OT Security. 17 november 2016

Transkript

1 OT Security 17 november 2016

2 Security Der er altid en vej ind!

3 Status 2016 Baseret på 300 virksomheders svar: 69% har været udsat for cyberangreb 67 % har været udsat for afpresning (22%) Store syndere:

4 Status 2016 Magter du at følge med kapløbet med de cyber kriminelle? Det er jo lappeløsning på lappeløsning

5 Vi kan gøre noget der virker permanent! Vi skal stadig vække lukke hullerne Samtidig anvende princippet om Defense in depth OpShield kan implementeres trinvist Fra ren overvågning og logning af trafik i netværket til Hård segmentering med regelstyrede trafikflow. Når man implementerer OpShield skabes en basislinie, der afspejler kommunikationen i netværket, og det er udfra denne basislinie at reglerne for trafikovervågning/-styring konfigureres

6 Overvåge og logge OpShield logger og overvåge al trafik i netværket. Enhederne i tap-mode (med på en lytter) strategisk placeret i netværket og disse rapporterer tilbage til hovedenheden. Dette kræver kun ganske små indgreb i eksisterende installation. Switches skal eksempelvis konfigureres til også at sende trafikken til en overvågningsport(spanning) hvortil OpShield-enheden tilsluttes.

7 Trafikkontrol og spærring Med OpShield-enheder indkoblet i netværket kan netværket segmenteres og trafik mellem segmenterne spærres udfra givne regler. OpShield kan udføre dybdegående protokolanalyse på et utal af industrielle protokoller og regler for trafikflow kan sættes helt ned på protokolniveau. Dette medfører at tilkoblet udstyr kan beskyttes mod ondsindet påvirkning udefra. OpShield kan endog beskytte mange industrielle enheder fra kendte svagheder via signaturer. Signaturerne opdateres regelmæssigt. F.eks svaghed for ping etc.

8 At holde styr på alle huller og ANALOGI: Alarmsystemet med døre og vindueskontakter på alle huller og PIR i hvert rum

9 Officers & Directors Business Unit DELIVERY: Contractor/employee inserts infected USB stick IT Next Gen Firewall Production Ops Center Data Center Security Ops Center MPLS Internet TelCo IT Next Gen Firewall Domain Controller Web Proxy Syslog Supply Chain VPN D M Z Router HMI Historian Engineering Workstation RTU DCS Engineering Server B a c k B o n e Remote Employee Integrator/Vendor IT Data Classification: Public Unprotected OT Command Attack Vector 9

10 Officers & Directors Business Unit Data Center Security Ops Center IT Next Gen Firewall Production Ops Center MPLS Internet TelCo COMMAND & CONTROL, ACTIONS ON OBJECTIVES: VFD overspeeds a motor IT Next Gen Firewall Domain Controller Web Proxy Syslog Supply Chain VPN D M Z Router HMI Historian Engineering Workstation RTU DCS Engineering Server Remote Employee EXPLOITATION & INSTALLATION: Compromise B a c k B o n e Integrator/Vendor IT Data Unprotected OT Command Attack Vector Infection Classification: Public 10

11 Officers & Directors Business Unit IT Next Gen Firewall Production Ops Center TelCo MPLS Data Center OPSHIELD DEPLOYED: It detects, can prevent spread of an attack, helping protect production and safety Internet Security Ops Center IT Next Gen Firewall Domain Web Controller Proxy Syslog Supply Chain DMZ VPN Router HMI Engineering Workstation Historian Speed DCS OpShield OpShield OpShield RTU OpShield OpShield OpShield Engineering Server Back Bone Remote Employee Integrator/Vendor IT Data Unprotected OT Command Classification: Public Protected OT Command Malicious Command 11

12 OT Security: PROTECT OPSHIELD PROVIDES DEFENSE-IN-DEPTH UNDERSTAND WHAT S ON YOUR NETWORK DCS LOCAL PRODUCTION IT Protect the data TURBINE INSPECT ENFORCE PROTECT OT Protect the critical assets, TAP mode, In-Line, Fail-open, 24/7, Out of band Enterprise Network Internet TURBINE DMZ GENERATOR GENERATOR Primary control center 1 2 SCADA Network PROTOCOL INSPECTION ENGINE ICS VULNERABILITY SIGNATURES ICS THREAT SIGNATURES Remote stations VIRTUAL NETWORK SEGMENTATION COMMAND-LEVEL WHITELISTING DCS Local production

13 Bevågenhed For andet år i træk vandt Novotek innovationsprisen på Skandinaviens største automatikmesse Scanautomatik 2016 I år med cyber security løsningen Opshield

14 Hvis uheldet er ude: Har du sørget for den daglige backup?

15 Versiondog: Centraliseret backup

16 Automatisk Backup & Compare Compare på device mod server version Detekterer uautoriserede ændringer Log resultat i audit trail Notifikations hændelse for Client og Server Scripting for særlige ønsker

17 Konnektivitet til det allermeste Proficy Batch Execution Recipes Work Instructions Equipment model Project Proficy Historian Configuration SQL Server Database Tables Stored procedures Operating system Hotfixes Memory Hardware configuration and more

18 Opshield Cyber security Se mere på Opshield: Versiondog automatisk backup: