Purdue Model for ICS Security

What is the Purdue Model for ICS Security?

1990 年代に開発された Purdue Reference Model は、Purdue Enterprise Reference Architecture (PERA) の一部であり、コンピューター統合製造 (CIM) の参照データ フロー モデルです。

Purdue Reference Model, "95" は、エンドユーザー、インテグレーター、ベンダーが協力して、エンタープライズ ネットワークとプロセス インフラストラクチャの主要レイヤーでアプリケーションを統合できる企業向けのモデルを提供します。

Purdue 参照モデルは ISA-99 で採用され、ICS ネットワーク セグメンテーションの概念モデルとして使用されました。 ICSアーキテクチャを情報技術(IT)と 運用技術(OT) の2つのゾーンに分割し、これらのゾーンをレベル0から始まる6つのレベルに細分化することで、一般的な 産業用制御システム(ICS) のすべての主要コンポーネントの相互接続と相互依存性を示します。

At the base of the Purdue model is the OT, the systems used in critical infrastructures and manufacturing to monitor and control physical equipment and operational processes. In the Purdue Model, this is separate from the IT zone, which can be found at the top of the model. In between, we find a DMZ to separate and control access between the IT and OT zones. Within the zones, we find separate layers describing the industrial control components found in each layer, including:

• レベル0: レベル 0 には、製品を構築する物理コンポーネントが含まれます。 レベル0のデバイスには、モーター、ポンプ、センサー、バルブなどが含まれます。
• Level 1: Level 1 is composed of systems that monitor and send commands to the devices at Level 0. Examples include Programmable Logic Controllers (PLCs), Remote Terminal Units (RTUs), and Intelligent Electronic devices (IEDs).
• レベル2: レベル2には、システム内のプロセス全体を制御するデバイスがあります。 たとえば、ヒューマン・マシン・インターフェース(HMA)と SCADA ソフトウェアにより、人間がプロセスを監視・管理することができます。
• レベル3: レベル 3 は、生産ワークフローの管理をサポートします。 例としては、バッチ管理、製造オペレーション管理/製造実行システム (MOMS/MES)、データヒストリアンなどがあります。
• Industrial DMZ (iDMZ) Zone: The iDMZ creates a barrier between the IT and OT networks.  Solutions like jump boxes can provide limited access to ICS systems from IT environments, but this buffer can also help prevent infections within the IT environment from spreading to OT systems and vice versa.
• Level 4: At Level 4, systems like Enterprise Resource Planning (ERP) software, databases, email servers and other systems manage the logistics of the manufacturing operations and provide communications and data storage.
• レベル5: レベル 5 はエンタープライズ ネットワークです。 ICS 環境ではありませんが、このネットワークはビジネス上の意思決定のために ICS システムからデータを収集します。

Is the Purdue Reference Model Still Relevant?

1990 年代に最初に開発されたモデルは、 ICS ネットワークのセキュリティ保護に今でも有効ですか? 今日のOTセキュリティに何が関連し、何が重要でないか? 答えは「場合によります」です。 モデルで説明されているテクノロジーをまだ使用している OT ネットワークはどれくらいありますか? 現在、産業用モノのインターネット(IIoT)デバイスである新しいシステムを使用していますか?

One advantage of the Purdue model is its hierarchy. System components are clearly defined and components are grouped into distinct layers. Borders between the layers are logical places for network segmentation to control access between the layers. The model may not exactly fit your current OT network but is still a good starting point for securing an OT network.

従来のPurdueリファレンスモデルの課題の1つは、IIoTデバイスです。 現代のICSネットワークはデジタル接続が進んでおり、ITとOTの境界は以前ほど明確ではないかもしれません。

Purdueモデルの6つのレイヤーの代わりに、IIoT環境には、デバイス、フィールドまたはクラウドのGartner Magic Quadrant、サービスバックエンドなどの3つのコンポーネントアーキテクチャが含まれる場合があります。 エッジでは、IIoTデバイスは、ネットワーク、コントロールハブ、フィールドまたはクラウドにワイヤレスで接続できます(Gartner Magic Quadrant)。 フィールドとクラウドのガートナー・マジック・クアドラントは、オンプレミスまたはクラウドで実行されているバックエンド・サービスに接続され、IIoTデータの管理、監視、分析を行い、リモート・ユーザー管理アクセスのためのインターフェースを提供します。

The Purdue model may not match an IIoT network architecture. However, it can still be used to create a hierarchical topology similar to that of the Purdue model to secure today’s ICS. See IoT Security Architecture for more information.

Check Point ICS Security Solution

Check Point secures ICS systems by applying a zero trust approach to allow least privileged access controls across zone boundaries like the layers defined in the Purdue model for securing ICS. This approach allows security to be applied without impacting OT operations.

Transitioning to zero trust starts with working in concert with ICS discovery vendors to find and categorize assets by manufacturer, function, network protocol usage, and cyber threat risk. Obtaining a behavioral baseline of normal  ICS asset communications enables the detection of anomalies.

IT ネットワークと OT ネットワークをセグメント化して、水平移動と水平感染を防止します。 これには以下が含まれます。

• Monitoring east-west communication between ICS assets.
• きめ細かなセキュリティルールを適用し、デバイスの属性、リスク、OTプロトコルに基づいてゾーン間のトラフィックを制御します。
• システムが、使用するように設計され、デバイスの動的なグループ化に基づく通信プロトコルのみを使用することを保証するセキュリティ規則を作成します。
• ICS 資産と OT ネットワークへの安全なリモート アクセスのみを許可します。

脆弱なシステムやデバイスに対する脅威を防ぐための対策を講じます。 チェック・ポイントを使用すると、組織は、パッチが適用されていないファームウェアを実行しているOTデバイスや、既知のエクスプロイトからレガシー・オペレーティング・システムに、物理的にパッチを適用することなく、仮想的にパッチを適用できます。

Finally, apply advanced threat prevention in IT networks such as sandboxing and anti-phishing.

また、エンドポイントのランサムウェア対策ソリューションとEDRソリューションを導入して、巧妙で標的型ランサムウェア攻撃を防止します。 これにより、ランサムウェアによるファイル暗号化の試みからファイルが自動的に復元され、攻撃プロセス全体を監視して、エンドポイントとユーザーのデバイスが保護されます。

つまり、ITネットワークとOTネットワークの両方を保護することで、ITからOTへの水平移動やその逆の水平移動を防ぐことができます。 詳細については、 ICSセキュリティのデモをご依頼ください。