Geçici bağlantı kalıcı olur
Bakım için açılan kural, değişiklik kaydında kapanmış görünse de çoğu zaman yerinde kalır. Ağ tarafındaki her istisna, sonradan denetlenmesi gereken bir borçtur.
SEGMENT / OT VE ÜRETİM
Hattı durdurmadan,
ağı açmadan.
Bir reçete güncellemesi için OT ağına geçici bir delik açmak, o deliğin kapandığını kimsenin doğrulayamadığı bir işlemdir. USB ise Stuxnet'ten bu yana OT'nin en iyi belgelenmiş giriş yoludur.
Sorun aktarımda değil, aktarımın kanıtsızlığında.
USB, OT'nin bilinen saldırı yüzeyi
Taşınabilir ortam yasağı çoğu OT politikasında yazılıdır; buna rağmen dosya bir şekilde taşınır. Yazılı yasak ile sahadaki uygulama arasındaki fark, gerçek risk yüzeyidir.
Değişikliği kimin yaptığı kanıtlanamıyor
Hat durduğunda ilk soru hangi yapılandırmanın ne zaman yüklendiğidir. Cevap genelde operatörün hatırasına dayanır.
Taşınan şey dosya değil, doğrulanmış bir oturum.
Yazılabilir ortam hiç oluşmaz
Aktarım ekran ile kamera arasında geçer. Ortada takılıp çıkarılabilen, sonradan yazılabilen bir cihaz yoktur.
Radyo yok, düşüş yok
Bluetooth, Wi-Fi veya NFC'ye geri düşüş bulunmaz. Optik kanal kurulamazsa aktarım başarısız olur; sessizce başka bir yola sapmaz.
Yapılandırma sevki kayıt bırakır
Hangi dosyanın, hangi iş emriyle, hangi hedef sisteme gittiği imzanın içindedir. Vardiya değişse de kayıt kalır.
Cihaz kimliği donanıma bağlanabilir
Kurumsal dağıtımda anahtar TPM, StrongBox veya Secure Enclave içinde üretilir ve oradan çıkamaz. Doğrulayıcı tarafı hazırdır.
Eşleme sunuyoruz, uyum değil.
Aşağıdaki tablo Kionel'in hangi kontrole ne katkı yaptığını gösterir. Uyum, kurumun kendi sisteminin ve denetiminin sonucudur; hiçbir satır otomatik uyum anlamına gelmez.
| Çerçeve | Kontrol | Kionel'in katkısı |
|---|---|---|
| IEC 62443-3-3 | SR 1.1 / SR 3.1 — Kimlik doğrulama ve iletişim bütünlüğü | Aktarım uçlarını kriptografik olarak kimliklendirir ve içerik bütünlüğünü doğrular. |
| IEC 62443-4-2 | CR 2.3 — Taşınabilir ortam kullanımı | Taşınabilir ortam ihtiyacını ortadan kaldırarak kontrolün konusunu ortadan kaldırır. |
| NIST SP 800-82r3 | OT sistemlerinde çıkarılabilir medya | Medyasız bir aktarım yolu ve aktarım başına denetlenebilir kayıt sağlar. |
Bugün ne kanıtlı, ne değil.
Kanıtlı
- Radyo/ağ düşüşü yok — bu bir yapılandırma değil, mimarinin sonucu
- Windows TPM, Android StrongBox ve Apple App Attest doğrulayıcıları yazıldı ve test edildi
- Kurumsal enrollment ve iptal snapshot'ı çevrimdışı doğrulanıyor
Hâlâ açık
- Donanım kimliğinin **üretici** tarafı açık: Windows AIK/EK zinciri, gerçek StrongBox koşusu ve Apple cihaz uygulaması
- Fiziksel cihaz matrisi koşulmadı
- IEC 62443 kontrol eşlemesi bağımsız olarak incelenmedi
- İmzalı, çevrimdışı kurulum paketi hazır değil
Bu listeyi kısaltmak için bir sebebimiz yok. Açık kapıları saklayan bir tedarikçi, denetimde sizin sorununuz olur.
Önce sorulanlar.
Hattaki HMI'nın kamerası yok, nasıl çalışır?
Alıcı uç kamera ister. Pratikte kurumsal bir tablet veya dizüstü alıcı olur ve dosya oradan hedef cihaza yerel olarak aktarılır. Bu, USB'yi tamamen ortadan kaldırmaz ama denetlenmeyen ortamı denetlenen bir cihazla değiştirir.
Aktarım ne kadar sürer?
Kare hızı ve QR sürümüne bağlıdır. Gerçek rakamları cihaz matrisi koşusu belirleyecek; o koşu yapılmadan bir hız taahhüdü vermiyoruz. Tahmin yayımlamak yerine ölçümü bekliyoruz.
Hattı durdurmak gerekir mi?
Hayır. Aktarım iki ekran arasında geçer ve hedef cihazın çalışmasını kesmez. Yüklenen yapılandırmanın devreye alınması kurumun kendi değişiklik prosedürüne tabidir.
OT ve üretim hattı için kapsamı birlikte çıkaralım.
Kapsamlandırıcı adınızı, e-postanızı veya dosyanızı istemez. Çıktıyı tarayıcınızda üretir ve yalnızca siz indirirsiniz.