ပြီးခဲ့တဲ့ Post မှာ Purdue Model ရဲ့ Layer 0 ကနေ Layer 5 အထိ အခြေခံ စနစ်တွေကို ရှင်းပြခဲ့ပြီးပါပြီ။
မဖတ်ရသေးရင် ဒီအောက်က လင့် တွေ မှာ ဖတ်နိုင်ပါတယ်။
ဒီနေ့မှာတော့ OT Network (Industrial Network) တွေကို ကာကွယ်ပေးဖို့ ဘာကြောင့် Industrial DMZ (IDMZ / Layer 3.5) ကို မဖြစ်မနေ လိုအပ်တာလဲဆိုတာကို ကမ္ဘာကျော် OT Cyberattacks ဖြစ်စဉ် နှစ်ခုနဲ့အတူ ဝေမျှပေးချင်ပါတယ်။
ကမ္ဘာကျော် OT Cyberattacks ဖြစ်စဉ်များ
-------------------------------------------------
၁) Stuxnet Attack (2010, Iran) – Air-gapped Physical Vector Attack
အီရန်နိုင်ငံ Natanz ယူရေနီယမ်သန့်စင်စက်ရုံမှာ OT Network (Layer 0–3) နဲ့ IT Network (Layer 4–5) တို့ကို လုံးဝ Physical အဆက်အသွယ်ဖြတ်တောက်ထားတဲ့ (Air-gapped) စနစ်ကို သုံးထားတာပါ။
ဒါပေမဲ့ Attacker တွေဟာ Layer 3 မှာရှိတဲ့ Engineering Workstations တွေဆီ Infected USB Flash Drive ကနေတစ်ဆင့် Stuxnet Malware ဝင်ရောက်အောင် ပြုလုပ်ခဲ့ပြီး Layer 0 မှာရှိတဲ့ Centrifuges မော်တာတွေကို Physically ပျက်စီးသွားအောင် တိုက်ခိုက်ခဲ့ပါတယ်။
မော်တာတွေကို ပျက်စီးအောင်လုပ်ရုံသာမကပဲ Malware က မော်တာတွေ ပုံမှန်လည်ပတ်နေစဉ် ၂ မိနစ်စာ Data ကို ကြိုတင် Record လုပ်ထားပြီး အပေါ် Layer တွေရဲ့ Monitoring Screens တွေပေါ်မှာ ပုံမှန်လည်ပတ်နေသယောင် လှည့်စား (Replay Attack) ခဲ့ပါတယ်။
ဒီ Attack ကြောင့် အီရန်ရဲ့ နူကလီးယားစီမံကိန်း ရေရှည် အဟန့်အတား ဖြစ်ခဲ့ရပါတယ်။
ဒီဖြစ်ရပ်ကနေ ပဲ တကမ္ဘာလုံး အတိုင်းအတာနဲ့ Physical USB Drive တွေရဲ့ အန္တရာယ်ကို သတိပြုမိစေခဲ့ပြီး Removable Media Control နဲ့ OT Network Visibility တို့ရဲ့ အရေးပါမှုကို မီးမောင်းထိုးပြခဲ့ပါတယ်။
၂) Ivano-Frankivsk Power Grid Attack (2015, Ukraine) – IT-to-OT Pivoting Attack
ဒီဖြစ်စဉ်ကတော့ ယူကရိန်းနိုင်ငံ၊ Ivano-Frankivsk မြို့ မှာ ရှိတဲ့ Power Substation တစ်ခုမှာ ဖြစ်ပွားခဲ့တာပါ။
Attacker တွေဟာ Power Station ရဲ့ IT Network ထဲကို Spear-phishing Email ကနေတစ်ဆင့် စတင်ဝင်ရောက်ခဲ့ပါတယ်။ ဝင်ရောက်ပြီးတာနဲ့ ဝန်ထမ်းတွေရဲ့ Login Credentials (VPN & System Access) တွေကို ခိုးယူပြီး OT/SCADA Network ထဲကိုတိုက်ရိုက် Pivot လုပ်ဝင်ရောက်၊ Substation Breakers တွေကို Remote ကနေ shutdown လိုက်တာကြောင့် မြို့ထဲက လူဦးရေ ၂ သိန်းကျော် ၁ နာရီကျော်ကြာ လျှပ်စစ်မီး ပြတ်တောက်ခဲ့ရပါတယ်။
ဒီ ဖြစ်ရပ်ကနေ ပဲ IT Network ကနေ OT Network ထဲကို တိုက်ရိုက် မဝင်ရောက်နိုင်အောင် ခိုင်မာတဲ့ Strict IDMZ Architecture လိုအပ်ကြောင်း အဓိက သက်သေပြခဲ့ပါတယ်။
အဲဒီတော့ IDMZ (Layer 3.5) ဆိုတာ ဘာလဲ။ ဘယ်လိုမျိုးလဲ။
IDMZ ဆိုတာ OT Zone (Layer 0–3) နဲ့ Enterprise IT Zone (Layer 4–5) ကြားမှာ ကြားခံအဖြစ် ခြားနားထားတဲ့ Buffer Zone (သို့မဟုတ်) Sanitizing Security Boundary တစ်ခု ဖြစ်ပါတယ်။
သမားရိုးကျ Network တွေမှာ IT နဲ့ OT ကို တိုက်ရိုက် Direct Connection ချိတ်ဆက်တာမျိုး လုံးဝ မလုပ်ရပါဘူး။ IT နဲ့ OT အကြား ဖြတ်သန်းမယ့် Data တွေ၊ Services တွေအားလုံးကို IDMZ (Layer 3.5) မှာတင် ရပ်တန့်စေပြီးမှ စစ်ဆေး အလုပ်လုပ်စေတာ ဖြစ်ပါတယ်။
