L11 - ICS - Segurança de Sistemas de Controle Industrial

Transcrição

1 L11 - ICS - Segurança de Sistemas de Controle Industrial Alexandre Lobo & Weltron de Oliveira Area Manager A&S - Rockwell Automation Thiago Marques Domain Expert Leader A&S - Intereng 26/05/ CO900H

2 Como chegamos à isso? 2

3 3 Como chegamos à isso? Eu nem chamaria isso de um hack. Não precisa de nenhuma habilidade e poderia ser feito por uma criança de dois anos com algum conhecimento de Simatic, escreveu o hacker. Nenhum dano foi causado nas máquinas, eu não gosto de vandalismo sem sentido, porque é bobo e estúpido. Mas também é bobo e estúpido deixar a interface de controle SCADA conectada à internet, sentenciou.

4 Como nós podemos proteger os sistemas industriais? Implementando boas práticas de segurança aos dispositivosum bom projeto de rede Implementando um bom projeto de rede Usando ferramentas oferecidas pela Rockwell e seus parceiros Mantendo-se Informado/Atualizado 4

5 Quais são os objetivos para segurança Industrial? A utilização das tecnologias comprovadas, políticas e procedimentos ajudam... Reduzir os riscos associados com as ações não intencionais Melhorar a capacidade de estar livre do perigo, lesão ou perda Aumentar a proteção dos ativos chave de perda/danos Proteger e limitar a potencial exposição dos bens essenciais a danos Para aumentar a segurança, é necessário minimizar o risco global RISCO = Ameaça x Vulnerabilidade x Consequencia Proteção de pessoas, bens e informações proprietárias de ações involuntárias ou maliciosas, tomadas contra ela. Copyright 2011 Rockwell Automation, Inc. All rights reserved. 5

6 Partners Por que o Sistema de Controle Industrial (ICS) é de segurança Crítica? Reduzir os riscos para uma operação segura e confiável Controlar a arquitetura do sistema com segurança em camadas para ajudar a manter a integridade operacional sob Data Protection and Confidentiality Network IP protection Role-based Security Data Protection Anti- Tamper and Detection Remote Access Supply-chain ameaça Proteger os ativos e informação As características do produto e do sistema de controle de acesso para ajudar, à prova de falsificação e exposição informação limite Alinhamento aos Padrões do Governo Divulgação responsável com soluções de controle do sistema que se seguem Padrões globais e ajudar a cumprir os requisitos de segurança independentes e regulamentar Endereçar o risco para ajudar a proteger pessoas, bens e informações de ameaças acidentais e maliciosas Copyright 2011 Rockwell Automation, Inc. All rights reserved. 6

7 Nossa Posição com relação a Segurança Industrial Prover securança aos produtos e serviços Alinhar com as agências apropriadas e padrões Endereçar as responsabilidades de forma rápida e segura 7

8 Copyright 2011 Rockwell Automation, Inc. All rights reserved. 8 Fundamentos de Segurança Aplicar produtos e serviços para a defesa de uma arquitetura em profundidade (ou camadas) Limitar o acesso do usuário às configurações e aos dados dos dispositivos de automação. Limitar o uso dos softwares de aplicação Limitar o acesso aos computadores e mante-los sempre atualizados Limitar o acesso às redes de automação Limitar o acesso físico a todos os equipamentos e redes de comunicação. Física Rede Computador Aplicação Dispositivo

9 Ferramentas de Segurança do Controlador Passe a chave para modo RUN Proteja o programa (serial / senha) Proteja o código fonte Registro de mudança interno FactoryTalk Security Controle de acesso aos tags/dados Physical Network Computer Application Device Copyright 2011 Rockwell Automation, Inc. All rights reserved. 9

10 Copyright 2011 Rockwell Automation, Inc. All rights reserved. 10 Controle de Acesso aos dados Usuários podem definir o acesso externo de Leitura/Escrita, somente leitura ou sem acesso para as tags. Utilizado para o controle onde as tags podem ser modificadas de uma IHM ou aplicação externa (Scada) Uma conexão segura e confiável estabelecida entre o Studio5000 e o controlador Garante que o atributo de Acesso Externo pode ser apenas alterado pelo Studio5000 O FactoryTalk Security define Quem pode usar o RSLogix 5000 para mudar este atributo Usuário pode também definir as tags com valores constantes Valores constantes não podem ser modificados pela lógica do controlador Melhora da segurança de acesso aos tags Especialmente quando utilizado junto com o FactoryTalk Security ou o aplicativo CPU Lock tool

11 1756-EN2TSC Módulo de Comunicação Segura Módulos com capacidade de comunicação VPN IPSec VPN Segurança Classe 3, suporta E/S Client / Server USB e switch de config. de end. IP podem ser desabilitados Mesmo número de conexões do EN2T

12 Restrição de comunicação

13 Assinatura Digital para Firmware Como/Quando foi introduzido Motivos de uma assinatura digital Proteger o firmware de uma corrupção acidental ou maliciosa Garantir que o firmware foi fornecido/gerado pela Rockwell Automation Os novos controladores que possuem o novo firmware assinados digitalmente apartir do 1º dia (L1y, L2y, L3y, L7x, Micro 800 ) Versões para produtos já existentes serão introduzidos (EN2T, DNB ) Como funciona A Rockwell Automation fornece kits com o firmware digitalmente assindo como uma chave privada. Os dispositivos são verificados se o firmware corresponde a uma chave públicada. Qualquer mudança no kit do firmware irá causar falha no dispositivo. Copyright 2011 Rockwell Automation, Inc. All rights reserved. 13

