Architectuur
Architectuur is de context waar assurance naar hoort te verwijzen.
Een assessmentresultaat dat niet kan benoemen op welke zone het slaat, is lastig te verdedigen en onmogelijk te onderhouden. OTReady modelleert eerst de installatie, als canonieke objecten met stabiele identiteit, en elk later oordeel richt zich op één daarvan.
- Stabiele identiteit die hernoemen, her-import en reorganisatie overleeft
- Een Conduit is een securityrelatie; een Communication Channel is wat erbinnen loopt
- Purdue-niveau classificeert architectuur; het is nooit een Security Level
- Waar een object vandaan komt wordt apart vastgelegd van of het goedgekeurd is
Het canonieke model
Vijf niveaus, elk met een eigen identiteit.
Assets en interfaces bestaan binnen deze omgeving, maar zijn niet nodig om een communicatierelatie te beschrijven. Een installatie kan zinvol gemodelleerd worden voordat een assetinventaris compleet is.
Project
De container. Alles daaronder hoort bij precies één project, en toegang wordt op dit niveau afgebakend.
Site
Een fysieke of logische locatie: een onderstation, een fabriek, een terminal. Grote estates hebben er veel, en het model gaat niet uit van één.
Zone / Subzone
Een securityscope met eigen verwachtingen, eigen Purdue-context waar dat past, en een eigen approval state. Een Subzone is een zone in een zone, geen ander soort object.
Conduit
De gegoverneerde securityrelatie tussen twee scopes. Dit is waar risicowerk en Target Security Levels over redeneren.
Communication Channel
Een specifieke logische of fysieke communicatie binnen een Conduit, met eigen protocol, richting, medium en vastgelegde encryptiestaat.
Een Conduit is geen Communication Channel.
Dit is het onderscheid waar de rest van het model op rust, en het onderscheid dat het vaakst verdwijnt in tools die een verbinding gewoon een verbinding noemen.
Omdat ze gescheiden zijn, presenteert OTReady het protocol of de encryptie van een channel nooit alsof het een eigenschap van de Conduit is. Een Conduit met vier channels, waarvan één plaintext, is niet "versleuteld", en die twee samenvouwen zou juist het channel verbergen dat ertoe doet.
Conduit
Een gegoverneerde securityrelatie tussen twee architecturale scopes. Dit is het subject van risicowerk en van een Target Security Level, en waar een assessment over redeneert.
Communication Channel
Een specifieke communicatie binnen die Conduit. Protocol, richting, medium en encryptie zijn channel-feiten. Eén Conduit kan meerdere channels dragen; een channel hoort altijd bij een bovenliggende Conduit.
Conduits
De securityrelatie, op eigen voorwaarden.
Een Conduit legt vast welke twee scopes hij verbindt en wat de relatie ertussen is. Het is het object waartegen risicoscenario's geschreven worden en waarop een Target Security Level bevestigd kan worden.
Conduitdetail toont de endpoints, de channels die erbinnen lopen, en de feiten die echt bij de relatie horen in plaats van bij één channel.
Communication Channels
Encryptie kent drie toestanden, geen twee.
Een channel draagt zijn protocol, richting, medium en of encryptie is vastgelegd, en die laatste heeft drie antwoorden: versleuteld, niet versleuteld, en niet vastgelegd.
"Niet vastgelegd" leest nooit als veilig. Een model met alleen een vinkje zou elk gat in de kennis omzetten in een uitspraak over de installatie, en dat is precies het faalgedrag dat dit product wil vermijden.
- Protocol, richting en medium als channel-feiten
- Bron- en bestemmingscontext, met opgeloste endpoints waar die bekend zijn
- Meerdere channels kunnen één bovenliggende Conduit delen
Binnen de omgeving
Assets, interfaces en locators.
Een assetinventaris hoort bij hetzelfde model, en identiteit volgt daar dezelfde regel als overal: wát iets is verandert niet als zijn adres verandert.
- Assets
- Canonieke inventarisobjecten met een eigen identiteit, in Site- en Zone-context, die OT-domeintoewijzingen kunnen dragen.
- Interfaces
- De netwerkinterfaces van een asset, elk met een eigen identiteit onder het asset waartoe ze behoren.
- Locators
- IP en MAC zijn locators op een interface, geen identiteit. Een adres kan wijzigen zonder dat het asset een ander asset wordt.
- Los van channels
- Assets zijn niet nodig om een communicatierelatie te beschrijven, dus architectuurwerk hoeft niet te wachten op een complete inventaris.
- OT-domeinen
- Functionele context, many-to-many toegewezen over zones, conduits, channels en assets: een andere vraag dan securityscope.
- Purdue-context
- Toegepast waar het betekenis heeft, als architectuurclassificatie. Het wordt nooit als Security Level gelezen.
Waar een object vandaan komt is een andere vraag dan of het goedgekeurd is.
Een object dat met de hand getekend is, uit een spreadsheet geïmporteerd is of door de guided builder is voorgesteld, komt op dezelfde manier binnen: als iets waar een mens nog mee moet instemmen. Herkomst wordt één keer vastgelegd en verandert niet als het object later bewerkt wordt; goedkeuring is een aparte, expliciete governancestaat. Een model dat import als instemming behandelde, zou een spreadsheet laten bepalen wat de installatie is.
Import
Een bestand is een observatie over een installatie, geen besluit erover.
De meeste operators hebben hun architectuur al in een spreadsheet, een CMDB-export of een engineeringlijst. OTReady haalt die binnen via een reviewwachtrij in plaats van er rechtstreeks het model mee te schrijven.
- Bron
- Genormaliseerde invoer
- Kandidaat
- Menselijke review
- Goedgekeurde architectuur
Elke rij wordt een beoordeelbare kandidaat, ook de ongeldige: een rij die stil verdwijnt is een rij die niemand kan auditen. Acceptatie is de enige stap die canonieke architectuur schrijft.
Schaal
Een estate is zelden één site.
De demo-estate die op deze site gebruikt wordt, modelleert een regionale netbeheerder met veel onderstations. De explorer wordt hier dus getoond zoals hij op een grote estate werkt in plaats van op een net voorbeeld: tellingen die uit de matchende set komen, filters die versmallen, en een lijst die zegt hoeveel hij toont.
Vandaag niet beschikbaar
- IEC 61850 SCD-importwizardGepland: MVP2
Het hierboven beschreven assetmodel (Asset, Interface, Locator, in Site-, Zone- en OT-domeincontext) is echt en vandaag beschikbaar. Een SCL-bestand is geen spreadsheet met een andere extensie: het draagt uitspraken over een installatie in een woordenschat die OTReady nog niet modelleert, en wordt daarom hier als gepland benoemd in plaats van als ondersteund gesuggereerd.
Verwante capabilities
OT-domeinen
Functionele context, gescheiden gehouden van securityscope.
Risico & targets
Hoe zones en conduits aan een bevestigd Target Security Level komen.
Findings & bewijs
Hoe een Finding wordt toegewezen aan het object waar hij over gaat.
Modelleer uw installatie één keer, en laat al het andere ernaar verwijzen.
Neem een site, een spreadsheet of een export mee en zie wat het canonieke model ervan maakt.