98 yıllık bir şirketten üretimde siber güvenlik için sıfır güven yol haritası

Üreticiler, fidye yazılımı saldırıları ile kimlik ve veri hırsızlığı için en popüler kurumsal hedeflerdir. Müşteri siparişleri ve teslimatlar dengede beklerken, ürün hatlarını yalnızca kısa bir süreliğine kapatmayı göze alabilirler. Böylece saldırganlar, üretim operasyonlarını aksatabilirlerse yüksek bir fidye ödemesi yapabileceklerini bilirler.

Pella şirketin sıfır güven yaklaşımı, siber güvenliklerini modernize etmek isteyen üreticiler için pragmatik ve faydalı bir yol haritası sunuyor. Pella, konut ve ticari müşteriler için lider bir pencere ve kapı üreticisidir ve 1925’ten beri faaliyet göstermektedir.

>>Özel sayımızı kaçırmayın: Nirvana arayışı: Geniş ölçekte yapay zeka uygulamak.<<

VentureBeat kısa bir süre önce Pella Corporation’da siber güvenlik ve GRC kıdemli müdürü John Baldwin ile röportaj yapma fırsatı buldu. Pella’nın, şirket çapında 5.200 uç nokta ve 800 sunucu için güvenliği iyileştirme ve yönetişim çerçevesine ince ayar yapmaktan başlayarak sıfır güven zihniyetine doğru ilerlemesini anlattı. Pella kullanır kitle grevi Şahin Tamamlamak yönetilen algılama ve yanıt (MDR) Ve Şahin Kimlik Tehdidi Koruması kimlik tabanlı saldırı riskini azaltmak için uç nokta güvenliği için. Sistemler 10.000 çalışanı, 18 üretim yerini ve çok sayıda teşhir salonunu koruyor.

Baldwin, VentureBeat’e şirketin sıfır güven yaklaşımının “bir zihniyet ve birbiriyle örtüşen bir dizi kontrol” olduğunu söyledi. CrowdStrike, sıfır güven dağıtımımdaki tek oyuncu olmayacak, ancak elbette bunun önemli bir parçası olacaklar. Uç nokta görünürlüğü ve koruması, oradan başlamanız gerekir. Ve sonra yönetim çerçevesini bir sonraki katmana inşa etmek, bunu kimliğe dönüştürmek ve tüm çevik DevOps’larınızın çevik DevSecOps haline gelmesini sağlamak.”

Üretim, mevcudiyet durumuna bağlı olarak yaşar ve ölür

Saldırganlar için birincil hedef üreticilerdir çünkü onların işleri zamana en duyarlıdır ve BT altyapıları en az güvenlidir. Baldwin, VentureBeat’e “tam zamanında üretim yapan çoğu üretici gibi, kesintilere karşı oldukça duyarlıyız. Bu bizim için özellikle odaklandığımız bir alan oldu. Müşteri taleplerini karşılayabilmemiz için siparişler gelirken ürünlerin olabildiğince hızlı akmasını sağlamak istiyoruz. Bu bir meydan okumaydı. Sektörümüzde ve Orta Batı’da pek çok başka kuruluşun hedef alındığını gördük, çünkü tam zamanında üreticiler veya hizmet sağlayıcılar olarak fidye yazılımı saldırısı gibi şeylere karşı çok hassaslar. ”

IBM’in X-Force Tehdit İstihbaratı Endeks 2023 üretimin en çok saldırıya uğrayan sektör olmaya devam ettiğini ve 2021’dekinden biraz daha büyük bir farkla olduğunu tespit etti. Rapor, 2022’de olayların %28’inde arka kapıların konuşlandırıldığını ve düzeltilen olayların %23’ünde ortaya çıkan fidye yazılımını geride bıraktığını ortaya koydu. X-Force tarafından. Veri gaspı, vakaların %32’sinde üretim organizasyonları üzerindeki en önemli etkiydi. Veri hırsızlığı, olayların %19’uyla ikinci en yaygın olanıydı ve bunu %16 ile veri sızıntıları izledi.

Pella’dan Baldwin, VentureBeat’e üretime yönelik tehdit ortamının fırsatçı fidye yazılımı saldırılarından organize suçluların saldırılarına geçtiğini söyledi. Önemli olan gelip gelmemeleri değil, ne zaman ve bu konuda ne yapabileceğimizdir” dedi. “Aksi takdirde, müşterilerimizi ve iş ortaklarımızı etkileyen gecikmeler bir yana, üretimi kesintiye uğratacak ve çok maliyetli olacak şekilde birkaç gün sistem kesintisi yaşayabiliriz.

