Dalam artikel ini, kami mengeksplorasi kemajuan yang diadopsi sektor industri untuk menerapkan prinsip pertahanan berlapis dalam jaringannya.

Prinsip ini mengacu pada keuntungan melindungi peralatan penting dengan menempatkannya di belakang beberapa lapisan pertahanan, memberikan beberapa peluang untuk mendeteksi atau menghentikan serangan sebelum memengaruhi elemen penting sistem.

Alat utama untuk ini adalah segmentasi jaringan atau, dalam kasus yang lebih canggih, mikrosegmentasi. Segmentasi melibatkan serangkaian teknik dan peralatan yang digunakan untuk memisahkan satu jaringan menjadi beberapa segmen (zona) yang berkomunikasi hanya melalui saluran (konduit) yang teridentifikasi dan terlindungi.

Segmentasi membantu mengurangi perimeter yang dapat diserang di setiap zona, karena komunikasi masuk dan keluar dibatasi pada titik perimeter yang dipertahankan. Dengan kontrol yang lebih besar atas lalu lintas jaringan, memungkinkan untuk membuat arsitektur yang lebih kompleks melalui:

• Segmentasi Vertikal: Memisahkan zona dengan tingkat hak istimewa yang berbeda. Biasanya, zona atas dibuat dengan akses yang lebih umum bagi pengguna atau koneksi eksternal, dan zona bawah dengan akses yang lebih terbatas.
• Segmentasi Horizontal: Memisahkan zona dengan tingkat hak istimewa yang sama tetapi tingkat akses yang berbeda, umumnya memisahkan zona berdasarkan fungsionalitas.

Blok bangunan ini menciptakan arsitektur jaringan industri aman yang telah menjadi populer dan model baru yang diadopsi dalam sistem yang lebih maju.

Model Segmentasi Industri Dasar #

Saat ini, jaringan industri sangat bervariasi di berbagai ukuran, sektor, dan negara. Namun, jika keamanan siber telah dipertimbangkan dalam desainnya, baik pada awalnya maupun secara retroaktif, ada kecenderungan menuju model yang homogen dengan modifikasi yang diperlukan untuk memenuhi kebutuhan tertentu.

Model keamanan berlapis umum ini dapat diringkas sebagai serangkaian tindakan yang menggambarkan prinsip pertahanan berlapis:

1. Jaringan industri dipisahkan dari jaringan perusahaan untuk mengurangi lalu lintas dan akses yang tidak perlu ke jaringan industri. Tingkat pemisahan bervariasi menurut setiap jaringan dan kematangan langkah-langkah keamanan.
2. Jaringan industri diposisikan di bawah jaringan perusahaan. Dengan cara ini, jaringan industri dilindungi oleh lapisan sebelumnya, yang harus dilewati oleh penyerang eksternal untuk mencapainya.
3. Jaringan perantara, yang biasa disebut Zona Demiliterisasi (DMZ), dikerahkan di antara kedua jaringan tersebut. DMZ berfungsi sebagai batas keamanan antara kedua jaringan, menyediakan lokasi yang aman bagi sistem tambahan dan mengelola lalu lintas antara kedua lingkungan tersebut.

Model yang banyak digunakan ini berfungsi sebagai titik awal untuk segmentasi industri. Model ini mudah digunakan dan dapat disesuaikan dengan berbagai sistem sekaligus memberikan tingkat keamanan yang dapat diterima.

Namun, ada dua faktor utama yang mendorong penerapan model yang lebih canggih dalam jaringan tingkat lanjut atau kritis:

• Penggabungan Peralatan IIoT, Teknologi TI, atau Teknologi AI: Alat-alat ini dapat meningkatkan produktivitas atau efisiensi secara signifikan tetapi mungkin bertentangan dengan model tradisional, karena banyak yang memerlukan koneksi konstan dengan jaringan eksternal, jaringan nirkabel, atau akses dari jaringan perusahaan.
• Peningkatan Volume dan Kompleksitas Ancaman: Seiring dengan bertambahnya pengalaman penyerang dengan lingkungan industri, serangan menjadi lebih sering dan merusak. Meskipun dapat beradaptasi, model umum dapat dengan cepat menjadi tidak efisien dan mahal saat menambahkan langkah-langkah keamanan pelengkap dibandingkan dengan perubahan arsitektur dasar.

Model-model baru bertujuan untuk mengatasi masalah-masalah ini.

Cara menerapkan Mikrosegmentasi #

Mikrosegmentasi, yang diakui dalam peraturan seperti IEC 62443, melibatkan penggunaan metode segmentasi yang diketahui (segmentasi horizontal dan vertikal) untuk membuat zona independen dalam jaringan industri klasik.

Untuk mikrosegmentasi yang efektif, penting untuk memulai dengan mengidentifikasi zona potensial dalam jaringan industri. Proses ini paling baik dimulai dengan penilaian risiko jaringan: Peralatan apa yang penting bagi produksi? Peralatan mana yang menimbulkan tingkat risiko lebih tinggi? Peralatan mana yang memiliki kebutuhan operasional khusus? Menjawab pertanyaan-pertanyaan ini membantu mengidentifikasi kelompok peralatan dengan karakteristik serupa secara organik.

