Кращі практики безпеки IIC Endpoint Security

Зовсім недавно Консорціум Індустріального Інтернету випустив цікавий документ з їх рекомендованими кращими практиками безпеки для Кінцевої точки.

Barbara IoT завжди захоплюється подібними ініціативами, тому що ми впевнені, що в галузі безпеки IoT потрібно зробити багато роботи, і пристрій, мабуть, є найслабшим ланкою в даний час у ланцюжку цінностей IoT. А як ми знаємо, ланцюг настільки міцний, як і найслабша ланка, тому закріплення пристроїв було б обов'язковим (якщо його ще немає).

У цій статті йдеться про основи рекомендацій IIC та відображає їх у відповідності до програмної платформи Barbara - безпечного рішення для життєвого циклу пристроїв IoT. Наступна таблиця підсумовує матрицю відповідності:

Але давайте розберемося в деталях….

Рівні безпеки:

IIC визначає три рівні безпеки, базовий рівень безпеки (SLB), підвищений рівень безпеки (SLE) та критичний рівень безпеки (SLC), що відповідає рівням безпеки 2, 3 та 4, як визначено в IEC 62443 3–3. Базовий рівень захищає від "навмисного порушення, використовуючи прості засоби з низькими ресурсами". Підвищений рівень захищає нашу систему від "складних засобів із помірними ресурсами". Критичний рівень посилює захист "складних засобів із розширеними ресурсами". Залежно від програми та обставин, ви повинні захистити свою кінцеву точку відповідним рівнем безпеки.

Виходячи з цього рівня безпеки, IIC пропонує три різні архітектури, які мають базуватися на відкритих стандартах і повинні бути взаємодіючими між кінцевими точками багатьох постачальників і кінцевих платформ, щоб вважатись безпечною.

IIC запропонував архітектури

Давайте глибше заглибимось у кожен із цих компонентів, описуючи їх більш докладно та дізнавшись, як програмна платформа Barbara відповідає положенню IIC.

Корінь довіри:

Корінь довіри (RoT) є основою для кожної безпеки кінцевої точки і надає такі функції, як ідентифікація кінцевої точки та засвідчення ідентичності програмного забезпечення та обладнання та цілісності. Як ви можете собі уявити, кінцева точка буде настільки ж сильною, як і Корінь довіри, тому безпечна реалізація Root of Trust є обов'язковою.

Зокрема, IIC стверджує, що для підвищення та критичного рівня безпеки Root of Trust має бути впроваджений на основі апаратних засобів. Для дотримання рекомендацій IIC нам може знадобитися певний апаратний чіп безпеки (або подібний) із стійкістю до несанкціонованого захисту.

Що стосується Root of Trust, то програмна платформа Barbara об'єднує всі функції безпеки для того, щоб посилити Root of Trust. Наш програмний стек використовує приватну PKI (інфраструктуру відкритих ключів, засновану на стандартах криптографії відкритого ключа) і забезпечує відповідні гачки, що дозволяють легко інтегруватися з модулями довіреної платформи за вибором замовника.

Ідентифікатор кінцевої точки:

Ідентифікатор кінцевої точки є базовим компонентом для створення більшості функцій безпеки. Відповідно до рекомендацій IIC, підтримка PKI (інфраструктури відкритих ключів) є обов'язковою для покриття базового, покращеного та критичного рівнів. Рекомендується також впроваджувати відкритий стандартний протокол управління сертифікатами для видачі та управління сертифікатами з внутрішнього або зовнішнього КА (сертифікаційний орган).

Як зазначалося раніше, програмна платформа Barbara включає власний PKI на базі PKCS (Freeipa, www.freeipa.org/). FreeIPA - це комплексне рішення для посвідчення особи та автентифікації, яке забезпечує централізовану аутентифікацію, авторизацію та інформацію про акаунт. Як вимагає IIC, FreeIPA будується на основі відомих компонентів з відкритим кодом та стандартних протоколів.

Безпечна завантаження:

Довірена система захищеного завантаження, що криптографічно захищає живлення кінцевої точки, знову є вимогою до базового, покращеного та критичного рівнів. Відповідно до кращих практик IIC, це може бути реалізовано криптографічні хеші на основі стандартів криптографії відкритого ключа (PKCS). Роблячи це, ми можемо бути впевнені, що програмне забезпечення без належних клавіш зможе завантажувати пристрій. Програмну платформу Barbara можна перенести на апаратні дошки, що підтримують безпечне завантаження в межах розумних зусиль.

Криптографічні послуги та безпечний зв’язок:

Використання криптографії під час транспортування даних (у русі), для зберігання даних (у спокої) та додатків (у користуванні) є чіткою вимогою до вищезгаданих трьох рівнів безпеки (базовий, покращений, критичний). Особливості, необхідні для забезпечення такого захисту, є:

  • Криптографічні алгоритми на основі стандартів, затверджених NIST / FIPS.
  • Асиметричні та симетричні шифрові набори, хеш-функції та випадкове число. генератори досить потужні і засновані на PKCS (Стандарти криптографії відкритого ключа)
  • У полі оновлення можливість криптографічних алгоритмів мати можливість охопити можливі вразливості.
  • Контроль на основі програм застосування криптографічних функцій, уникаючи використання незахищеної криптографії.
  • Сумісність криптовалют та сертифікатів для систем багатьох постачальників.

