Cigré/Brasil. CE B5 Proteção e Automação

Transcrição

1 Cigré/Brasil CE B5 Proteção e Automação Seminário Interno de Preparação para o Colóquio do SC B Paper 110 Security Information Architecture for Automation and Control Network Rio de Janeiro, de setembro de 2009

2 Dados do Artigo Número: 110 Título: Security Information Architecture for Automation and Control Network Autoria: Carmo, U. (CHESF), Feitosa, E. (UFPE), Sadock, D. (UFPE) País: Brazil 2

3 Objetivo do Projeto Elaborar uma arquitetura de segurança para controle de acesso de hosts e usuários que garanta: Interoperabilidade com a infra-estrutura de rede (Ethernet) legada Utilização de protocolos de segurança abertos e consolidados como RADIUS, IPSec, SNMP, entre outros Capacidade plena de integração com outros sistemas (especialmente o SAGE) 3

4 Contextualização Empresas que atuam em infra-estrutura crítica são ou estão se tornando alvo de ataques Principalmente de atos oriundos de falhas internas de segurança Resultado: queda no desempenho financeiro e na imagem das empresas O que fazer? 4

5 Contextualização Solução 1 (será?) Voltar ou continuar a operar de forma isolada do resto do mundo Pró: aumento evidente no nível de segurança Contra: aumento da ineficiência e piora no processo produtivo Solução 2 (realista) Explorar o potencial da infra-estrutura das redes de comunicação (operar conectado ) 5

6 Contextualização A solução realista é sem dúvida melhor, mas como fazê-lo? Fornecendo esquemas e mecanismos efetivos de segurança Entendendo as possíveis e existentes vulnerabilidades Definindo controle de acesso aos recursos da rede Padrão IEC é um bom exemplo? 6

7 Contextualização Uso do IEC para segurança (Tendência de arquitetura de SAS) 7

8 Contextualização Cenário atual (diferentes ilhas de automação inseguras ) 8

9 Contextualização Requisito Apesar de focar a segurança interna, deve permitir acesso externo a Ilha de Automação 9

10 Arquitetura SIRCAM Serviços Serviços e Sistemas Dispositivos de Acesso Agentes Internet Serviço de Políticas e Controle de Acesso Switch IHM Host Decisão Requisição Requisição de Acesso Intranet Consultas Ponto de Acesso sem Fio Terminal Server Serviço de Remediação 10

11 Arquitetura SIRCAM Fundamentos Quatro componentes funcionais Agentes, dispositivos de acesso, Serviço de Políticas e Controle de Acesso (SPCA) e serviço de remediação Emprega o conceito do gerenciamento baseado em políticas (PBM Policy-BasedManagement) Utiliza os protocolos: RADIUS (AAA), IEEE 802.1x e 802.1q (controle de acesso físico), XACML (políticas de controle de acesso), LDAP (base de dados) 11

12 Agentes Arquitetura SIRCAM Iniciam o processo de controle de acesso IHM 802.1X Requisição de Acesso Dispositivo de Acesso Serviço de Políticas e Controle de Acesso Mantém listas dos softwares instalados no host 12

13 Arquitetura SIRCAM Dispositivo de Acesso Repassam requisições de acesso dos hosts e aplicam as decisões do SPCA 13

14 Arquitetura SIRCAM Serviço de Políticas e Controle de Acesso 14

15 Arquitetura SIRCAM Serviço de Remediação Responsável pela conformidade dos hosts Atualização de patches, antivirus, softwares, etc. Atua sob demanda (solicitação do SPCA) 15

16 Arquitetura SIRCAM Visão Geral Ilha de Automação Base de Políticas e Usuários Host User Policy Usuário RADIUS Request IHM Requisição de Acesso Dispositivo de Acesso Requisição Decisão LDAP Query RADIUS Response Consultas Serviço de Políticas e Controle de Acesso LDAP Response Validação Serviço de Remediação XACML Request XACML Response 16

17 Arquitetura SIRCAM Serviço de Políticas e Controle de Acesso 17

18 Speed: (10/100Base-TX) Green = 100Mbps, Yellow = 10 Mbps, (1000Base-X/T) Green = 1000Mbps; Duplex: Green = Full Duplex, Yellow = Half Duplex; Pow er: Green = Delivering Pow er, Yellow = Fault, Flashing Green = Over Budget 3CR SuperStack 3 Switch 4500 PWR 26-Port /100Base-TX Bas e-x/t Console ( N) U nit 100% 80% 60% 40% 20% Mode Green=Speed Yello w=d uplex Fl ashing=poe R PS PWR Resultados O controle de acesso a arquitetura SIRCAM resulta em duas ações: Permitir ou Negar Teste em plataforma ETH1 ( ) ETH2 ( ) INTRANET CHESF ETH0 ( ) SPCA VLAN 1 VLAN

19 Resultados Medidas de eficiência (Memória) Agente ChesfSupplicant = 6 MB Agente WSChesf (Windows) = 340 Kb Agente VisualSupplicant = 15 MB Console SPCA = 155 Mb (7.1% de 2 Gb) Carregamento de políticas entradas (15600 hosts, usuários e políticas) no diretório LDAP são carregados em memória em 17.2 segundos, ocupando 23% de 2 Gb 19

20 Conclusões A necessidade de esquemas e mecanismos simples de controle de acesso é uma tendência Várias conferências pelo mundo, incluindo SBRC e SBSEG Implementações realizadas e testadas com sucesso A definição de políticas de segurança não faz parte do escopo do projeto Campo fértil para pesquisas e futuros trabalhos Publicações VII SIMPASE (Agosto/2007) WG B5.38 CIGRE The Impact of Implementing Security Requirements using IEC (FEV/2008) VIII SBSEG (Setembro/2008) 20

21 Respostas às questões do REP Número da questão: 1.12 Questão: Remote access Witch use of remote access for maintenance of DSAS is possible and how remote supervision used in this moment? What are the constraints identified by user and vendor? Resposta: 21

22 Perguntas? 22