Разверните Defender for IoT для мониторинга OT-сетей

В этой статье описываются общие шаги, необходимые для развертывания Defender для Интернета вещей для мониторинга OT. Дополнительные сведения о каждом шаге развертывания см. в следующих разделах, включая соответствующие перекрестные ссылки для получения дополнительных сведений.

На следующем рисунке показаны этапы в комплексном пути развертывания мониторинга OT вместе с командой, ответственной за каждый этап.

Хотя команды и названия должностей различаются в разных организациях, все развертывания Defender для Интернета вещей требуют взаимодействия между людьми, ответственными за различные области вашей сети и инфраструктуры.

Предварительные условия

Прежде чем приступить к планированию развертывания мониторинга OT, убедитесь, что у вас есть подписка Azure и план OT, подключенный к Defender для Интернета вещей.

Дополнительные сведения см. в разделе Управление планами Defender for IoT для мониторинга OT.

Планирование и подготовка

На следующем рисунке показаны шаги, включенные в этап планирования и подготовки. Этапы планирования и подготовки обрабатываются командами по архитектуре.

Планирование системы мониторинга OT

Запланируйте основные сведения о системе мониторинга, например:

• Сайты и зоны. Решите, как сегментировать сеть, которую вы хотите отслеживать, с помощью сайтов и зон , которые могут представлять расположения по всему миру.

• Управление датчиками: Решите, будете ли вы использовать подключенные к облаку датчики, изолированные от внешних сетей локально управляемые OT-датчики или гибридную систему, сочетающую оба варианта. Если вы используете датчики, подключенные к облаку, выберите способ подключения, например подключение напрямую или через прокси-сервер.

• Пользователи и роли. Список типов пользователей, необходимых для каждого датчика, и ролей, необходимых для каждого действия.

Дополнительные сведения см. в статье Планирование системы мониторинга OT с помощью Defender для Интернета вещей.

Подготовка к развертыванию сайта OT

Определите дополнительные сведения для каждого сайта, запланированного в вашей системе, в том числе:

• Схема сети. Определите все устройства, которые требуется отслеживать, и создайте четко определенный список подсетей. После развертывания датчиков используйте этот список, чтобы убедиться, что все подсети, которые вы хотите отслеживать, охватываются Defender для Интернета вещей.

• Список датчиков. Используйте список трафика, подсетей и устройств, которые вы хотите отслеживать, чтобы создать список необходимых датчиков OT и места их размещения в сети.

• Методы зеркального отображения трафика. Выберите метод зеркального отображения трафика для каждого датчика OT, например порт SPAN или TAP.

• Устройства. Подготовьте рабочую станцию развертывания и любое оборудование или устройства виртуальной машины, которые вы будете использовать для каждого из запланированных датчиков OT. Если вы используете предварительно настроенные устройства, обязательно закажите их.

Дополнительные сведения см. в разделе Подготовка развертывания сайта OT.

Подключение датчиков к Azure

На следующем рисунке показан шаг, включенный в этап подключения датчиков. Датчики подключены к Azure вашими командами развертывания.

Подключение датчиков OT на портал Azure

Подключите к Defender для Интернета вещей столько датчиков OT, сколько вы запланировали. Обязательно скачайте файлы активации, предоставленные для каждого датчика OT, и сохраните их в расположении, которое будет доступно с компьютеров датчиков.

Дополнительные сведения см. в разделе Подключение датчиков OT к Defender для Интернета вещей.

Настройка сети сайта

На следующем рисунке показаны шаги, входящие в этап настройки сетевого взаимодействия сайта. Настройка сети сайта выполняется вашими командами по обеспечению сетевого подключения.

Настройка зеркального отображения трафика в сети

Используйте планы, созданные ранее , чтобы настроить зеркальное отображение трафика в местах в сети, где вы будете развертывать датчики OT и зеркальное отображение трафика в Defender для Интернета вещей.

