Industrial Cyber Security Soluzioni sicure, veloci ed affidabili

Transcript

1 Industrial Cyber Security Soluzioni sicure, veloci ed affidabili

2 Industrial Cyber Security Fidarsi è la base Al giorno d oggi milioni di dispositivi consentono di condividere e scambiare informazioni in tutto il globo. Questa evoluzione sta diventando una realtà anche all interno del mondo industriale; l aumento dello scambio e della condivisione di informazioni negli impianti produttivi (Industry 4.0 e Internet of Things) ha portato alla necessità di una strategia per la Security delle reti per la protezione dell integrità dei dati e della disponibilità degli impianti. Le organizzazioni che compiono Cyber Crime sono sempre più strutturate e utilizzano tool sempre più sofisticati. Secondo quanto citato nel report Unicri (Istituto di ricerca delle Nazioni Unite per i crimini e la giustizia) del 2014, Interpol stima il costo della criminalità informatica in Europa in 750 miliardi di euro. Sempre in Europa si stima la perdita di posti di lavoro e in Italia McAfee identifica nello 0,6% del PIL nazionale il valore dei danni derivanti dal Cyber Crime. È con questa consapevolezza che Phoenix Contact sviluppa proposte in grado di proteggere il sistema informatico di qualsiasi impresa, salvaguardando il know-how e tutti quei dati sensibili che costituiscono il patrimonio dell azienda e dell intero processo produttivo. Phoenix Contact propone un ampia scelta di soluzioni che spaziano dall hardware al software fino ai servizi di assistenza. Know-how: Phoenix Contact vanta un esperienza pluridecennale nell automazione e nell ultimo decennio nelle reti Ethernet industriali. E consapevole e ben comprende le aspetta tive e le esigenze che nascono nel mondo dell automazione. Esperto costruttore di macchine: Phoenix Contact è strettamente legata all industria, in particolare al mondo dei costruttori di macchine. Essa stessa costruisce macchinari ad uso interno e per questo comprende appieno le sfide quotidiane dei propri clien ti. Building Machine è il nome del reparto dedicato a questo ambito ed è ubicato all interno dello stabilimento principale, a Blomberg in Germania, dove operano oltre 180 dipendenti. Servizio pre e post vendita: Una rete di vendita con oltre 45 filiali e più di 30 partner commerciali in tutto il mondo, garantisce vicinanza e assistenza puntuale al cliente, direttamente in loco. Automotive in sicurezza Nello stabilimento produttivo di uno dei più grandi gruppi operanti nel settore automotive sono stati installati i firewall router industriali della famiglia mguard di Phoenix Contact per separare la rete completa in 15 subnetworks. Ogni singolo subnetwork è stato progettato con rigide regole di firewall per garantire una maggiore protezione dagli accessi non autorizzati. Attraverso il software Device Manager è stato possibile comandare i vari router/firewall all interno del sistema produttivo, evitando così di programmare ogni singolo dispositivo e trasferendo informazioni attraverso un unica postazione di assistenza. Ciò ha consentito di garantire una maggiore sicurezza della trasmissione dei dati nella rete ed una drastica riduzione degli errori da parte dei tecnici d assistenza. 2 PHOENIX CONTACT PHOENIX CONTACT 3

3 Trasmissione dati in aumento Diffusione globale dell Industrial networking Le reti di comunicazione globale stanno diventando sempre più potenti mentre i costi di trasmissione diminuiscono. Un esempio è la diffusione della teleassistenza, grazie alla quale le aziende con impianti di produzione dislocati in sedi remote trovano sempre più utile collegare le stesse tramite Internet, per ridurre i costi e aumentare la produttività. Industry 4.0, Internet of Things e Smart Grid ben rappresentano lo scenario odierno. Nell Industry 4.0 vi è la necessità di analisi real-time della produzione con trasferimenti massivi di dati su internet e nell Internet of Things, invece, assistiamo a una proliferazione dei nodi in rete. Diventa quindi fondamentale adottare una strategia efficace per la sicurezza delle reti industriali. Il networking globale presenta enormi benefici, ma anche dei rischi. Un malware può diffondersi rapidamente all interno della stessa azienda tramite le nuove interfacce di comunicazione e gli insider threats (es: trojan propagati dalle memory stick), provocando seri danni alla produzione. Non sempre si può montare un antivirus a bordo di un PC industriale, soprattutto in produzione, poiché comprometterebbe le performance di macchine e impianti. Phoenix Contact, grazie all esperienza pluridecennale come costruttore di macchine e attraverso le competenze dei suoi esperti in Cyber Security, offre soluzioni in grado di proteggere le reti da fonti di pericolo interne ed esterne. 4 PHOENIX CONTACT PHOENIX CONTACT 5