Contoh zona umum dalam jaringan mikro tersegmentasi meliputi:

Zona Kontrol: Berisi peralatan penting untuk mengendalikan proses produksi, dengan tingkat keamanan tertinggi dan akses terbatas. Sebaiknya tentukan beberapa zona kontrol independen jika memungkinkan. Misalnya, memisahkan sistem kontrol untuk jalur produksi independen di pabrik manufaktur dapat mencegah insiden yang mengganggu produksi total atau sebagian.
Zona Pemantauan: Peralatan rumah tangga yang mengumpulkan data proses industri tanpa kemampuan kontrol. Kekritisannya bergantung pada data yang ditanganinya dan penerima yang dituju. Diperlukan perhatian khusus untuk peralatan yang mentransmisikan data proses industri di luar jaringan, karena secara inheren menimbulkan risiko kerahasiaan dan vektor intrusi potensial.
Zona Keamanan: Peralatan perlindungan host dan pencegahan insiden. Sistem ini biasanya berfungsi secara terpisah dari jaringan eksternal, tetapi ketersediaannya sangat penting. Menempatkannya pada jaringan industri umum akan menimbulkan risiko yang tidak perlu tanpa menawarkan keuntungan operasional.
Zona Kepatuhan: Bergantung pada sektor, ukuran, dan budaya perusahaan, sering kali memantau data seperti emisi, KPI produksi, stok, status mesin, dan konsumsi energi. Sistem ini biasanya memerlukan ketersediaan tinggi dan komunikasi dengan jaringan perusahaan dan eksternal.
Zona Tambahan:

• Zona Hosting Data: Server, unit penyimpanan, dan basis data, mulai dari data produksi yang diakses terus-menerus hingga penyimpanan dingin untuk cadangan.
• Zona Layanan Tambahan: Biasanya server pusat untuk layanan lintas zona, seperti email, antivirus, penemuan aset, dan manajemen izin.
• Zona Pengujian: Lingkungan aman untuk memvalidasi perubahan sebelum menerapkannya ke lingkungan langsung.
• Zona Redundansi: Untuk peralatan yang biasanya tidak berpartisipasi dalam produksi tetapi menawarkan operasi alternatif jika sistem utama dinonaktifkan.

Kombinasi zona-zona ini hampir tak terbatas dan dapat disesuaikan dengan setiap lingkungan industri. Suatu zona dapat sekecil satu perangkat terisolasi atau sebesar yang diperlukan, yang memungkinkan kombinasi, seperti menyebarkan zona pemantauan tertentu dalam zona kontrol untuk membuat saluran data tanpa mengakses zona kontrol secara langsung.

Namun, penerapan arsitektur semacam itu menggunakan teknologi tradisional dengan cepat menjadi tidak praktis. Mengalikan jumlah zona akan meningkatkan jumlah perangkat dan batas jaringan yang perlu dibeli, diterapkan, dan dipelihara. Oleh karena itu, penting untuk memahami teknologi yang mendukung segmentasi tingkat lanjut ini.

Teknologi Mikrosegmentasi #

Beberapa keluarga teknologi jaringan telah berkembang untuk mendukung mikrosegmentasi, dengan contoh utama sebagai berikut:

• Firewall OT: Biasanya dipasang di rak untuk banyak koneksi, model firewall terkini dibuat mini untuk pemasangan di kabinet listrik, ruang kecil, atau kondisi sulit. Perangkat ini biasanya memungkinkan manajemen terpusat dari konsol utama untuk mengontrol beberapa titik batas dengan aturan terperinci untuk setiap kasus.
• Sakelar Terkelola:Meskipun switch terkelola yang mampu membuat jaringan tersegmentasi dan kontrol lalu lintas telah tersedia, mikrosegmentasi telah mendorong pengembangan model yang lebih fleksibel dalam hal ukuran, kemampuan, dan fitur keamanan.
• EDR (Deteksi dan Respons Titik Akhir): Mirip dengan firewall OT tetapi dengan fungsi keamanan tambahan. EDR dapat mencakup antivirus, daftar putih, perlindungan DoS, dan kemampuan IDS/HIDS, yang menyediakan solusi lengkap untuk lingkungan tempat tindakan keamanan tradisional tidak praktis.
• Gerbang IoT: Mirip dengan gateway tradisional, perangkat ini memusatkan dan mendistribusikan lalu lintas protokol IIoT, menyederhanakan pengelolaan dan segmentasinya. Model yang dirancang industri sering kali menambahkan kemampuan keamanan seperti enkripsi, kontrol akses, penyeimbangan beban, dan penerapan untuk kondisi yang menantang.

Seperti yang terlihat, sebagian besar teknologi mikrosegmentasi baru adalah versi terbaru dari perangkat yang saat ini digunakan untuk segmentasi tradisional, yang dirancang untuk menyederhanakan manajemen jaringan sekaligus beradaptasi dengan kebutuhan unik jaringan industri.

Kesimpulan #

Mikrosegmentasi semakin menjadi alat penting untuk perlindungan sistem kontrol industri karena berbagai faktor:

• Teknologi baru memudahkan implementasi.
• Manajemen jaringan lebih mudah bila dirancang dengan prinsip pertahanan berlapis sejak awal.
• Meningkatnya variasi peralatan dan teknologi dalam jaringan industri memperkenalkan berbagai kebutuhan konektivitas.
• Interkonektivitas yang lebih besar antara sistem industri meningkatkan lalu lintas dan pengguna untuk dikelola.

Faktor-faktor ini membuat mikrosegmentasi semakin direkomendasikan untuk semua jenis jaringan industri. Namun, bahkan jaringan kecil atau kurang canggih pun dapat memperoleh manfaat dari keunggulan keamanan sibernya, seperti:

• Mengontrol lalu lintas dari peralatan yang rentan atau spesifik di balik firewall independen.
• Memisahkan peralatan yang dapat diakses oleh penyedia dan entitas eksternal dari sisa jaringan dengan dua jaringan kontrol independen.
• Mengisolasi peralatan keselamatan melalui celah udara.

Oleh karena itu, disarankan untuk mempertimbangkan penerapan praktik mikrosegmentasi saat merancang jaringan industri baru atau saat membuat perubahan atau memperkenalkan peralatan baru di jaringan yang sudah ada.