Краткое описание сведений, необходимых для выбора оптимального расположения для датчика OT и его развертывания в сети, доступно в разделе Общие сведения о настройке зеркального отображения трафика.

Дополнительные сведения см. в разделе:

• Настройка зеркального отображения с помощью порта SPAN коммутатора
• Настройка зеркального отображения трафика с помощью удаленного порта SPAN (RSPAN)
• Настроить активную или пассивную агрегацию (TAP)
• Обновление интерфейсов мониторинга датчика (настройка ERSPAN)
• Настройка зеркального отображения трафика с помощью vSwitch ESXi
• Настройка зеркального отображения трафика с помощью vSwitch Hyper-V

Подготовка для управления облаком

Настройте необходимые правила брандмауэра, чтобы ваши устройства OT Sensor могли получить доступ к Defender for IoT в облаке Azure. Если вы планируете подключиться через прокси-сервер, вы настроите эти параметры только после установки датчика.

Пропустите этот шаг для любого OT-датчика, который планируется изолировать от сети и управлять локально непосредственно через консоль датчика.

Дополнительные сведения см. в статье Подготовка датчиков OT к облачному управлению.

Разверните свои датчики OT

На следующем рисунке показаны шаги, включенные в этап развертывания датчика. Датчики OT развертываются и активируются вашей командой развертывания.

Установите датчики OT

Если вы устанавливаете программное обеспечение Defender для Интернета вещей на собственных устройствах, скачайте установочный пакет из портала Azure и установите его на устройство датчика OT.

После установки программного обеспечения датчика OT выполните несколько проверок, чтобы проверить установку и конфигурацию.

Дополнительные сведения см. в разделе:

• Установка программного обеспечения для мониторинга OT на датчики OT
• Проверка установки программного обеспечения датчика OT

Пропустите эти действия, если вы приобретаете предварительно настроенные устройства.

Активация датчиков OT и начальная настройка

Используйте мастер начальной настройки для подтверждения параметров сети, активации датчика и применения сертификатов SSH/TLS.

Дополнительные сведения см. в разделе Настройка и активация датчика OT.

Настройка прокси-подключений

Если вы решили использовать прокси-сервер для подключения датчиков к облаку, настройте прокси-сервер и настройте параметры датчика. Дополнительные сведения см. в разделе Настройка параметров прокси-сервера на датчике OT.

Пропустите этот шаг в следующих ситуациях:

• Для любого датчика OT, где вы подключаетесь напрямую к Azure, без прокси-сервера
• Для любого датчика, который планируется изолировать от сети и управлять им локально непосредственно через консоль датчика.

Настройка необязательных параметров

Рекомендуется настроить подключение Active Directory для управления локальными пользователями на датчике OT, а также настроить мониторинг работоспособности датчика с помощью SNMP.

Если вы не настроите эти параметры во время развертывания, вы также можете вернуть и настроить их позже.

Дополнительные сведения см. в разделе:

• Настройка мониторинга SNMP MIB на датчике OT
• Настройка подключения Active Directory

Откалибруйте и точно настройте мониторинг OT

На следующем рисунке показаны шаги, связанные с калибровкой и точной настройкой мониторинга OT с помощью только что развернутого датчика. Действия по калибровке и тонкой настройке выполняются командой развертывания.

Управляйте мониторингом OT на вашем датчике

По умолчанию датчик OT может не обнаруживать точные сети, которые требуется отслеживать, или определять их точно так, как вы хотите, чтобы они отображались. Используйте списки, созданные ранее , чтобы проверить и вручную настроить подсети, настроить имена портов и виртуальных ЛС, а также настроить диапазоны адресов DHCP при необходимости.

Дополнительные сведения см. в разделе Управление трафиком OT, отслеживаемым Microsoft Defender для Интернета вещей.

Проверка и обновление инвентаризации обнаруженных устройств

После полного обнаружения устройств просмотрите данные инвентаризации устройств и измените сведения об устройстве при необходимости. Например, можно определить типы устройств или другие свойства для изменения, а также многое другое.

