Field & Network level Industrial Security to guarantee top performance in production

Transkript

1 Field & Network level Industrial Security to guarantee top performance in production Lars Peter Hansen Produktchef for Industrial Communication [email protected] T.: M.:

2 Industrial Security Field & Network level Hvordan beskytter man en industriel produktion og produktiviteten? Kan man anvende de samme teknologier som i IT-verdenen? Hvordan sikrer man netværks, PLC og I/O niveauet? Page 2

3 Industrial Security Er det virkelig nødvendigt er det reelt et problem? Risiko = Sårbarhed * Trussel * Konsekvens Page 3

4 Hvordan beskytter man en industriel produktion og produktiviteten?

5 Industrial Security The Defense in Depth Concept Plant security Adgang blokeret for ikke autoriseret personale Fysisk beskyttelse af kritiske komponenter Network security Beskyttelse af interface via eksv. firewalls Segmentering af netværk System integrity Antivirus og whitelisting software Integreret adgangskontrol og beskyttelse af automationskomponenter Page 5

6 Industrial Security The Defense in Depth Concept Page 6

7 Industrial Security Guidelines DI ITEK s hjemmeside om Produkt- og produktionssikkerhed: ogproduktionssikkerhed.aspx DI ITEK s 3 glimrende vejledninger om Industrial Security: Page 7

8 Industrial Security Guidelines Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) Control Systems Security Program (CSSP) Recommended Practices Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies Creating Cyber Forensics Plans for Control Systems Developing an Industrial Control Systems Cybersecurity Incident Response Capability Good Practice Guide on Firewall Deployment for SCADA and Process Control Networks Hardening Guidelines for OPC Hosts Mitigations for Security Vulnerabilities Found in Control System Networks Patch Management of Control Systems Securing Control System Modems Securing WLANs Using i (draft) Page 8

9 Industrial Security Services Element Risk and Vulnerability Assessments Details Advice and implementation support Packaged Security Solutions Automation Firewall System Hardening Modular solutions for improved security Virus Protection Whitelisting Security Services Managed services for Industrial Security Page 9

10 Industrial Security Hvordan holder man sig opdateret? Altid up-to-date med Security RSS Feeds ICS-CERT: Siemens Industry: Page 10

11 ICS-CERT s anbefalinger Udgangspunktet Udgangspunktet i industrien var Ø-drift Ingen Firewalls Ingen VPN (Virtual Private Network) Ingen DMZ (Demilitarized zone) Ingen VLAN M.m Page 11

12 ICS-CERT s anbefalinger Det hele bindes sammen Næste skrit - Det hele bindes sammen Ingen Firewalls* Ingen VPN (Virtual Private Network)* Typisk ingen DMZ (Demilitarized zone) Typisk ingen VLAN M.m *i det industrielle miljø... Page 12

13 ICS-CERT s anbefalinger Opdeling og segmentering Anbefalinger i dag opdeling i sikre celler og segmentering Firewalls VPN (Virtual Private Network) DMZ (Demilitarized zone) Security Cells VLAN M.m Page 13

14 level Page 14

15 Segmentering Security Cells Page 15

16 Kan man anvende de samme teknologier som i IT-verdenen?

17 Kan man anvende de samme teknologier som i IT-verdenen? Mmmmmm... Nej Det er helt generelle forskelle Små pakker Ekstrem lav latency Meget layer-2 kommunikation Industrielle protokoller Anvendelse af realtidsprotokoller Virusscanner kan ikke anvendes Routere kan ofte ikke anvendes (kun layer-2) Bridge Mode er ofte en forudsætning Et industrielt miljø behov for Produkter der kan installeres i et industrielt miljø EMC, temperatur, vibrationer, m.m.. Page 17

18 Kan man anvende de samme teknologier som i IT-verdenen? Mmmmmm... Ja Der er IT-teknologier der er velegnede til industrielle applikationer Remote Access Station Internet Firewall DMZ Engineering Station Firewalls VPN (Virtual Private Network) DMZ (Demilitarized zone) IEEE 802.1x (Radius Server) MAC-filtre VLAN M.m Automation Cell #1 Automation Cell #2 Automation Cell #3 Page 18

