इस लेख में, हम औद्योगिक क्षेत्र द्वारा अपने नेटवर्क में गहन रक्षा के सिद्धांत को लागू करने के लिए अपनाई जा रही प्रगति का पता लगाएंगे।

यह सिद्धांत महत्वपूर्ण उपकरणों को सुरक्षा की अनेक परतों के पीछे रखकर उनकी सुरक्षा करने के लाभों को संदर्भित करता है, जिससे सिस्टम के महत्वपूर्ण तत्वों पर प्रभाव पड़ने से पहले ही हमले को पता लगाने या रोकने के लिए कई अवसर उपलब्ध हो जाते हैं।

इसके लिए प्राथमिक उपकरण नेटवर्क विभाजन या, अधिक उन्नत मामलों में, माइक्रोसेगमेंटेशन है। विभाजन में तकनीकों और उपकरणों का सेट शामिल होता है जिसका उपयोग एकल नेटवर्क को कई खंडों (ज़ोन) में विभाजित करने के लिए किया जाता है जो केवल पहचाने गए और संरक्षित चैनलों (नालियों) के माध्यम से संचार करते हैं।

विभाजन प्रत्येक क्षेत्र की आक्रमणीय परिधि को कम करने में मदद करता है, क्योंकि इनबाउंड और आउटबाउंड संचार सुरक्षित परिधि बिंदुओं तक सीमित होते हैं। नेटवर्क ट्रैफ़िक पर अधिक नियंत्रण के साथ, इसके माध्यम से अधिक जटिल आर्किटेक्चर बनाना संभव है:

• ऊर्ध्वाधर विभाजन: अलग-अलग विशेषाधिकार स्तरों वाले क्षेत्रों को अलग करना। आम तौर पर, उपयोगकर्ताओं या बाहरी कनेक्शनों के लिए अधिक सामान्य पहुँच के साथ एक ऊपरी क्षेत्र बनाया जाता है, और अधिक प्रतिबंधित पहुँच के साथ एक निचला क्षेत्र बनाया जाता है।
• क्षैतिज विभाजनसमान विशेषाधिकार स्तर लेकिन भिन्न पहुंच स्तर वाले क्षेत्रों को अलग करना, सामान्यतः कार्यक्षमता के आधार पर क्षेत्रों को अलग करना।

ये निर्माण खंड सुरक्षित औद्योगिक नेटवर्क आर्किटेक्चर बनाते हैं जो लोकप्रिय हो गए हैं और नए मॉडल अधिक उन्नत प्रणालियों में अपनाए जा रहे हैं।

बुनियादी औद्योगिक विभाजन मॉडल #

वर्तमान में, औद्योगिक नेटवर्क आकार, क्षेत्रों और देशों के आधार पर काफी भिन्न होते हैं। हालाँकि, जहाँ साइबर सुरक्षा को उनके डिजाइन में शामिल किया गया है, या तो शुरू में या पूर्वव्यापी रूप से, वहाँ विशिष्ट आवश्यकताओं के अनुरूप आवश्यक संशोधनों के साथ एक समरूप मॉडल की ओर रुझान है।

इस सामान्य स्तरित सुरक्षा मॉडल को गहन रक्षा सिद्धांत को दर्शाने वाले उपायों की एक श्रृंखला के रूप में संक्षेपित किया जा सकता है:

1. औद्योगिक नेटवर्क को कॉर्पोरेट नेटवर्क से अलग किया जाता है ताकि औद्योगिक नेटवर्क पर अनावश्यक ट्रैफ़िक और पहुँच को कम किया जा सके। अलगाव की डिग्री प्रत्येक नेटवर्क और सुरक्षा उपायों की परिपक्वता के अनुसार अलग-अलग होती है।
2. औद्योगिक नेटवर्क को कॉर्पोरेट नेटवर्क के नीचे रखा जाता है। इस तरह, औद्योगिक नेटवर्क को एक पूर्व परत द्वारा संरक्षित किया जाता है, जिसे बाहरी हमलावर को उस तक पहुँचने के लिए पार करना होगा।
3. दोनों नेटवर्क के बीच एक मध्यवर्ती नेटवर्क तैनात किया जाता है, जिसे आम तौर पर डीमिलिटराइज़्ड ज़ोन (DMZ) कहा जाता है। DMZ नेटवर्क के बीच सुरक्षा सीमा के रूप में कार्य करता है, सहायक प्रणालियों के लिए एक सुरक्षित स्थान प्रदान करता है और दोनों वातावरणों के बीच ट्रैफ़िक का प्रबंधन करता है।

यह व्यापक रूप से इस्तेमाल किया जाने वाला मॉडल औद्योगिक विभाजन के लिए एक शुरुआती बिंदु के रूप में कार्य करता है। यह सीधा है और विभिन्न प्रणालियों के लिए अनुकूलनीय है, साथ ही सुरक्षा का स्वीकार्य स्तर भी प्रदान करता है।

हालाँकि, उन्नत या महत्वपूर्ण नेटवर्कों में अधिक परिष्कृत मॉडलों को अपनाने के पीछे दो मुख्य कारक हैं:

• IIoT उपकरण, आईटी प्रौद्योगिकी या AI प्रौद्योगिकी का समावेश: ये उपकरण उत्पादकता या दक्षता को महत्वपूर्ण रूप से बढ़ा सकते हैं, लेकिन पारंपरिक मॉडलों के साथ संघर्ष कर सकते हैं, क्योंकि इनमें से कई को बाहरी नेटवर्क, वायरलेस नेटवर्क या कॉर्पोरेट नेटवर्क से निरंतर कनेक्शन की आवश्यकता होती है।
• खतरों की मात्रा और जटिलता में वृद्धि: जैसे-जैसे हमलावरों को औद्योगिक वातावरण का अनुभव होता है, हमले अधिक लगातार और नुकसानदायक होते जाते हैं। अनुकूलनीय होने के बावजूद, सामान्य मॉडल बेस आर्किटेक्चर परिवर्तन की तुलना में पूरक सुरक्षा उपायों को जोड़ने पर जल्दी ही अक्षम और महंगा हो सकता है।

नये मॉडलों का उद्देश्य इन मुद्दों का समाधान करना है।

माइक्रोसेगमेंटेशन को कैसे लागू करें #

माइक्रोसेगमेंटेशन, जिसे IEC 62443 जैसे विनियमों में मान्यता प्राप्त है, में एक पारंपरिक औद्योगिक नेटवर्क के भीतर स्वतंत्र क्षेत्र बनाने के लिए ज्ञात विभाजन विधियों (क्षैतिज और ऊर्ध्वाधर विभाजन) का उपयोग करना शामिल है।

प्रभावी माइक्रोसेगमेंटेशन के लिए, औद्योगिक नेटवर्क के भीतर संभावित क्षेत्रों की पहचान करके शुरुआत करना आवश्यक है। इस प्रक्रिया को नेटवर्क जोखिम मूल्यांकन के साथ शुरू करना सबसे अच्छा है: उत्पादन के लिए कौन सा उपकरण महत्वपूर्ण है? कौन सा उच्च स्तर का जोखिम पेश करता है? किसकी विशेष परिचालन आवश्यकताएँ हैं? इन सवालों के जवाब देने से समान विशेषताओं वाले उपकरणों के समूहों की पहचान करने में मदद मिलती है।

माइक्रोसेग्मेंटेड नेटवर्क में सामान्य क्षेत्रों के उदाहरणों में शामिल हैं:

नियंत्रण क्षेत्र: उत्पादन प्रक्रिया को नियंत्रित करने के लिए आवश्यक उपकरण, उच्चतम सुरक्षा स्तर और प्रतिबंधित पहुंच के साथ। जहाँ संभव हो, वहाँ कई स्वतंत्र नियंत्रण क्षेत्र निर्धारित करना उचित है। उदाहरण के लिए, किसी विनिर्माण संयंत्र में स्वतंत्र उत्पादन लाइनों के लिए अलग-अलग नियंत्रण प्रणाली किसी घटना से कुल या आंशिक उत्पादन को बाधित होने से रोक सकती है।
निगरानी क्षेत्र: घरेलू उपकरण जो नियंत्रण क्षमताओं के बिना औद्योगिक प्रक्रिया डेटा एकत्र करते हैं। इसकी गंभीरता उस डेटा पर निर्भर करती है जिसे यह संभालता है और इच्छित प्राप्तकर्ता। नेटवर्क के बाहर औद्योगिक प्रक्रिया डेटा संचारित करने वाले उपकरणों के लिए विशेष देखभाल की आवश्यकता होती है, क्योंकि वे स्वाभाविक रूप से गोपनीयता जोखिम और संभावित घुसपैठ वैक्टर पेश करते हैं।
सुरक्षा क्षेत्रहोस्ट सुरक्षा और घटना रोकथाम उपकरण। ये सिस्टम आम तौर पर बाहरी नेटवर्क से अलग होकर काम करते हैं, लेकिन उनकी उपलब्धता महत्वपूर्ण है। उन्हें सामान्य औद्योगिक नेटवर्क पर रखने से उन्हें परिचालन लाभ दिए बिना अनावश्यक जोखिम उठाना पड़ता है।
अनुपालन क्षेत्र: क्षेत्र, आकार और कंपनी संस्कृति पर निर्भर करते हैं, अक्सर उत्सर्जन, उत्पादन KPI, स्टॉक, मशीन की स्थिति और ऊर्जा खपत जैसे डेटा की निगरानी करते हैं। इन प्रणालियों को आमतौर पर उच्च उपलब्धता और कॉर्पोरेट और बाहरी नेटवर्क के साथ संचार की आवश्यकता होती है।
अतिरिक्त क्षेत्र:

• डेटा होस्टिंग क्षेत्र: सर्वर, भंडारण इकाइयाँ और डेटाबेस, जिनमें लगातार उपयोग किए जाने वाले उत्पादन डेटा से लेकर बैकअप के लिए कोल्ड स्टोरेज तक शामिल हैं।
• सहायक सेवा क्षेत्र: आमतौर पर क्रॉस-ज़ोन सेवाओं, जैसे ईमेल, एंटीवायरस, संपत्ति खोज और अनुमति प्रबंधन के लिए केंद्रीय सर्वर।
• परीक्षण क्षेत्र: परिवर्तनों को लाइव वातावरण में लागू करने से पहले उन्हें सत्यापित करने के लिए सुरक्षित वातावरण।
• अतिरेक क्षेत्र: उन उपकरणों के लिए जो सामान्यतः उत्पादन में भाग नहीं लेते हैं, लेकिन प्राथमिक प्रणालियों के अक्षम होने पर वैकल्पिक संचालन प्रदान करते हैं।

इन क्षेत्रों के संयोजन लगभग अनंत हैं और इन्हें प्रत्येक औद्योगिक वातावरण के लिए अनुकूलित किया जा सकता है। एक क्षेत्र एक एकल पृथक उपकरण जितना छोटा या आवश्यकतानुसार बड़ा हो सकता है, जिससे संयोजन की अनुमति मिलती है, जैसे कि नियंत्रण क्षेत्र में सीधे पहुँच के बिना डेटा चैनल बनाने के लिए नियंत्रण क्षेत्र के भीतर एक विशिष्ट निगरानी क्षेत्र को तैनात करना।

हालांकि, पारंपरिक तकनीकों का उपयोग करके ऐसे आर्किटेक्चर को तैनात करना जल्द ही अव्यावहारिक हो जाता है। ज़ोन की संख्या को गुणा करने से नेटवर्क डिवाइस और सीमाओं की संख्या बढ़ जाती है जिन्हें खरीदने, तैनात करने और बनाए रखने की आवश्यकता होती है। इसलिए, इस उन्नत विभाजन का समर्थन करने वाली तकनीकों को समझना आवश्यक है।

माइक्रोसेगमेंटेशन टेक्नोलॉजीज #

माइक्रोसेगमेंटेशन को समर्थन देने के लिए कई नेटवर्क प्रौद्योगिकी परिवार विकसित हुए हैं, जिनमें प्रमुख उदाहरण हैं:

• ओटी फ़ायरवॉल: आम तौर पर कई कनेक्शनों के लिए रैक-माउंटेड, हाल के फ़ायरवॉल मॉडल को इलेक्ट्रिकल कैबिनेट, छोटे स्थानों या कठोर परिस्थितियों में स्थापना के लिए छोटा किया जाता है। ये डिवाइस आम तौर पर प्रत्येक मामले के लिए बारीक नियमों के साथ कई सीमा बिंदुओं को नियंत्रित करने के लिए एक मुख्य कंसोल से केंद्रीकृत प्रबंधन की अनुमति देते हैं।
• प्रबंधित स्विचयद्यपि खंडित नेटवर्क और यातायात नियंत्रण बनाने में सक्षम प्रबंधित स्विच उपलब्ध हैं, फिर भी माइक्रोसेगमेंटेशन ने आकार, क्षमताओं और सुरक्षा सुविधाओं के संदर्भ में अधिक लचीले मॉडलों के विकास को प्रेरित किया है।
• ईडीआर (एंडपॉइंट डिटेक्शन एंड रिस्पांस): OT फ़ायरवॉल के समान लेकिन अतिरिक्त सुरक्षा कार्यों के साथ। EDR में एंटीवायरस, व्हाइटलिस्टिंग, DoS सुरक्षा और IDS/HIDS क्षमताएँ शामिल हो सकती हैं, जो उन वातावरणों के लिए ऑल-इन-वन समाधान प्रदान करती हैं जहाँ पारंपरिक सुरक्षा उपाय अव्यावहारिक हैं।
• IoT गेटवेपारंपरिक गेटवे की तरह ही, ये डिवाइस IIoT प्रोटोकॉल ट्रैफ़िक को केंद्रीकृत और वितरित करते हैं, जिससे इसका प्रबंधन और विभाजन सरल हो जाता है। उद्योग द्वारा डिज़ाइन किए गए मॉडल अक्सर एन्क्रिप्शन, एक्सेस कंट्रोल, लोड बैलेंसिंग और चुनौतीपूर्ण परिस्थितियों के लिए तैनाती जैसी सुरक्षा क्षमताएँ जोड़ते हैं।

जैसा कि देखा गया है, अधिकांश नई माइक्रोसेगमेंटेशन प्रौद्योगिकियां वर्तमान में पारंपरिक सेगमेंटेशन के लिए उपयोग किए जाने वाले उपकरणों के अद्यतन संस्करण हैं, जिन्हें औद्योगिक नेटवर्क की विशिष्ट आवश्यकताओं के अनुकूल होते हुए नेटवर्क प्रबंधन को सरल बनाने के लिए डिज़ाइन किया गया है।

निष्कर्ष #

विभिन्न कारकों के कारण माइक्रोसेगमेंटेशन तेजी से औद्योगिक नियंत्रण प्रणाली सुरक्षा के लिए एक आवश्यक उपकरण बनता जा रहा है:

• नई प्रौद्योगिकियां कार्यान्वयन को आसान बनाती हैं।
• नेटवर्क प्रबंधन तब आसान होता है जब इसे शुरू से ही गहन सुरक्षा सिद्धांतों के साथ डिजाइन किया जाता है।
• औद्योगिक नेटवर्कों में उपकरणों और प्रौद्योगिकियों की बढ़ती विविधता के कारण कनेक्टिविटी की अनेक आवश्यकताएं उत्पन्न होती हैं।
• औद्योगिक प्रणालियों के बीच अधिक अंतर-संपर्क से यातायात और उपयोगकर्ताओं का प्रबंधन बढ़ जाता है।

ये कारक सभी प्रकार के औद्योगिक नेटवर्क के लिए माइक्रोसेगमेंटेशन की बढ़ती हुई अनुशंसा करते हैं। हालाँकि, छोटे या कम उन्नत नेटवर्क भी इसके साइबर सुरक्षा लाभों से लाभान्वित हो सकते हैं, जैसे:

• स्वतंत्र फायरवॉल के पीछे कमजोर या विशिष्ट उपकरणों से आने वाले ट्रैफिक को नियंत्रित करना।
• प्रदाताओं और बाह्य संस्थाओं द्वारा पहुंच योग्य उपकरणों को दो स्वतंत्र नियंत्रण नेटवर्कों द्वारा शेष नेटवर्क से अलग करना।
• वायु अंतराल के माध्यम से सुरक्षा उपकरणों को अलग करना।

इस प्रकार, नए औद्योगिक नेटवर्कों को डिजाइन करते समय या मौजूदा नेटवर्कों में परिवर्तन करते समय या नए उपकरण लगाते समय माइक्रोसेगमेंटेशन प्रथाओं को लागू करने पर विचार करना उचित है।