Üreticilerin sistemleri çöktü ortalama beş günün sonrasında bir siber saldırı. Bu şirketlerin yarısı, kesintilere üç gün içinde yanıt verdiklerini bildirdi; sadece %15’i bir gün veya daha kısa sürede yanıt verdiğini söyledi.

CEO’su Tom Sego, “Üretim, mevcudiyet durumuna göre yaşar ve ölür” dedi. Patlama dalgası, yakın tarihli bir röportajda VentureBeat’e söyledi. “BT, üç ila beş yıllık bir teknoloji yenileme döngüsü üzerinde dönüyor. OT daha çok 30 yıl gibi. Çoğu HMI (insan-makine arabirimi) ve diğer sistemler, Windows veya SCADA sistemlerinin artık desteklenmeyen, yama uygulanamayan sürümlerini çalıştırıyor ve bilgisayar korsanlarının bir üretim operasyonunu felce uğratması için mükemmel bir dayanak noktası oluşturuyor.”

Pella’nın sıfır güvene ilişkin pragmatik görüşü

Sağlam yönetişime dayalı bir sıfır güven çerçevesinin planlanmasından ve uygulanmasından öğrenilen dersler, Pella’nın süregelen başarılarının temelini oluşturur. Şirket, sıfır güvenin BT, siber güvenlik ve yönetişim, risk ve uyumluluğu (GRC) senkronize halde tutmak için gerekli korkulukları nasıl sağlayabileceğini gösteriyor. En önemlisi, Pella, birçok ekibin değerli zamanını boşa çıkaran, sıfır güvene dayalı otomatikleştirilmiş iş akışlarını kullanarak her kimliği ve tehdit yüzeyini koruyor. Baldwin, VentureBeat’e “Sıfır güveni nasıl tasavvur ediyorum, işe yarıyor ve otomatik olduğu için kimse onu doğrulamak için çok zaman harcamak zorunda kalmıyor” dedi.

“Bana göre sıfır güven yaklaşımının ana cazibesi, standartlaştırabilirsem otomatikleştirebileceğimdir. Otomatikleştirebilirsem, işleri daha verimli, potansiyel olarak daha ucuz ve hepsinden önemlisi denetimi çok, çok daha kolay hale getirebilirim.

“Önceden,” diye devam etti, “birçok manuel sürecimiz vardı ve sonuçlar iyiydi ama doğrulamak için çok zaman harcadık. Bu, şeylerin büyük şemasında gerçekten o kadar değerli değil. [Now] Ekibimin ve diğer teknik kaynakların sadece işlerin doğru çalıştığından emin olmaya değil, projelere odaklanmasını sağlayabilirim. Çoğu insanın bu anlamda benim gibi olduğunu varsayıyorum. Bu çok daha ödüllendirici.”

Önce kimlik ve erişim yönetimini (IAM) ikiye katlama

Baldwin, VentureBeat’e şunları söyledi: “Kimliğin sıfır güven altyapısına ve sıfır güven operasyonlarına nüfuz ettiğini, çünkü kimin ne yaptığını bilmem gerektiğini. “Bu davranış normal mi?” Bu nedenle, kimlikle görünürlük anahtardır.”

Yapılması gereken bir sonraki şeyin, ayrıcalıklı hesap erişim kimlik bilgilerini ve hesapları güvenli hale getirmek olduğunu söyledi. “Ayrıcalıklı hesap yönetimi bunun bir parçasıdır, ancak tabiri caizse kimlik muhtemelen hiyerarşide daha da yüksektir. Kimliği kilitlemek ve bu görünürlüğe sahip olmak, özellikle Ön alım ürünü [now Identity Protection Service], bu bizim en büyük kazanımlarımızdan biri oldu. Çevrenizde kimlerin olduğuna dair iyi bir fikriniz yoksa, o zaman [problems become] teşhis etmek çok daha zor.

“Bu ikisini birleştirmek [securing accounts and gaining visibility] bir oyun değiştirici, ”diye bitirdi.

Her şey dahil, erken, en az ayrıcalıklı erişime geçiş

“Pella uzun süredir, biz buna en az ayrıcalıklar diyeceğiz yaklaşımı uygulamıştır. Bu, bazı ek ayrıcalıklar biriktirmiş ve daha fazla soruna neden olan alanları izole etmemizi sağladı. Bu ayrıcalıkları geri çevirmeye başladık ve biliyor musunuz? Sorunlar da ortadan kalktı. Bu çok yardımcı oldu,” dedi Baldwin. “Çok memnun olduğum bir başka şey de, cihazların alan adımızı nereye bıraktığı konusunda bize daha iyi bir fikir vermesi.”