Програмна платформа Barbara реалізує кілька функцій, які гарантують якість криптографічних послуг. Він за замовчуванням використовує LUKS, що є стандартом для шифрування жорсткого диска LINUX. LUKS є відкритим, тому він легко піддається аудиту, і він заснований на PKCS, як рекомендовано.

Що стосується транспортування даних, Barbara OS містить необхідні бібліотеки для зв'язку, використовуючи стандартні протоколи додатків IoT, за зашифрованим транспортом (TLS та DTLS).

Крім цього, для трьох визначених рівнів необхідний захищений стек зв’язку. Цей стек зв'язку повинен містити підтримку аутентифікації, захищене з'єднання, брандмауер кінцевої точки та включення захищених транспортних протоколів (TLS, DTLS, SSH ...). Усі ці функції включені до програмної платформи Barbara, тому ВСІ ЗВІТИ Barbara аутентифіковані та зашифровані.

Конфігурація та управління кінцевою точкою

І масштабована система для оновлення Операційної системи, додатків та / або конфігурації пристрою повинна відповідати Покращеним та критичним рівням, беручи до уваги, що вони можуть знадобитися для такого оновлення понад мільйон кінцевих точок одночасно. Звичайно, всі ці операції слід виконувати в захищеному середовищі, включаючи перевірку на основі сертифікатів між суб'єктом господарювання, який обслуговує оновлення, та кінцевою точкою, що його отримує.

У зв'язку з цим Програмна платформа Barbara включає панель Barbara. Barbara Panel - це серверне рішення для управління всіма кінцевими точками розгортання IoT. Він забезпечує просту і централізовану консоль для управління оновленнями OTA (Over The Air), моніторингом пристроїв та керуванням конфігурацією. Усі ці функції пропонуються в найкращому середовищі безпеки класу.

Постійний моніторинг

IIC моніторинг кінцевої точки - це вимога до критичного рівня безпеки, згідно IIC. Це дозволить користувачеві контролювати та запобігати несанкціонованим змінам у конфігурації та мати контроль на рівні додатків для виявлення та запобігання несанкціонованих дій як використання небезпечних шифрів, які можуть поставити під загрозу систему

Панель Barbara включає в себе і систему сповіщень, яка б дозволила користувачу отримувати заздалегідь визначені сповіщення про безпеку та визначати власні сповіщення та підштовхувати їх до кінцевих точок.

Інформаційна панель політики та діяльності

Щоб відповідати Критичному рівню, потрібно вміння віддалено керувати кінцевими точками. Системний адміністратор повинен мати можливість просувати та виконувати політику таким чином, щоб гарантувати правильний розподіл політик по всій мережі, виступаючи таким чином як ефективна система безпеки.

Barbara Panel дозволяє менеджерам розгортання контролювати діяльність кінцевих точок, а також визначати та просувати політику безпеки на основі отриманої інформації. Наприклад, нові політики можуть застосовувати нові правила у вищезгаданому брандмауері, коли виявляються підозрілі схеми зв'язку.

Інформація про систему та управління подіями

Пов’язаний з попереднім абзацом можливість захоплення журналів подій та визначення та розповсюдження політик на основі інформації з журналів також є вимогою для критичного рівня. Рекомендується виконувати ці операції управління за допомогою моделей даних або розширюваних форматів, таких як REST API або JSON.

Система реєстрації журналів Software Barbara Software надає системним адміністраторам велику кількість інформації, яка буде використовуватися для створення політики безпеки.

Висновок

Barbara IoT докладає величезних зусиль для створення безпечного продукту. Продукт, який може бути використаний у найвибагливіших сценаріях з точки зору промислової безпеки. Як і IIC, ми вважаємо, що подібні ініціативи можуть допомогти всій екосистемі галузі, сприяючи довірі та розширенню можливостей для всіх суб'єктів екосистеми.

Список літератури:

  • http://www.iiconsortium.org/
  • Кращі практики безпеки IIC Endpoint Security; IIC: WHT: IN17: V1.0: PB: 20180312 Стів Ханна, Шрінівас Кумар, Дін Вебер.
  • https://github.com/guardianproject/luks/wiki
  • Що користувачі повинні знати про повне шифрування диска на основі LUKS, Simone Bossi та Andrea Visconti; Лабораторія криптографії та кодування (КЛУБ), кафедра комп'ютерних наук, Університет делі Студії Мілано http://www.club.di.unimi.it/

Ця публікація була спочатку опублікована на barbaraiot.com 6 червня 2018 року. Якщо вам це подобається і хочете отримувати подібний вміст, підпишіться на нашу розсилку