IEC 62443 & RTLS — OTサイバーセキュリティ

IEC 62443 は、Purdue Enterprise Reference Architecture を継承する: Level 0 がセンサー/アクチュエーターであるレイヤーモデル、Level 1 は基本制御、Level 2 はスーパーバイザー (HMI)、Level 3 は製造業務 ( MES )、Level 4–5 はエンタープライズ IT です。

RTLS コンポーネントは複数のレイヤーで動作します。L1-L2 のアンカーとゲートウェイ、L3 のロケーション・インテリジェンス・プラットフォーム、L4 での分析とレポート。 アーキテクチャは、これらのゾーン間の水路を尊重しなければなりません。

IEC 62443 は、攻撃能力によって 4 つのセキュリティレベルを定義します。: SL 1 は、カジュアルな誤用に対して、SL 2 は、意図的な非洗練された攻撃に対して、SL 3 は、高度な特異的ターゲティング攻撃に対して、SL 4 は、高度な広範なリソース攻撃に対して定義します。

ほとんどの産業 RTLS デプロイメント ターゲット SL 2 プラットフォーム全体で、 SL 3 で管理と統合レイヤー。 これらを達成するには、ベンダーの機能と展開設計の選択肢の両方が必要です。

すべての IEC 62443 アーキテクチャは、ゾーン(共通のセキュリティ要件を持つ機器の論理グループ化)とコンジット(それらの間の制御通信経路)を定義します。

RTLS 一般的には、L3の分析ゾーンであるL1-L2の専用の RTLS -anchor ゾーン、および explicit が MES 、 WMS と Historian を監視しました。 クロスゾーンのトラフィックは、認証済みで暗号化されたプロトコルを使用して、厳格な許可リストで、フラットなネットワークではありません。

IEC 62443は、デプロイメントのライフサイクル全体で継続的なセキュリティを要求します。

これは、文書化されたパッチ管理プロセス、既定のベンダー設定、定期的な脆弱性評価、およびOT固有のインシデントレスポンスプレイブック(「プラグをプル」が許容応答)を意味します。

ステージ1と3の一部としてデザインされています。 TRACIOプログラム法.

IEC 62443は産業オートメーションおよび制御システムの保証のための優位フレームワークです。 RTLS アンカー、ゲートウェイ、サーバーを配置する MES 統合は、Purdue レベル全体に座っています。通常、フィールドギアの L1-L2、位置サービス用 L3、企業分析用 L4 です。 ドロップするフラットネットワーク UWB プラントVLANへのバックホールは、セキュリティレビューに失敗します。

ゾーン(共有セキュリティ要件)とコンジット(それらの間の制御チャネル)を定義します。 実用的なパターン: 専用の RTLS フィールドゾーン, 位置のサーバーゾーンに厳密にフィルタリングコンジット, 別々のコンジット に MES / WMS , およびロックダウン管理面. 許可リストプロトコル;未使用サービスを無効にします。プラットフォームがサポートする相互TLSを好む。

セキュリティレベル(SL-Tターゲット)は、SL2対応のベンダーパンフレットからではなく、リスク評価(62443-3-2)から来ています。 重要なインフラと安全連動型近接システムは、多くの場合、生の範囲のトラフィックよりも、管理インターフェイスのより強力なターゲットが必要です。

UWB RTLS の公開された研究は、空気インターフェイスと管理面が弱いときに、窒息、スプーフィング、位置操作のリスクを示しています。 妥協した場所は、ジオフェンシングを無効にしたり、マスタリングを偽装したり、価値の高い資産や人柄を明らかにしたりすることができます。

サプライチェーンとパッチ現実:産業 RTLS 製品は深刻なCVEで出荷しています。 オンデマンドSBOM、署名された更新、脆弱性の開示プロセス、およびOT変更カレンダーと一致するパッチウィンドウ — 消費者のIoT更新習慣ではありません。

クラウド制御面を慎重にセグメント化します。 ベンダーがアウトバウンド管理が必要な場合は、モニターされたDMZを通して、接続を解除するための証明書のピンニングとブレークガラスの手順を設定します。

ゾーン/コンジットリファレンスアーキテクチャ、アンカー認証モデル、暗号化デフォルト(オプションのアドオンではありません)、OTエンジニアとベンダーのサポート間のロール分離、SIEM(syslog/CEF/JSON)に適したログを要求します。

ゲート1のOTサイバーセキュリティをRF設計と同梱。 アンカーが動力を与えられた後改装のセグメンテーションはプログラム救助パターンです - 高価で、遅く、そして政治的に痛みを伴う。

アンカーストーム、予期しない管理のログイン、証明書の有効期限および地理的な規則の変更のための使用例の OT SOC にログを移管して下さい。 リモートベンダーアクセスは、ブローカー、録画、およびタイムボックス化する必要があります。フィールドゾーンへのパーペチュアルVPNは、許容できないデフォルトです。

避難訓練中に位置が損なわれているシナリオをテーブルトップにします。 安全システムが RTLS を盲目に信頼すれば、腐食制御を加えて下さい。

CISO および OT のアーキテクトと共同設計ゾーン/コンジット、セキュアなデフォルト姿勢でベンダーをスコアし、パイロットのショートカットの 'flat VLAN を拒否します。 サイバーセキュリティは、フェーズ2の願いではなく、ゲート基準です。

一部の工場では、SaaS の場所のサーバーを地域に許可します。 他の人は、オンプレムまたはソベレーヌクラウドが必要です。 アーキテクチャパターンは異なります。エッジバッファリング、証明書PKI、更新チャネルは、コンジットを弱めることなく、選択したパターンと一致しなければなりません。

パターンを RFP に書きます。 多テナントのグローバルSaaSのみを提供するベンダーは、PoCが支出する前に、防衛、製薬、またはKRITISのコンテキストを早期に失格する可能性があります。

位置が機械停止地理的または避難の決定、完全性および可用性の要件が上がるとき。 独立した腐食(アクセスリーダー、固定ライトカーテン)とフェイルセーフな動作を考慮する RTLS 損失。 IEC 62443 作業は、IT だけでなく、機能安全同僚に参加する必要があります。

ゾーン/コンジット図、既定の暗号化、SBOM の可用性、脆弱性 SLA 、リモートアクセスの仲介、およびセキュアな構成ベースラインを配信可能として要求します。オプションのプロフェッショナルサービス追加ではありません。

共有サポートアカウントとフラットネットワークリファレンスの設計でベンダーをスコアダウン。