4 I rischi dell assenza di Security nella produzione: i casi più comuni Ho una VPN senza firewall e rischio di veicolare Virus e Malware Hanno rubato il PC portatile del tecnico di assistenza con le creden ziali per l accesso remoto alle mie macchine Temo che gli operatori di impianto inseriscano una penna USB infetta in un PC di produzione Il PC portatile del tecnico d assistenza potrebbe essere infetto e questo potrebbe costituire una minaccia alla Security della mia rete I vecchi PC in produzione con sistema operativo XP non sono più sicuri perchè non più supportati da Microsoft Non posso utilizzare un antivirus sui PC di produzione perchè ridurrebbe la performance e perchè sono incompatibili con i sistemi di supervisione I miei rischi aumentano propor zionalmente al numero di acces si remoti sulle macchine installate nell impian to; così è più facile che si diffondano Malwa re e che ci siano furti di dati I miei dati sono trasferiti in modo trasparente e sono chiaramente leggibili Il mio impianto è sempre connesso a Internet 24 ore al giorno e gli hacker hanno tutto il tempo di penetrare i miei sistemi di controllo 6 PHOENIX CONTACT PHOENIX CONTACT 7

5 I rischi per la tua attività Perdita di know-how L assenza di opportune misure di Security può diventare molto costosa. I casi che inducono un dispendio di denaro sono molteplici: Perdita dei dati: Improvvisamente tutti i tuoi dati vengono persi. Quale potrebbe essere il costo della ricostruzione di questi dati? Aumento costi Crollo fatturato Perdita di know-how: Un competitor riesce ad accedere ai tuoi dati sensibili (progettazione, ingegnerizzazione, ). Quanto può valere economicamente il danno? Fermi di produzione: A causa di problemi legati alla security, la produzione deve arrestarsi per alcune ore. Quale può essere il costo del fermo impianto? Ore lavoro dei lavoratori: Quante ore lavoro sarebbe necessario impiegare per risolvere i danni generati da una falla nelle tue misure di security? Reputazione a rischio Reputazione: Quanto potrebbe essere importante un danno alla tua reputazione se i clienti non riponessero in te la giusta fiducia circa la protezione da Cyber attacchi? 8 PHOENIX CONTACT PHOENIX CONTACT 9

6 Soluzione di teleassistenza sicura Cloud e inhouse La connessione sicura da remoto a una o più macchine, attraverso un PC da ufficio o Mobile PC/tablet, può essere realizzata con differenti soluzioni tecnologiche. mguard Secure Cloud consente a chiunque di gestire e di usufruire di servizi da remoto sfruttando le tecnologie web-based e la rete del cliente. L apertura del canale di comunicazione è sempre in uscita, quindi l area IT del cliente non è coinvolta nell installazione. Per mezzo di un web browser standard il personale di servizio può connettersi all area riservata del sito del Secure Cloud e raggiungere la macchina o le installazioni via Web senza particolari conoscenze in ambito IT e senza software aggiuntivo. La soluzione InHouse usa componentistica hardware che opera da infrastruttura centralizzata di comunicazione ed è costituita dal dispositivo mguard centerport2, che integra in un solo apparecchio le funzionalità di firewall e VPN gateway. Si tratta di un vero e proprio high-performance gateway per la gestione di tunnel VPN in formato da 19 pollici 1U, che permette la connessione ad un elevato numero di sistemi, macchine o tecnici: possono essere attivati fino a tunnel VPN in contemporanea. Il tutto integrando uno statefull inspection firewall anche a livello di tunnel VPN in modo da garantire l adeguato livello di security per ogni singola connessione. 10 PHOENIX CONTACT PHOENIX CONTACT 11

7 Possibili soluzioni di Security IP Address /24 Cella di produzione /24 Applicazione di routing NAT IP Address /24 Cella di produzione /24 A valle del Firewall posto in testa alla rete di fabbrica è possibile l utilizzo di security router INFECTED mguard anche per la gestione della funzionalità NAT (Network Address Translation). Attraverso questa, l intera rete di una singola macchina viene vista dalla rete superiore come un elemento unico riducendo la possibilità di duplicazioni di indirizzi IP sulla rete. L ampia e semplice possibilità di settaggio di opportune rego le di firewall consente inoltre di evitare la conta minazione mutua tra reti poste in comunicazione, anche con riferimento ai Applicazione di routing NAT Rete di fabbrica /16 Regole del FireWall attive tramite: WEB canali costituiti da tunnel VPN (Virtual Private Network). Applicazioni CIM La tecnologia CIM (CIFS Integrity Monitoring), disponibile opzionalmente sui safety router mguard, consente un controllo continuo dell integrità di sistema senza installare a bordo di Industrial PC dei software anti-virus, poco compatibili con le esigenze produttive di una rete industriale. Grazie alla tecnologia CIFS tutti i file system dei componenti di rete sono monitorati così che ogni modifica (aggiunta di pro grammi, DLL o altri file eseguibili) venga riconosci uta e non sia necessario provvedere all aggioramento del database dei virus. Applicazioni CIM (CIFS Integrity Monitoring) Rete interna Rete esterna 12 PHOENIX CONTACT PHOENIX CONTACT 13