ဒါဆိုရင် IT နဲ့ OT ကို လုံးဝ Air-gap လုပ်ထားလို့ မရဘူးလား။
မရပါဘူး။ ဘာကြောင့်လဲဆိုတော့ Layer 4 နဲ့ Layer 5 မှာ Business Intelligence Data နဲ့ Telemetry Data တွေ လိုအပ်လို့ပါပဲ။ Sub-contractor/Vendors တွေအနေနဲ့ Monitoring & Maintenance လုပ်ဖို့လိုသလို၊ ကုမ္ပဏီအနေနဲ့လည်း Business Strategy နဲ့ Daily Operations တွေ အတွက် Real-time and historical data တွေ လိုအပ်လို့ ဖြစ်ပါတယ်။
ဒါဆို Safe, Secure ဖြစ်ပြီး Business Operations မထိခိုက်အောင် IT နဲ့ OT ကို ဘယ်လို Isolate လုပ်ကြမလဲ။
အောက်ပါ နည်းလမ်းများကို ပေါင်းစပ်အသုံးပြုကြပါတယ်။
- Data Diode ဖြင့် Physical Boundary ခံယူခြင်း
OT Layer 2/3 က Telemetry Data များကို IT Layer 4/5 သို့ ပို့သည့်အခါ IDMZ (Layer 3.5) တွင် Data Diode (Hardware-enforced One-Way Data Flow) ခံထားခြင်း။ ဒါဆိုရင် IT Network ဘက်ကနေ OT ထဲကို Inbound Traffic တိုက်ရိုက် စီးဆင်း၍ မရတော့တာကြောင့် ယူကရိန်း Power Grid လိုမျိုး IT Network က တစ်ဆင့် Attack လုပ်မှုကို ထိရောက်စွာ ကာကွယ်နိုင်သွားပါတယ်။
- OT Native IDS ဖြင့် Real-time Monitoring ပြုလုပ်ခြင်း
OT Zone (Layer 2/3) Switch တွေမှာNozomi Networks, Gigamon, Claroty, Dragos တို့ လို Industrial Control Vendor တွေ ရဲ့ OT Native IDS တပ်ပြီး Anomaly Detection & Monitoring လုပ်တာမျိုး။
ဒါဆိုရင် Stuxnet လိုမျိုး ပုံမှန်မဟုတ်တဲ့ PLC Logic Upload/Download activity၊ suspicious Remote Desktop (RDP) Access တွေ နဲ့ Unauthorized SCADA Commands တွေကို Real-time Detect & Alert လုပ်ပေးနိုင်ပါတယ်။
- IDMZ (Layer 3.5) မှာ ဘာ Servers/Services တွေ ရှိသင့်သလဲ။
IT ဘက်ကနေ OT Systems တွေကို Remote Access လုပ်မယ်ဆိုရင် IDMZ ထဲရှိ Jump Host မှတစ်ဆင့်သာ ဝင်ရောက်စေပြီး MFA နှင့် Just-In-Time (JIT) Access Controls များ ထားရှိခြင်း။
IT Network ကနေ OT Network ထဲက Historian Server ထဲမှာရှိတဲ့ Logs/Data တွေကို တိုက်ရိုက် မကြည့်စေဘဲ IDMZ ထဲတွင် Replica Server ထားခြင်း။
OT Layer 2/3 ထဲက Systems တွေ အတွက် Antivirus Definitions နဲ့ Firmware/OS Patches တွေကို delivery လုပ်ဖို့ အတွက် IDMZ ထဲမှာ Update Server ထားပြီး Patch delivery အမြဲလုပ်ခြင်း တို့ပဲ ဖြစ်ပါတယ်။
အနှစ်ချုပ် ပြောရမယ်ဆိုရင်
Cyberattacks တွေထဲမှာ OT Cyberattack တွေဟာ Critical Infrastructure တွေဖြစ်တဲ့ Power Stations, Water Treatment, Oil & Gas, Healthcare, Transportation (Airport, Railway) စတဲ့ စနစ်များကို ရပ်တန့်/ပျက်စီးစေပြီး လူတွေရဲ့ အသက်အန္တရာယ်ကိုပါ တိုက်ရိုက် ခြိမ်းခြောက်နိုင်တာကြောင့်
Operational Technology Network အကြောင်း အခြေခံ သဘောတရားများကို သေချာ နားလည်ပြီး စနစ်တကျ ကာကွယ်နိုင်ကြပါစေကြောင်း အကြံပြုရင်း OT Network နဲ့ OT Cybersecurity အကြောင်းကို ဒီမှာပဲ နိဂုံးချုပ်လိုက်ပါတယ်။
(Hospital Network တွေ မှာ လုပ်ခဲ့ တုန်းက သိခဲ့ တဲ့ IoMT (Internet of Medical Things နဲ့ OT အကြောင်းတွေ ကို ရေးချင်သေးပေးမယ့် အချိန် မပေးနိုင်တော့လို့ မရေးတော့ပါဘူး။)
ပျော်ရွှင်ပါစေဗျာ။
(Be knowledgeable, pass it on then)
No comments :
Post a Comment