Introduzione alla protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC, ecc.)

Transcript

1 Introduzione alla protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC, ecc.) Enzo M. Tieghi etieghi@visionautomation.it 1

2 Security dei sistemi IT e dei sistemi di controllo 2

3 I fatti del caso: Vitek lavorava come consulente di un azienda nell installazione di un impianto depurazione Il caso di Vitek Boden Vitek lascia l azienda e cerca di farsi assumere al depuratore. Non viene accettato Tra Gennaio 2000 e aprile 2000 il depuratore subisce 47 incidenti inspiegabili, con la fuoriuscita di tonellate di litri di liquami 3

4 Il caso di Vitek Boden Il 23 Aprile 2000 Vitek Boden viene arrestato: Tra il materiale recuperato trovano: apparati radio, PC e software per programmare PLC, un PLC funzionante (tutti rubati all impianto di depurazione) Aveva ancora il badge per accesso all impianto (ancora abilitato) Il 31 ottobre 2001 in Australia Vitek Boden viene condannato (3 anni) per: 26 intrusioni tramite computer non autorizzate ed allo scopo di causare danni 1 caso di inquinamento grave 4

5 5 Uno spot?

6 I tre aspetti della Sicurezza Sicurezza Fisica (perimetrale): Guardie, porte e cancelli, filo spinato Sicurezza del personale (organizzazione): Politiche di formazione Procedure di sicurezza Consapevolezza e Training Cyber-Security (Tecnologia): Antivirus AntiMalWare AntiXware Autenticazione VPN Back-up Disponibilità - Ridondanza Firewall DMZ Monitoraggio 6

7 ANSI/ISA-95 Functional Hierarchy Level 4 Level 3 Business Planning & Logistics Plant Production Scheduling, Operational Management, etc Manufacturing Operations Management Dispatching Production, Detailed Production Scheduling, Reliability Assurance, Establishing the basic plant schedule - production, material use, delivery, and shipping. Determining inventory levels. Time Frame Months, weeks, days 3 - Work flow / recipe control to produce the desired end products. Maintaining records and optimizing the production process. Time Frame Days, Shifts, hours, minutes, seconds Level 2 Level 1 Batch Control Continuous Control Discrete Control 2 - Monitoring, supervisory control and automated control of the production process 1 - Sensing the production process, manipulating the production process Level The actual production process 7

8 ANSI/ISA TR Art. 6.5 Special Considerations for Manufacturing and Control Systems Manufacturing and Control System electronic security plans and programs are consistent with, and build on, existing IT security experience, programs, and practices. However, there are critical operational differences between IT and Manufacturing and Control Systems that influence how specific measures should be applied. ( ). 8

9 Sistemi di controllo ed automazione industriale Considerazioni sulla sicurezza Quali i Sistemi coinvolti? DCS (Distributed Control Systems) PLC e reti di campo SCADA/HMI e reti di impianto/fabbrica (Supervisory Control & Data Acquisition) Storicizzatori (Historians, Database Produzione ) MES e reti di collegamento con sistemi di gestione produzione, tracciabilità, efficienza, ecc. Sistemi di comunicazione da e verso l esterno (portali con dati produzione ed impianto, sistemi di manutenzione remota, ) 9

10 Sistemi di controllo ed automazione industriale Considerazioni sulla sicurezza Perché (anche qui!) cyber sicurezza? I rischi e le conseguenze di incidenti ed attacchi (a volte difficilmente prevedibili e non solo per i dati) L architettura di rete e i software di sistema I requisiti di disponibilità, integrità (riservatezza?) dati/informazioni. I tempi critici per interazioni, tempi di risposta richiesti, il traffico di rete Limitazioni delle risorse Hardware e Software, patch S.O. ed aggiornamenti del Software. Comunicazioni e protocolli (non sempre IP ) 10

11 Sistemi di controllo ed automazione industriale Considerazioni sulla sicurezza Non solo impianti industriali di produzione ma anche infrastrutture/utilities Divengono obiettivi ancora più esposti: Infrastrutture e reti SCADA: Energia, acqua, gas, movimentazione, utilities Telecomunicazioni Controllo traffico, tunnel, Ferrovie, metro, Edifici (ospedali, stazioni, aeroporti, ) 11

12 12 Dove intervenire

13 S99 Model: Zones and Conduits Laptop computer Workstation Mainframe Enterprise Zone Enterprise Conduit Plant A Zone Plant B Zone Plant C Zone Router Router Router Laptop computer Workstation Laptop computer Workstation Laptop computer Workstation File/Print App. Data File/Print App. Data File/Print App. Data Plant A Control Zone Firewall Plant B Control Zone Firewall Plant C Control Zone Firewall App. Data Maint. Firewall App. Data Maint. Firewall App. Data Maint. Firewall Plant Control Conduit Plant Control Conduit Plant Control Conduit Controller Controller Controller Controller Controller Controller I/O I/O I/O I/O I/O I/O 13

14 Un sistema + sicuro? Si, ma usiamo regole e componenti industriali! 14

15 Segmentare, Segregare e Monitorare (!) la rete di controllo 15

16 Configuration Management di non-pc Change Control & Configuration Management x PLC File di Configurazione e sw dei PLC, PC Documentazione Tecnica di Progetto Configuration Management e gestione delle versioni Documentazione di convalida Check versioni periodico (anche automatico) Notifica per variazioni Back-up & Recovery Plan Security Change Discovery Archival Backup Change Tracker MDT Autosave Version Edit Control Control 16

17 Vulnerabilità rete di controllo Reti e sistemi di controllo sono esposti alle vulnerabilità delle reti alle quali sono collegati ed anche ad altre 17

18 Vulnerabilità rete di controllo: esempi SAP MES Mail Browser Clients VPN Penetration Corporate Network Firewall Internet Viruses Browser Malware IM Downloads Firewall Penetration Unauthorized Access Desktops Historian Mobile Operator Protocol Vulnerabilitie s Vendor Diagnostics Web Wireless AP Vulnerability Exploit Flat Networks Plant Network Resource Constraints Ethernet Control System Application Contractor Hacking/Malwar e Remote Access EMS/ Indirect System Penetration HMI Disgruntled Employee POTS Remote Access Process Control Network (Proprietary or Ethernet) Controller or PLC 18

19 Esempio: Integrated Defense-in-Depth Industrial Defender UTM Guard Industrial Defender SEM Industrial Defender NIDS 19

20 A ciascuno il suo: IT vs Control Characteristic IT Environment Control Environment CPU performance High Low Network performance High Low Reliability System and software changes Applications Protocols Installation environment Within resource constraints Constant Web server, Transaction DB IP (numerous), IBM Resilient, standard 99,999 Rare SCADA, DCS IP (narrow), Modbus, DNP3, etc. Delicate, unique 20

21 Il vero problema? Control system staff often have no skill and time for manual security practices Steve Meyer, System Security Expert says:... Hackers and exploits are an inconvenience and can cost money but downtime will kill a business 21

22 Un aiuto? Il Quaderno Clusit Introduzione alla protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC, ecc.) Disponibile sul sito 22

23 Domande & Risposte Enzo M. Tieghi wwww.visionautomation.it 23