Herhangi bir sıfır güven yol haritasında erken uç nokta görünürlüğü ve kontrolü oluşturmak, ağ ve kimlik mikro segmentasyonu dahil olmak üzere gelişmiş teknikleri destekleyebilen sağlam bir temel oluşturmak için önemli bir risktir. Pella, bunu doğru yapmanın ne kadar önemli olduğunu fark etti ve CrowkdStrke ve Falcon Complete Service tarafından yönetilen, 7/24 yönetilen, yönetilen bir güvenlik operasyonları merkezine devretmeye karar verdi.

“Bundan son derece memnun kaldık. Sonra, Kimlik Koruma Hizmetini ilk benimseyenlerden biri oldum. CrowdStrike’tan satın aldığımızda hala Preempt olarak adlandırılıyordu. Bu, kimliğe dayalı normal davranışın ne olduğu konusunda görünürlük ve anlayışa sahip olmak için harika oldu. Bir kullanıcı aynı üç cihazda rutin olarak oturum açıyorsa, sorun değil, ancak kullanıcı aniden bir etkin dizin etki alanı denetleyicisinde oturum açmaya başlarsa, bunu bilmek ve belki de durdurmak isterim.”

Sıfır güven başarısının nasıl bir şey olduğunu bilin

Pella’nın sıfır güven yaklaşımı, her türlü saldırıyı başlamadan önce tahmin etmek ve durdurmak için kullanabileceği pratik içgörülere odaklanır. VentureBeat’in sıfır güvenle konuştuğu birçok üreticiden neredeyse tamamı, üretim operasyonları daha fazla yeniden yerleştirmeyi ve yakın kıyıya yakınlaştırmayı desteklemek için değişirken sayıları hızla artan uç noktalara ve kimliklere ayak uydurmak için yardıma ihtiyaçları olduğunu söylüyor. Ayrıca VentureBeat’e çevre tabanlı siber güvenlik sistemlerinin ayak uyduramayacak kadar esnek olmadığını kanıtladılar.

Pella, sıfır güvene yönelik önce kimlik yaklaşımı benimseyerek bu zorlukların üstesinden geliyor. Şirket, eski ve aşırı ayrıcalıklı hesapları %75 oranında azaltarak kurumsal saldırı yüzeyini önemli ölçüde azalttı. Ayrıca, olay çözümünü günlerden 30 dakikaya indirdi ve artık CrowdStrike’ın onlar adına yönettiği bir 7/24 güvenlik operasyon merkezini (SOC) işletmek için altı tam zamanlı çalışanı işe alma ihtiyacını hafifletti.

Pella’nın tavsiyesi: Kimlik tabanlı erişim için sıfır güveni TSA PreCheck olarak düşünün

Baldwin, sıfır güveni açıklamak için en sevdiği yaklaşımın bir alegori kullanmak olduğunu söylüyor. Favorisi şu: “Peki insanlar bana sorduğunda sıfır güvenden kastınız nedir? ‘Ticari bir havalimanına her girdiğinizde sıfır güven yaşadınız’ diyorum. Kimlik bilgilerini önceden sağlamalısınız. Neden orada olduğunuzu, hangi uçuşu yaptığınızı anlamaları gerekiyor… Bunları, üç onsluk şişeleri, her neyse, tüm TSA kurallarını havaalanına getirmeyin. Ardından standart bir güvenlik taramasından geçersiniz. O zaman siz… beklenen şekilde davranın. Ve yaramazlık yaparsan müdahale ederler.”

Devam etti, “Böylece insanlar ‘Ah, sıfır güven budur’ dediğinde, evet, belki daha iyi bir ambiyans ve daha iyi bir kullanıcı deneyimi ile o havaalanı deneyimini oluşturmaya çalışıyorum. Ancak sonuçta, tüm bu kuralları izleyebilirseniz, geliştirmeden teste, kalite güvencesine, üretime dağıtıma ve insanların onu kullanmasını sağlamakta sorun yaşamazsınız. Alanınızda iyi bir güvenlik uygulayıcısıysanız, belki o TSA PreCheck’e kaydolabilir ve hızlı geçiş yapabilirsiniz.

Pella’nın sıfır güven vizyonu, üretimi yavaşlatmak yerine üretimi sürdürmek ve müşteri siparişlerini yerine getirmek için gereken ölçekte ve hızda kimlik tabanlı güvenlik sağlayarak küresel olarak her sistem kullanıcısına PreCheck sağlamaktır.