8 Soluzioni ottimali per reti ad alta disponibilità Applicazione sicura con porta DMZ L utilizzo di Security Router con porta DMZ WAN con sente un uso più efficace della tecnologia DMZ firewall. LAN Windows Server DNS Server Web Server Mail Server L area server viene circoscritta e protetta con firewall permettendo l accesso sicuro da e verso la stessa, sia dal lato WAN sia dal lato LAN. Nella parte inferiore dell architettura è inoltre raffigurata la soluzione ridondata con connessione esterna anche via VPN. Applicazione sicura con porta DMZ Sistema di protezione semplificata In reti complesse, costituite da diverse macchine, è possibile gestire la connessione ad ogni singola macchina (cella) via VPN attraverso un unico mguard associato a licenza, che consente la gestione fino 250 tunnel VPN contemporaneamente. In questo modo si evita di dover dotare ogni singola macchina di un proprio sistema di connessione alla rete esterna. Nel caso in cui un PC industriale venisse infettato, questi connettendosi alla rete via VPN potrebbe causare danni sui portatili e sui personal computer da ufficio dei tecnici che svolgono teleassistenza. Per evitare questi rischi è possibile impostare un firewall anche sulla connessione VPN. Applicazione multi-accesso tramite singolo Router Rete di fabbrica su VPN su VPN INFECTED 14 PHOENIX CONTACT PHOENIX CONTACT 15

