes da Kaspersky Lab, ISIM da Positive Technologies e ASAP da InfoWatch.

Durante as negociações, a InfoWatch decidiu não participar da comparação. Os colegas estão se preparando para lançar uma nova versão de seu produto e, no momento da análise comparativa, não estavam prontos para fornecê-la para testes. Teremos o maior prazer de adicionar esta solução à próxima versão da nossa comparação.

Quanto às soluções da Kaspersky Lab e da Positive Technologies, as duas empresas nos forneceram distribuições para estudos independentes e responderam rapidamente às nossas perguntas durante o processo de teste. Em favor das soluções KICS for Networks e ISIM, também desempenhámos um papel no fato de já as termos implementado para teste e em operação comercial. Além disso, ambos os produtos podem ser integrados a outras soluções integradas. Por exemplo, o ISIM funciona muito bem em conjunto com o Max Patrol SIEM, e geralmente os dois produtos são testados. A Kaspersky Lab possui o KICS for Nodes, uma solução especializada (antivírus) para proteger servidores, controladores e estações de trabalho localizadas em uma rede industrial. Nesta revisão, não estabelecemos o objetivo de comparar a totalidade da integração com outros produtos e nos limitamos apenas à funcionalidade das soluções selecionadas. No entanto, esse é um fator importante na escolha de um sistema para implementação.

Como foi a comparação

Para uma comparação qualitativa, determinamos os critérios e os dividimos em 5 grupos. A base foram as perguntas mais freqüentes de nossos clientes ao escolher uma solução. Não analisamos as tecnologias usadas nos produtos em detalhes, mas estudamos apenas as de fundamental importância que afetam a escolha de uma solução.

Em seguida, implantamos stands nos servidores virtuais Jet Infosystems e assistimos aos produtos mais recentes: KICS for Networks 2.8 e ISIM 1.5.390.

De acordo com os resultados do estudo, compilamos uma tabela comparativa e a enviamos aos fornecedores para aprovação. Eles complementaram com seus comentários as avaliações que consideraram necessárias. Os comentários dos fornecedores são fornecidos em colunas separadas de tabelas comparativas e em itálico . Nossas descobertas são apresentadas na seção "Comentários" e podem diferir da posição dos fornecedores.

Revisão comparativa de SOW (IDS industrial)

Nota A tabela em itálico indica os comentários dos fornecedores.

Tabela 1. Comparação do grupo de critérios "Funcional"

Nesse grupo, comparamos os principais componentes funcionais dos sistemas de monitoramento de tráfego industrial. Para comparação, escolhemos tecnologias que são fundamentais para a análise de tráfego em sistemas de controle industrial. Acreditamos que esses critérios devem estar presentes em todos os SOVs, especializados no processamento de tráfego tecnológico e na identificação de ameaças que surgem em empresas industriais.

Tabela 2. Comparação do grupo de critérios "Geral"

Neste grupo, consideramos a facilidade de uso e os recursos arquitetônicos da SOW. Identificamos os principais critérios que são apresentados durante a implementação do sistema e são considerados pelos usuários ao escolher uma solução.

Tabela 3. Comparação pelo grupo de critérios “Serviço”

Este grupo inclui critérios para serviços adicionais de fornecedores. Escolhemos os serviços mais populares nos quais os clientes estão interessados.

Tabela 4. Comparação do grupo de critérios "Custo"

O custo de propriedade da OWL não é fornecido pelos fornecedores.

Tabela 5. Comparação pelo grupo de critérios “Normativo”

Este grupo contém os requisitos básicos que os clientes colocam em todas as soluções de segurança da informação. A disponibilidade dos certificados FSTEC e FSB é importante para empresas associadas ao setor público. Os relatórios analíticos mostram o nível de maturidade da solução no mercado internacional.

Prós e contras das soluções revisadas

Aqui damos nossa avaliação subjetiva dos pontos fortes e fracos. Os pontos fortes podem ser facilmente convertidos em pontos fracos e vice-versa.

KICS para redes

Prós:

• Capacidade de adicionar eventos individuais de monitoramento de rede por meio do console de gerenciamento.
  
• Capacidade de importar tags de um arquivo CSV, bem como gerar uma lista de tags com base no reconhecimento de tráfego (para alguns protocolos).
  
• Toda a funcionalidade está disponível em uma licença.
  
• Toda a funcionalidade está presente em uma solução.
  
• .
  

Contras:

• , . - .
  
• Kaspersky Security Center.
  
• .
  
• -.
  

ISIM

Prós:

• , .
  
• -.
  
• .
  
• .
  
• .
  
• PDF.
  

Contras:

• .
  
• Pro.
  
• -.
  

Conclusões

O mercado de OWL está se desenvolvendo ativamente devido ao surgimento de novas ameaças e à necessidade urgente de detectá-las em tempo hábil. A concorrência incentiva os fabricantes a procurar seu nicho, a criar "chips" que diferenciem suas decisões dos outros. Os fornecedores desenvolvem produtos, respondem às necessidades do usuário e, a cada versão, fica mais fácil trabalhar com soluções.

Como fazer uma escolha. As desvantagens e vantagens das soluções consideradas por nós são individuais para cada empresa. Por exemplo, se você usar um protocolo suportado por apenas um sistema de detecção de intrusões, a escolha se tornará óbvia. Embora não seja possível excluir que o fornecedor esteja pronto para conhecê-lo e adicionar a funcionalidade necessária ao produto.

Um fator importante é o preço. O ISIM tem uma abordagem mais interessante com a opção de funcionalidade (devido a duas versões do produto) e o KICS para redes é construído com base no princípio de "tudo em um". Certifique-se de solicitar aos parceiros do fabricante o custo da compra inicial de soluções. Não será supérfluo considerar o custo de propriedade (compra + suporte) de uma solução por 3-5 anos.

Se a empresa já utiliza outras soluções de um dos fornecedores considerados na revisão, vale a pena considerar isso. Conhecemos diferentes variações em empresas industriais. Algumas empresas industriais usam o KICS for Nodes para proteger estações de trabalho e o ISIM como uma ferramenta de detecção de intrusão. As soluções combinadas também têm o direito de existir.

A melhor maneira de entender qual solução é ideal para você é pilotar ou procurar aconselhamento de empresas que já possuem experiência em implementação.

As versões eletrônicas e impressas da revisão serão lançadas em breve.
Esta revisão foi preparada por: Vitaliy Siyanov, Anton Elizarov, Andrey Kostin, Sergey Kovalev, Denis Terekhov.