19 Industrial Security IT kontra Industri IT-Security Industrial-Security Confidentiality High Importance Availability VERY High Importance Integrity High Importance Integrity Medium Importance Availability Lower Importance Confidentiality Low Importance Page 19

20 Availability = Redundans + overvågning + Security Redundans Security Availability Overvågning Page 20

21 Sikring af Availability Ethernet og redundans Switchet LAN Kabelredundans CPU-redundans Page 21

22 Sikring af Availability Ethernet og Loop Detection Loop Detection Loop s har medført lange stop, hvor årsagen er meget kompliceret at finde Vælg altid switches med Loop Detection Eller anvend RSTP Page 22

23 Sikring af Availability Overvågning Engineering Station Network Management Lokal Engineering Station Alarmering Redundans Loop Detection Availability information Central logning Autentificerings Log M.m... Page 23

24 Hvordan sikrer man netværks, PLC og I/O niveauet?

25 level Hvad bør man gøre? Firewall VLAN IP-harding Brugerstyring Hvad kan man gøre? Kryptering VPN, WPA2 AES... Udfordringer Unmanaged Switches Page 25

26 level Hvad bør man gøre? Whitelisting Brugerstyring Firewall Hvad kan man gøre? Virusscanner Patch Management VPN Udfordringer OPC Page 26

27 level Hvad bør man gøre? Brugerstyring Firewall IP-hardening Hvad kan man gøre? Kryptering VPN Udfordringer OPC Anvend altid certificerede produkter Se: Work-arounds Indkapsling Page 27

28 level Produkt Certificering Achilles Test og ISA Secure Certificering af industrielle automationsprodukter Achilles Certifikate Level 1 Only the Communication Robustness Test (CRT) is required Achilles Certifikate Level 2 Includes Achilles Level 1 AND each protocol is tested in deeper depth. Is the Communication Robustness Test of ISCI Siemens CERT is accredited to certify Achilles Level 2 No automation vendor has been certified so far ISA Secure Certificering Functional Security Assessment (FSA) Software Development Security Assessment (SDSA) Communication Robustness Testing (CRT): Achilles Level Page 28 *Embedded Device Security Assessment

29 Netværk Segmentering En del af en Industrial Security strategi Routers ACL-Management VLAN Port-baseret IP-adresse-baseret Applikations-baseret Security Cells Firewalls VPN Page 29

30 Segmentering Virtual LANs (Virtual Local Area Network) Internet Engineering Station SCADA Station SCADA Station VLAN (IEEE 802.1q) => etablering af flere virtuelt LAN på et fysisk netværk Kabling via software VLAN giver følgende fordele: Engineering Station Netværkssegmentering Reducerer broadcast load mindre chance for DoS Prioritering af frames QoS Automation Cell #1 Automation Cell #2 Automation Cell #3 Page 30

31 Segmentering VPN (Virtual Privat Network) Internet Engineering Station SCADA Station SCADA Station VPN => alt kommunikation skærmes af VPN giver følgende fordele: Automation Cell #4 Integritet Kryptering Indkapsling Eksisterende OPC applikationer kan sikres... Automation Cell #1 Automation Cell #2 Automation Cell #3 Page 31

32 Sikring af større netværk Page 32

33 Segmentering for større netværk Port Security Management - IEEE 802.1X (RADIUS) IEEE 802.1X (RADIUS) => noder promtes for User name og Password 2 Authenttication Server IEEE 802.1X (RADIUS) giver følgende fordele: Supplicant 1 Authentticator Adgang til netværket er blokeret for uautoriseret adgang Porte på Switches eller adgang til IWLAN enables kun efter en autentificering 3 Automation Network Page 33

34 Sikring af mindre netværk Page 34

35 Segmentering for mindre netværk Port Security Management Access Control List Alternativ til RADIUS Access Control List (ACL) tildeling af permanente IPadresser til specefike porte Disabling af porte Page 35

36 Endnu mere Industrial Security-information Page 36

37 Industrial Security Opsummering Tag det alvorligt Hold dig opdateret Segmentér netværk Brug Managed Switches, VLAN, m.m. Brug Certificerede produkter Isolér sårbare systemer Page 37

38 Tak for opmærksomheden H: \ Data \ Dokumentation \ Net_Workshops \ SCALANCE \ SCALANCE S \ 2012 \ Rockwool_ pptx