9 Firewall/ Router Firewall Router con Unmanaged Switch Firewall/ Router Gigabit Firewall/ Router Firewall/Router per ambienti Ex Firewall Router con Managed Switch Mobile phone router Mobile phone router FL MGUARD RS2000 TX/TX VPN cod. art FL MGUARD RS4000 TX/TX cod. art FL MGUARD RS4000 TX/TX VPN cod. art FL MGUARD RS2005 TX/TX VPN cod. art FL MGUARD GT/GT cod. art FL MGUARD GT/GT VPN cod. art FL MGUARD RS2000 TX/TX VPN cod. art FL MGUARD RS4000 TX/TX-P cod. art FL MGUARD RS4004 TX/DTX cod. art FL MGUARD RS4004 TX/DTX VPN cod. art TC MGUARD RS G VPN cod. art TC MGUARD RS4000 3G VPN cod. art porte RJ45, 10/100 Mbit/s 1 porte WAN, 5 porte LAN 2 porte RJ45, 10/100/1000 Mbit/s 2 porte SFP, 1000 Mbit/s 1:1-NAT, NAT, port-forwarding, Instradamento standard WAN/LAN router con unmanaged switch a 5 porte 1:1-NAT, NAT, port-forwarding, Instradamento standard Firewall di facile configurazione Firewall tipo stateful inspection, traffico di rete in entrata e uscita separato Firewall semplificato, 2 tunnel VPN contemporaneamente attivi Firewall tipo stateful inspection, traffico di rete in entrata e uscita separato, dispositivo di filtraggio anche su fi bra ottica Fino a 2 tunnel paralleli, criptazione sicura secondo gli standard IPsec Fino a 2 tunnel paralleli, criptazione sicura secondo gli standard IPsec Fino a 10 tunnel paralleli (accessori fi no a 250) criptazione sicura secondo gli standard IPsec Facili applicazioni di instradamento e manutenzione remota Fino a 2 tunnel VPN Criptazione sicura secondo gli standard IPsec Memoria di configurazione Pulsante di attivazione VPN e spia LED di stato del VPN Firewall di facile confi gurazione (doppio click) Range di temperature da -40 C a +70 C Condensa ammessa per brevi periodi Certificazioni Atex IECex OPC Inspector integrato 2 porte RJ45 10/100 Mbit/s 1:1-NAT, NAT, port-forwarding, Firewall tipo stateful inspection Possibili licenze opzionali Router WAN/LAN con managed switch a 4 porte, porta DMZ, range di temperatura esteso, SD card slot, fi rewall esteso, router con NAT/1:1- NAT Router WAN/LAN con managed switch a 4 porte, porta DMZ, range di temperatura esteso, SD card slot, firewall esteso, router con NAT/1:1-NAT, 10 tunnel VPN contemporaneamente attivi (fino a 250 con apposita licenza) Router con funzionalità complete per applicazioni sofisticate di sicurezza e manutenzione remota Fino a 2 tunnel VPN Criptazione sicura secondo gli standard IPsec Memoria di configurazione Pulsante di attivazione VPN e spia LED di stato del VPN Router con funzionalità complete per applicazioni sofisticate di sicurezza e manutenzione remota Fino a 10 tunnel VPN Criptazione sicura secondo gli standard IPsec Memoria di configurazione Pulsante di attivazione VPN e spia LED di stato del VPN Firewall/Router per applicazioni su dispositivo mobile Firewall/Router con connessione PCI mguard centerport2 Software di gestione centrale CIFS Integrity Monitoring FL mguard ILC OPC INSP mguard Secure Cloud mguard Secure VPN Client FL MGUARD SMART2 cod. art FL MGUARD SMART2 VPN cod. art FL MGUARD DELTA TX/TX cod. art FL MGUARD PCI4000 cod. art FL MGUARD PCI4000 VPN cod. art mguard centerport2 cod. art it mguard centerport2/vpn 250 cod. art it mguard centerport2/vpn 1000 cod. art it FL MGUARD DM 100 cod. art FL MGUARD DM UNLIMITED cod. art FL MGUARD LIC CIM cod. art FL MGUARD LIC OPC INSP cod. art Secure Cloud Portal per accesso da remoto. Accesso gratis versione Basic 1 utente concorrente Client VPN sicuro Articolo acquistabile dal portale mguard Secure Cloud Firewall/Router per ambiente Office o per i tecnici di assistenza, Versione VPN: 10 tunnel paralleli (accessori fi no a 250), Firewall tipo stateful inspection 1:1-NAT, NAT, portforwarding, Instradamento standard Router con firewall tipo stateful inspection per PCI, versione VPN: 10 tunnel paralleli (accessori fino a 250), fi rewall tipo stateful inspection, 1:1-NAT, NAT, port-forwarding, instradamento standard High-End Firewall and VPN Gateway in formato a rack da 19 pollici (formato 1U). Ideale per soluzioni di service da remoto in infrastruttura di rete centralizzata. Fino a 1000 tunnel VPN contemporaneamente attivi. Architettura basata su processore multicore x86. Pienamente compatibile con tutti i dispositivi mguard e con il software mguard Central Management (FL mguard DM) Software di gestione centrale fino a 100 (DM 100) o più (DM UNLIMITED) dispositivi FL MGUARD sul campo per installazione su di un PC Protezione antivirus industriale per sistemi operativi Windows, funziona senza aggiornamenti o pattern antivirus, riconosce qualsiasi cambiamento sul sistema Licenza per l'attivazione della funzione OPC-Inspector su un FL mguard. La licenza opzionale mguard OPC Inspector abilita uno stateful inspection fi rewall applicato al classico protocollo OPC, protocollo largamente utilizzato in ambiente industriale È un servizo di service da remoto, gestito in modo professionale e a disposizione di produttori di macchine e operatori di impianti. Mediante l uso di un webbrowser standard, il personale di servizio si può connettere al website Secure Cloud e, a seguito di identificazione, da qui accedere all installazione in campo accedendo alle informazioni associate ai propri diritti di accesso Collegamento sicuro via VPN all'mguard Secure Cloud da desktop, laptop o tablet PC con sistema operativo Windows 8.x, 7 e Vista 16 PHOENIX CONTACT PHOENIX CONTACT 17

10 Supporto post vendita Sempre al tuo fianco Scopri la gamma di servizi che Phoenix Contact è in grado di offrirti: Analisi e valutazione della rete esistente Test funzionali per una corretta soluzione di Security Consulenza nell individuazione delle tecnologie più adatte al sistema Progettazione e sviluppo della soluzione di Security Analisi e realizzazione di un eventuale soluzione di ridondanza Supporto nella scelta delle tecnologie e dei sistemi di comunicazione di rete Customer Service mguarditalia_it@phoenixcontact.com www. phoenixcontact.it 18 PHOENIX CONTACT PHOENIX CONTACT 19

11 Oltre alla Cyber Security, Phoenix Contact offre una vasta gamma di soluzioni e servizi per l automazione industriale. Custodie per elettronica Interruttori elettronici ed elettronica di potenza Reti Ethernet Componenti e sistemi di bus di campo Sicurezza funzionale HMI e PC industriali Sistemi I/O Illuminazione industriale Tecnica di comunicazione industriale Materiale per installazione e montaggio Cavi e linee Connettori e morsetti per circuiti stampati Siglatura e marcatura Convertitori modulari per la misura, il controllo e la regolazione Monitoraggio e segnalazione Morsetti componibili Moduli relè Moduli di protezione Cablaggio sensore/attuatore Software Connettori Controllori Alimentatori e UPS Cablaggio di sistema per controllori Protezione contro le sovratensioni e filtro per interferenze Utensili Comunicazione dati wireless PHOENIX CONTACT S.p.A. Via Bellini, 39/ Cusano Milanino (MI) Tel (r.a.) Fax MMR Printed in Italy PHOENIX CONTACT 2015