14 Detecção de mudanças no controlador Todos controladores Logix expõem um valor de auditoria de detecção de mudanças Quando algo acontece que possa impactar no comportamento do controlador; este valor se altera. O valor de auditoria está disponível no Studio5000, em outros software aplicativos e também via instrução Message. Pode-se configurar os eventos que registram as Modificações no controlador. Copyright 2011 Rockwell Automation, Inc. All rights reserved. 14

15 Detecção de mudanças no controlador O valor de auditoria é armazenado em cada entrada de registro do controlador FactoryTalk AssetCentre a partir da versão 4.1, poderá monitorar o valor de auditoria e ler o registro do controlador Copyright 2011 Rockwell Automation, Inc. All rights reserved. 15

16 FactoryTalk Security Use FactoryTalk Security para Gerenciar as ameaças internas, autenticar o usuário e autorizar o uso de aplicativos de software para acessar os dispositivos de automação Como isto funciona? O software possui um gerenciamento centralizado para verificar as permissões de cada usuário e conceder ou não as solicitações do usuário para executar uma ação sobre o recurso dentro do sistema. (Passo 1) Requesição de Acesso (Todos os softwares possuem o FactoryTalk Security habilitado) Security Authority (FactoryTalk Directory) (Passo 2) Acesso Permitido ou Negado Regras de Usuários (Grupos FT Windows) Contas de Usuários (Usuários FT ou Windows) Computadores e Grupos de Computadores Politicas de Segurança de Sistema Politicas de Segurança de Produtos Controladores devem ser seguros Segurança dos Controladores por área (Passo 3 - opcional) Autoriza O acesso para um dispositivo específico Copyright 2011 Rockwell Automation, Inc. All rights reserved. 16

17 FactoryTalk Security Configuration O FactoryTalk Directory pode ser configurado para o acesso seguro ao sistema, baseado em: Segurança de Controladores por Area Politica de segurança de Produtos Politica de segurança do Sistema (Segurança da Planta) Computadores e Grupo de Computadores Controladores (A serem contolados) Usuários (Usuários do Windows ou FactoryTalk) Políticas de Segurança ( Grupos Windows or FactoryTalk

18 FactoryTalk Security Operação Stand Alone Cache de Segurança FactoryTalk Directory possui um armazenamento central como paginas amarelas para a configuração das informações de segurança (Usuários, normas, controladores, premissões, etc) Cada vez que um cliente é conectado ao Directory, é feito o update com as últimas versões de segurança. Client E toda a informação é armazenada localmente quando disconectado do Directory Client Client FactoryTalk Directory Security Authority 18

19 19 Studio5000 FactoryTalk Security - Cache Expiration A operação desconectado do FT é possível através do cahe das politicas de segurança no computador client. Esta característica define quanto tempo esta política é valida.

20 Studio Identificador de Segurança e Autoridade Com o FactoryTalk Services Platform SR5 e o RSLogix V20 É possível configurar todos os controladores Logix para que seja necessário que todos os usuários sejam autenticados em uma determinada instancia do FactoryTalk Directory antes de acessar o controlador. (Security Authority Identifier) Qualquer um que esta trabalhando em um projeto (on-line ou off-line) com a caixa Security Authority ID required marcada O primeiro requisito é o Log On.. utilizando o FactoryTalk Directory nesta máquina Copyright 2011 Rockwell Automation, Inc. All rights reserved. 20

21 Studio Identificador de Segurança e Autoridade Usando o FactoryTalk Administration Console, o Identificador de Segurança e Autoridade (Security Authority Identifier) pode executar as seguintes ações: Visualizar ou modificar configurações e fazer backup do diretorio para segurança. Restaura um backup, com ou sem sobre escrever o conteúdo do diretorio. O Identificador (ID) do Directory está no nome do arquivo (para fácil utilização) The Security Authority Identifier looks like this Copyright 2011 Rockwell Automation, Inc. All rights reserved.

22 Projeto de Rede Segura Modelo de segurança de rede com garantia de defesa (Defense-in- Depth) Políticas de Segurança Nível Industrial Implementar um DMZ 22

23 Serviços de Segurança e Redes AVALIAÇÃO Avaliação do estado atual do programa de segurança e políticas de acesso Avaliação do estado atual da arquitetura de rede e sua implementação ARQUITETURA/PROJETO Desenho e planejamento da infraestrutura de rede Desenho e planejamento da política de segurança, infraestrutura, sem interferência no plano de negócios IMPLEMENTAÇÃO Instalação e configuração de uma rede Implementação do programa de segurança, infraestrutura e treinamento das políticas de segurança VALIDAÇÃO Auditoria da arquitetura atual, comparado aos órgão competentes (ODVA, CNI, IEEE, TIA/EIA) Auditoria do programa de segurança comparado aos órgãos competentes (NERC CIP, ISA SP-99, NIST , NIST GERENCIAMENTO/MONITORAÇÃO Gerenciar, manter e monitorar a rede (operação e problemas) Gerenciar Serviços de Segurança (resposta à incidentes, recuperação e monitoração) 23

24 24 Informação adicional FactoryTalk Security FactoryTalk Security Help Publication FTSEC QS001D-EN-E Nov 2011

25 Mantenha-se Atualizado Copyright 2011 Rockwell Automation, Inc. All rights reserved. 25

26 Mantenha-se Atualizado ICS CERT 26

27 Qualificação de Patch da Microsoft Whitepaper Computer System Security Updates: Why patch your computers? 27

28 Qualificação de Patch da Microsoft 28

29 Mantenha-se Atualizado Security Advisory Index KB Copyright 2011 Rockwell Automation, Inc. All rights reserved. 29

30 Para ter certeza que você está atualizado, acesse Copyright 2011 Rockwell Automation, Inc. All rights reserved. 30

31 Obrigado por participar! CO900H