Pourquoi les agents de sécurité des Endpoint TI ne travaillent-ils pas dans le OT?

Les agents endpoint informatiques ne fonctionnent pas dans OT ils sont trop lourds et perturbateurs, ne comprennent pasIoT et ne sont pas adaptés aux OT ; ils détectent donc de fausses menaces.

Les agents de sécurité des Endpoint sont un élément standard des déploiements de sécurité informatique, non seulement sur les ordinateurs de bureau, les ordinateurs portables et les imprimantes, mais aussi sur l'explosion des appareils IoT et des appareils distants. Ils sont essentiels pour la protection antivirus et les correctifs. Malheureusement, les expériences négatives de déploiement d'agents axés sur l'IT sur les appareils OT ont conduit à une adoption rare de la surveillance des endpoint , pourtant indispensable.

Voici quelques-unes des principales raisons pour lesquelles les agents traditionnels des endpoint ne sont pas à la hauteur dans les environnements industriels :

1. Poids lourd et perturbateur

De nombreux dispositifs et contrôleurs OT disposent d'une puissance de calcul et d'une mémoire limitées, conçues pour effectuer des tâches spécifiques. Même les agents antivirus standard consomment trop de ressources. En outre, les solutions de sécurité informatique pour endpoint nécessitent généralement un redémarrage du système après l'installation, ce qui entraîne des temps d'arrêt.

2. Mauvaises menaces

Les systèmes traditionnels d'analyse des vulnérabilités et de prévention des intrusions sont conçus pour détecter les menaces informatiques à l'aide de modèles heuristiques et d'apprentissage automatique formés sur des environnements informatiques. Ils ne recherchent pas les menaces industrielles, ne comprennent pas les protocoles de communication industriels et ne reconnaissent pas les lignes de base OT . Par exemple, alors que les solutions antivirus offrent une visibilité sur les postes de travail, elles ne peuvent pas fournir d'informations sur les contrôleurs et les actionneurs industriels. Parmi les conséquences, on peut citer la perte de réactivité du matériel d'ingénierie, le signalement comme malveillant de protocoles de sécurité ou de commandes de systèmes de contrôle légitimes, l'arrêt d'un processus ou la suppression d'une application critique qu'il perçoit comme un logiciel malveillant.

3. Accès au niveau du noyau

En provoquant en juillet 2024 des pannes massives à l'échelle mondiale sur les appareils Windows, la mise à jour défectueuse – désormais tristement célèbre – endpoint Falcon de CrowdStrike a rendu OT encore plus réticents à déployer des agents dans les environnements industriels. Cet incident souligne à quel point il est essentiel de s'assurer que les agents endpoint , conçus pour répondre aux exigences spécifiques de haute disponibilité OT , sont sûrs et ne causent pas de perturbations.

Contrairement aux outils EPP et EDR traditionnels, leendpoint Nozomi Arc fonctionne principalement dans l'espace utilisateur, n'utilisant les modules de l'espace noyau qu'en cas d'absolue nécessité, principalement en mode lecture seule. Cette conception garantit une interaction précise et contrôlée avec les objets du système tout en minimisant les opérations d'écriture et en préservant la stabilité du système. 

Sécurité efficace des Endpoint pour les appareils OT

Nozomi Arc est un agent de sécurité sûr et non perturbateur, conçu pour protéger les exigences uniques de haute disponibilité des terminaux OT . Il met en lumière les zones autrefois inaccessibles et non surveillées de votre environnement où les capteurs réseau ne sont pas pratiques ou insuffisants pour détecter le trafic Est-Ouest, les ports USB, les fichiers journaux, le trafic du réseau local et l'activité de l'utilisateur. 

Les avantages comprennent

• Fournit des données détaillées, notamment le type d'appareil, le fabricant, la version du système d'exploitation ou du micrologiciel, le numéro de série, les adresses IP et MAC, les nœuds, les zones, les protocoles utilisés, les comptes actifs et les activités suspectes des utilisateurs
• Détecte les menaces telles que les ordinateurs portables tiers infectés, les erreurs des opérateurs, les menaces internes malveillantes et le vol d'identifiants
• Analyse les schémas d'événements dans les fichiers journaux des hôtes à l'aide de règles Sigma et détecte les événements en cours liés à des logiciels malveillants, au vol d'identifiants, au téléchargement de scripts, etc. Ce contexte est utile tant pour les opérateurs que pour les analystes de sécurité
• Les opérateurs disposent d'informations de dépannage qu'ils n'ont jamais eues, ce qui contribue grandement à instaurer un climat de confiance. Grâce aux capteurs de endpoint , ils peuvent voir non seulement les changements de configuration et les anomalies, mais aussi qui s'est connecté à un appareil, avec quels autres appareils il communique et quels protocoles il utilise.

Principaux cas d'utilisation des capteurs OT pourEndpoint

1. Déploiement stratégique sur les joyaux de la couronne

Imaginons que la surveillance du réseau soit excessive pour votre environnement, mais que vous ayez tout de même des ressources critiques à protéger. Endpoint vous permettent de déployer des agents uniquement sur ces ressources, afin de surveiller ce qui compte le plus. Ils peuvent être installés sur des centaines de terminaux clés en quelques clics et sans redémarrage.

2. Déploiement plus rapide et sans souci

‍Supposonsque vous ayez une sous-station éloignée où les commutateurs ne peuvent être reconfigurés que lors d'une panne annuelle d'une heure - en février prochain. Ou peut-être avez-vous affaire à un commutateur de ligne vieux de 12 ans qui n'a pas de ports libres. Là encore, il suffit d'installer des capteurs de endpoint sans redémarrage.

3. Réseau à faible largeur de bande et à forte latence

Les cargos sont des candidats de choix pour les capteurs d'endpoint . Ils dépendent des satellites pour leur connectivité et il est pratiquement impossible de déployer un câblage.

4. Surveillance ponctuelle ou à court terme

Supposons que vous souhaitiez simplement surveiller ce technicien contractuel lorsqu'il est connecté. Vous pouvez installer un capteur de endpoint pour surveiller la machine à laquelle il est connecté et le configurer pour qu'il s'efface lorsqu'il se déconnecte.

5. Surveillance des dispositifs hors ligne

Nozomi Arc collecte des données localement, même lorsque l'appareil hôte n'envoie pas ou ne reçoit pas de trafic, et les envoie en amont lorsque l'utilisateur se connecte au réseau. C'est un excellent moyen d'obtenir des pistes d'audit détaillées à partir des appareils de terrain et des travailleurs mobiles.