Por que os agentes de segurança de endpoint de TI não trabalham em OT?

Os agentes de segurança de terminais de TI não funcionam em OT são pesados e causam interrupções, não compreendemIoT e não são adaptados para OT , por isso detectam ameaças erradas.

Os agentes de segurança de endpoint são uma parte padrão das implementações de segurança de TI, não apenas em computadores desktop, laptops e impressoras, mas também na explosão de dispositivos remotos e de IoT . Eles são essenciais para a proteção antivírus e a aplicação de patches. Infelizmente, experiências negativas com a implementação de agentes focados em TI em dispositivos OT levaram a uma adoção escassa do tão necessário monitoramento de endpoints.

Aqui estão alguns dos principais motivos pelos quais os agentes de endpoint tradicionais não são suficientes em ambientes industriais:

1. Pesado e perturbador

Muitos dispositivos e controladores OT têm potência de computação e memória limitadas, projetadas para executar tarefas específicas. Até mesmo os agentes antivírus padrão consomem muitos recursos. As soluções de segurança de endpoint de TI também costumam exigir a reinicialização do sistema após a instalação, o que significa tempo de inatividade.

2. Ameaças erradas

Os sistemas tradicionais de varredura de vulnerabilidades e prevenção de intrusões são projetados para detectar ameaças de TI usando modelos heurísticos e de aprendizado de máquina treinados em ambientes de TI. Eles não procuram ameaças industriais, não entendem os protocolos de comunicação industrial e não reconhecem as linhas de base de OT . Por exemplo, embora as soluções antivírus ofereçam visibilidade das estações de trabalho, elas não podem fornecer informações sobre os controladores e atuadores industriais. Algumas das consequências incluem deixar o hardware de engenharia sem resposta, sinalizar como maliciosos os protocolos de segurança legítimos ou os comandos do sistema de controle, interromper um processo ou excluir um aplicativo essencial que ele percebe como malware.

3. Acesso no nível do kernel

Ao causar interrupções generalizadas em dispositivos Windows em todo o mundo em julho de 2024, a agora notória atualização de conteúdo defeituosa do sensor de endpoint Falcon da CrowdStrike deixou OT ainda mais receosos em relação à implantação de agentes em ambientes industriais. O incidente destaca o quanto é fundamental garantir que os agentes de segurança de endpoint, desenvolvidos para proteger os requisitos específicos de alta disponibilidade OT , sejam seguros e não causem interrupções.

Ao contrário das ferramentas tradicionais de EPP e EDR, o sensorArc Nozomi Arc opera principalmente no espaço do usuário, usando módulos do espaço do kernel apenas quando absolutamente necessário, principalmente no modo somente leitura. Esse design garante uma interação precisa e controlada com os objetos do sistema, minimizando as operações de gravação e preservando a estabilidade do sistema. 

Segurança de endpoint segura e eficaz para dispositivos OT

Nozomi Arc é um agente de segurança seguro e sem interrupções, criado especificamente para proteger os requisitos exclusivos de alta disponibilidade dos endpoints OT . Ele esclarece áreas do seu ambiente que antes eram inalcançáveis e não monitoradas, onde os sensores de rede não são práticos ou são insuficientes para detectar o tráfego Leste-Oeste, portas USB, arquivos de registro, tráfego de rede local e atividade do usuário. 

Os benefícios incluem:

• Fornece dados detalhados, incluindo tipo de dispositivo, fabricante, versão do sistema operacional ou do firmware, número de série, endereços IP e MAC, nós, zonas, protocolos utilizados, contas ativas e atividades suspeitas dos usuários
• Detecta ameaças como laptops de terceiros infectados, erros de operadores, ameaças internas maliciosas e credenciais roubadas
• Analisa padrões de eventos nos arquivos de log do host usando regras Sigma e identifica eventos em andamento envolvendo malware, roubo de credenciais, download de scripts e muito mais. Esse contexto é útil tanto para operadores quanto para analistas de segurança
• Fornece aos operadores informações de solução de problemas que eles nunca tiveram, o que contribui muito para a construção e a confiança. Com os sensores de endpoint, eles podem ver não apenas alterações de configuração e anomalias, mas também quem está conectado a um dispositivo, com quais outros dispositivos ele está se comunicando e quais protocolos está usando.

Principais casos de uso dos sensores de endpoint de OT

1. Implementação estratégica nas joias da coroa

Suponha que o monitoramento de rede seja um exagero para o seu ambiente, mas que você ainda tenha ativos críticos a proteger. Os sensores de endpoint permitem que você implante agentes apenas nesses ativos, para monitorar o que é mais importante. Eles podem ser instalados em centenas de endpoints essenciais com apenas alguns cliques e sem necessidade de reinicialização.

2. Implementação mais rápida e sem complicações

Suponha quevocê tenha uma subestação remota onde os switches só podem ser reconfigurados durante uma interrupção anual de uma hora - em fevereiro próximo. Ou talvez você esteja lidando com um switch de linha de 12 anos sem portas livres. Novamente, basta instalar sensores de endpoint sem reinicialização.

3. Rede de baixa largura de banda e alta latência

Os navios de carga são os principais candidatos a sensores de endpoint. Eles dependem de satélites para conectividade, e é quase impossível implantar cabeamento.

4. Monitoramento único ou de curto prazo

Digamos que você queira apenas monitorar o técnico contratado enquanto ele estiver conectado. Você pode instalar um sensor de endpoint para monitorar a máquina à qual ele está conectado e configurá-lo para se excluir quando ele se desconectar.

5. Monitoramento de dispositivos off-line

Nozomi Arc coleta dados localmente, mesmo quando o dispositivo host não está enviando ou recebendo tráfego, e os envia quando o usuário se conecta à rede. Essa é uma ótima maneira de obter trilhas de auditoria detalhadas dos dispositivos de campo e dos funcionários móveis.