Przemysł: segmentacja OT i redukcja ryzyka lateral movement

Kontekst

Zakład produkcyjny z 4 liniami montażowymi, systemami PLC (Siemens, Allen-Bradley), SCADA i zdalnym dostępem dla integratorów. Sieć OT była płaska — stacje inżynierskie w tej samej domenie co biuro. Po incydencie ransomware w sąsiedniej firmie z tej samej branży zarząd zlecił ocenę ryzyka OT.

Wyzwanie

Pentest wewnętrzny wykazał możliwość przejścia z sieci biurowej do stacji inżynierskiej HMI w mniej niż 45 minut. Brak inwentaryzacji aktywów OT, brak segmentacji wg ISA/IEC 62443, konfiguracje PLC bez backupu. Wymaganie biznesowe: zero przestojów produkcji podczas wdrożenia.

Podejście

• Pasywna inwentaryzacja aktywów OT (48h monitoring)
• Projekt architektury stref i konduits wg IEC 62443-3-2
• Fazowe wdrożenie segmentacji w oknach serwisowych
• Wdrożenie jump hosta i MFA dla dostępu zdalnego integratorów
• Backup konfiguracji PLC i procedury rollback

Zakres

• Mapowanie topologii IT/OT
• Projekt i wdrożenie segmentacji
• Monitoring pasywny anomalii OT
• Hardening stacji inżynierskich
• Szkolenie zespołu utrzymania

Rezultaty

• Wyeliminowano bezpośrednią łączność biuro → OT Core
• Zinwentaryzowano 127 aktywów OT (wcześniej: 43 w CMDB)
• Wdrożono monitoring pasywny z 12 use case'ami detekcji
• Czas dostępu zdalnego integratora: z niekontrolowanego VPN do audytowanego jump hosta
• Zero przestojów produkcji podczas 6-miesięcznego projektu

Metryki

Co klient otrzymał

• Dokumentacja architektury OT z mapą stref
• Procedury dostępu zdalnego i awaryjne
• Rejestr aktywów OT
• Raport z testów segmentacji
• Plan utrzymania i aktualizacji

Dalsze kroki

• Pentest OT w uzgodnionym oknie serwisowym
• Rozszerzenie monitoringu na linię produkcyjną 5 (w budowie)
• Certyfikacja zgodności IEC 62443 (faza 3)