West Burton Energy

Processos propensos a erros levaram a equipe de InfoSec a buscar uma solução melhor

Mantendo as luzes acesas no Reino Unido, a West Burton Energy é uma usina avançada e eficiente de turbina a gás de ciclo combinado (CCGT) e uma instalação de armazenamento de energia em bateria de 49 MW que fornece 1.333 MW de energia para a National Grid; eletricidade suficiente para abastecer 1,5 milhão de residências e empresas.

Em 2021, a West Burton separou-se da EDF Energy, resultando em uma equipe de segurança de três membros responsável por proteger todo o seu ambiente de OT com um produto que emitia alertas com excesso de notificações de ameaças com falsos positivos. Precisavam lidar com alterações de engenharia no ambiente de OT, novos projetos e a desativação de sistemas legados, sobrecarregando a equipe com um workload significativo.

Lidar com fabricantes de equipamentos originais (OEMs) era bastante desgastante. A equipe de InfoSec dependia do conhecimento dos engenheiros da usina e de vários OEMs para acompanhar os ativos, o que envolvia um processo trabalhoso, propenso a erros e baseado em planilhas.

“Entre esperar que os OEMs realizassem manutenções preventivas e patches, e com os relatórios de status atrasando dias ou até semanas, passávamos várias horas por semana apenas gerenciando listas de ativos”, observa Keyworth.

“Dependíamos de o OEM emitir cartas de recomendação técnica e alertas para nos avisar sobre CVEs que pudessem ser relevantes para um ativo específico”, acrescenta James Cartwright, engenheiro de C&I. “Não era raro passarmos várias horas investigando o problema apenas para descobrir que nem tínhamos o equipamento em questão.”

Manter o front office informado sobre as vulnerabilidades de OT, o status de correção e o risco cibernético geral também é fundamental, mas, no passado, nem sempre era fácil fornecer isso com agilidade e facilidade.

“Tínhamos dificuldade para transferir dados com total segurança do ambiente de OT e exibi-los aos usuários de TI corporativa de forma compreensível”, diz Cartwright.

Para superar esses desafios e reforçar sua resiliência cibernética, a West Burton precisava atender a vários requisitos importantes, incluindo:

• Visibilidade dos ativos de OT na rede de OT sem afetar o tempo de atividade e a disponibilidade
• Um inventário de ativos centralizado para sair de um processo manual demorado, sem interromper a operação de sistemas modernos e legados
• Capacidade de demonstrar conformidade aos reguladores com confiança
• Estratégias claras de correção e mitigação para atender ao nível aceitável de risco da empresa
• Uso do banco de dados de vulnerabilidades de OT mais atualizado para reduzir falsos positivos

Foi então que Keyworth e a equipe decidiram buscar uma nova solução para proteger seu ambiente de OT e garantir que a liderança tivesse total compreensão da complexidade da usina e dos riscos associados.

Tenable OT Security — desenvolvido sob medida para proteger ambientes industriais convergentes de TI/OT sem prejudicar a produtividade

O Tenable OT Security traz visibilidade, segurança e controle para ambientes industriais, infraestruturas críticas e muito mais, ajudando as organizações a manter a produtividade, cumprir requisitos de conformidade e se proteger contra ataques cibernéticos.

Usando uma abordagem patenteada de descoberta híbrida para obter visibilidade com segurança sobre dispositivos e sistemas ciberfísicos sem causar interrupções, o Tenable OT Security oferece um inventário de ativos completo, além de consciência situacional profunda em todas as unidades globais, tudo em uma única interface.

O Tenable OT Security permite que as organizações priorizem ações e ajuda suas equipes de segurança de TI e OT a trabalhar melhor juntas.

Equipe da usina gerencia correções e fornece dados práticos ao front office

O Tenable OT Security foi implementado inicialmente em 2022, proporcionando à Keyworth e à Cartwright visibilidade e controle totais sobre as operações da West Burton B, o que inclui inúmeros ativos com ou sem suporte dos diversos OEMs responsáveis pela manutenção da grande variedade de equipamentos da usina.

“Usamos o Tenable OT Security para identificar vulnerabilidades e manter uma lista completa de ativos, às vezes encontrando problemas que nossos OEMs não sabem que existem ou aos quais não oferecem mais suporte”, afirma Keyworth. “Em seguida, como parte do nosso fluxo de trabalho, importamos tudo para o Tenable Security Center para pontuação, priorização e acompanhamento de como estamos reduzindo as vulnerabilidades ativo por ativo conforme implementamos a correção.”

Ao enfrentar uma situação em que uma vulnerabilidade simplesmente não pode ser corrigida, como em um equipamento de OT legado sem suporte, a equipe usa a Tenable para avaliar o nível aceitável de risco. A equipe pode então implementar medidas para impedir o acesso a esses sistemas e manter a liderança informada.

“Com o Tenable OT Security, os dados ficam plenamente visíveis”, diz Cartwright. “As vulnerabilidades são inseridas em um sistema de alertas e, se instalarmos um novo dispositivo, a lista de ativos é atualizada de maneira automatizada.”

“O front office tem os dados que deseja, entende de onde vieram e, mais importante, sabe o que significam”, acrescenta Keyworth.