Дополнительные сведения см. в разделе Проверка и обновление инвентаризации обнаруженных устройств.

Изучите оповещения OT, чтобы создать базовую линию сети

Оповещения, создаваемые вашим OT-датчиком, могут включать ряд оповещений, которые вы, вероятно, захотите регулярно игнорировать или помечать с помощью функции Learn как авторизованный трафик.

Просмотрите все оповещения в вашей системе в рамках первичной сортировки. На этом шаге создается базовый уровень сетевого трафика, с которым Defender for IoT будет работать в дальнейшем.

Дополнительные сведения см. в статье Создание базовых показателей оповещений OT.

Окончание базового обучения

Датчики OT будут оставаться в режиме обучения до тех пор, пока обнаруживается новый трафик и пока у вас есть необработанные оповещения.

Когда начальное обучение завершается, процесс развертывания системы OT-мониторинга считается завершенным, и вы переходите к рабочему режиму для постоянного мониторинга. В рабочем режиме все действия, отличающиеся от базовых данных, активируют оповещение.

Подключите данные Defender for IoT к SIEM

После развертывания Defender для Интернета вещей отправляйте оповещения системы безопасности и управляйте инцидентами OT/IoT путем интеграции Defender для Интернета вещей с платформой управления информационной безопасностью и событиями безопасности (SIEM) и существующими рабочими процессами и инструментами SOC. Интегрируйте оповещения Defender для IoT с SIEM вашей организации, интегрировав Microsoft Sentinel и используя готовое решение Microsoft Defender для Интернета вещей, либо создав правила пересылки в другие системы SIEM. Defender для Интернета вещей интегрируется с Microsoft Sentinel, а также с широким спектром систем SIEM, таких как Splunk, IBM QRadar, LogRhythm, Fortinet и многое другое.

Краткое описание сведений, необходимых для выбора оптимального расположения для датчика OT и его развертывания в сети, доступно в разделе Общие сведения о настройке зеркального отображения трафика.

Дополнительные сведения см. в разделе:

• Мониторинг угроз OT в корпоративных SOC
• Руководство. Подключение Microsoft Defender для Интернета вещей с помощью Microsoft Sentinel
• Подключение локальных сетевых датчиков OT к Microsoft Sentinel
• Интеграция со службами Майкрософт и партнерскими службами
• Передача облачных оповещений Defender для Интернета вещей в партнерскую систему SIEM

После интеграции оповещений Defender для Интернета вещей с SIEM мы рекомендуем выполнить следующие действия для ввода в эксплуатацию оповещений OT/IoT и их полной интеграции с существующими рабочими процессами и инструментами SOC:

• Определите и определите соответствующие угрозы безопасности Интернета вещей и OT и инциденты SOC, которые вы хотите отслеживать, в зависимости от конкретных потребностей OT и среды.

• Создание правил обнаружения и уровней серьезности в SIEM. Будут срабатывать только релевантные инциденты, что позволяет сократить информационный шум. Например, можно определить изменения кода PLC, выполненные с несанкционированных устройств или в нерабочее время, как инцидент с высокой степенью серьезности из-за высокой точности этого конкретного оповещения.

  В Microsoft Sentinel решение Microsoft Defender для Интернета вещей включает набор готовых правил обнаружения, которые созданы специально для данных Defender для Интернета вещей и помогают точно настроить инциденты, созданные в Sentinel.

• Определите соответствующий рабочий процесс для устранения рисков и создайте сборники схем автоматического исследования для каждого варианта использования. В Microsoft Sentinel решение Microsoft Defender для Интернета вещей включает готовые сценарии для автоматизированного реагирования на оповещения Microsoft Defender для Интернета вещей.

Дальнейшие действия

Теперь, когда вы понимаете шаги по развертыванию системы мониторинга OT, вы можете приступить к работе!