Equipe de InfoSec otimiza a segurança de OT, economiza tempo e simplifica a conformidade

A maioria das organizações vê qualquer oportunidade de aumentar a eficiência como uma vitória, mas, para uma equipe pequena e sobrecarregada, melhorias nos processos e economia de tempo significam ainda mais. Na verdade, a West Burton nunca dedicou tanto tempo ao gerenciamento de vulnarabilidades como dedica hoje.Isso é uma coisa boa.

Antes de implementar a Tenable, a equipe de InfoSec não tinha uma visão completa do que estava vulnerável, muitas vezes esperando meses para que um OEM emitisse comunicados técnicos e alertas informando sobre CVEs que pudessem ser relevantes para um ativo específico. Além disso, não era raro a equipe passar horas investigando um problema para só então descobrir que nem sequer tinha o equipamento em questão.

“Com o Tenable OT Security, podemos identificar vulnerabilidades no início do processo, analisar a documentação de CVE publicada e implementar a correção e restrições de segurança sem esperar pelos OEMs”, diz Keyworth. “Não só podemos questionar as orientações do OEM com base em informações sólidas, como também aproveitamos as mais de 200 horas anuais economizadas com a eliminação do gerenciamento manual de ativos e as aplicamos ao tempo dedicado aos esforços essenciais de gerenciamento de vulnerabilidades.”

A West Burton usa o Tenable Nessus, integrado ao Tenable OT Security, em um de seus ambientes de OT para fazer a verificação de servidores Windows, switches de rede e outros equipamentos de TI. Basta iniciar uma verificação em todo o ambiente Windows para ajudar a equipe a descobrir vulnerabilidades, por exemplo, do impacto da versão mais recente lançada por um OEM ou de um software desatualizado.

“Do nível de patch aos programas e tudo o que está instalado em uma máquina, o Tenable Nessus destaca vulnerabilidades que o OEM provavelmente nunca pensou em procurar”, diz Keyworth. “A Tenable conquistou nossa confiança para incorporar o Tenable Nessus ao nosso ambiente de OT. Sob a perspectiva do gerenciamento de vulnerabilidades, isso nos coloca muito além do que poderíamos alcançar sem a ferramenta.”

“O Tenable OT Security combinado com o verificador Tenable Nessus fornece dados muito mais ricos do que tínhamos antes”, acrescenta Cartwright. “Ele nos permite usar a consulta ativa para nos comunicarmos e descobrirmos ativos de OT, além de ativos de TI — tudo em uma única solução, o que elimina custos adicionais e economiza tempo. Teria poupado muitas horas de trabalho da nossa equipe durante o Log4j.”

Menos falsos positivos também proporcionam uma nova liberdade para a equipe. A ferramenta passiva utilizada antes da separação corporativa emitia alertas sobre mais de 500 possíveis vulnerabilidades por dia — cerca de 182 mil por ano. Hoje, esse número é de apenas 50 por dia.

“Com o Tenable OT Security ajustado e treinado para evitar falsos positivos, reduzimos o número de eventos relatados em 98%, gerando uma enorme economia de tempo”, afirma Keyworth. “O que antes levava dois dias por semana para gerenciar agora leva apenas algumas horas, e aumentamos a eficiência em 87%.”

“O Tenable OT Security faz muita coisa, mas não é uma solução do tipo 'instalar e esquecer' — nem deveria ser”, acrescenta Cartwright. “É preciso investir tempo e esforço para configurar o produto e entender o que é 'normal' na sua rede, pois é daí que extraímos o verdadeiro valor para o negócio.”

Keyworth concorda. “Como enxergar a floresta em meio às árvores se não condicionar a solução para entender seu ambiente de OT? Acho que muitas pessoas compram esses equipamentos, instalam e cumprem vários requisitos do ponto de vista de conformidade, mas os resultados obtidos não valem o papel digital em que foram escritos.”

Por falar em conformidade, a West Burton e os auditores confiam nos resultados relatados pelo Tenable OT Security em comparação com processos manuais. Keyworth explica que o ritmo acelerado do ambiente de OT e TI não permite mais que planilhas e registros manuais sejam uma fonte de informações viável.

“Seria muito difícil demonstrar a conformidade sem uma ferramenta como o Tenable OT Security. A economia de tempo é praticamente imensurável”, afirma Keyworth. “A solução dá aos auditores um nível de garantia de que você está fazendo a coisa certa. Da lista de ativos à pontuação de risco, a Tenable facilita muito todo o processo de conformidade.”

West Burton valoriza a cultura de trabalho em equipe e respeito

A decisão da West Burton de implementar o Tenable OT Security se deveu tanto à equipe da Tenable quanto à tecnologia. Ter confiança no suporte e na capacidade de resposta a longo prazo foi o diferencial.

“Analisamos vários produtos, mas, desde o início, ficou claro que a Tenable valoriza nossas experiências, entende aonde queremos chegar e, o que é igualmente importante, valoriza nossas contribuições sobre como aprimorar ainda mais o produto”, afirma Keyworth. “Muitas vezes, um fornecedor faz a venda e vai embora, mas, desde o primeiro dia, estivemos conectados a uma equipe de engenharia e P&D com conhecimento profundo e um interesse genuíno em nos ajudar a atingir e superar nossas metas.”