COLLABORATIVE SECURITY. Network Security Endpoint Security Data Security

Transcript

1 COLLABORATIVE SECURITY Network Security Endpoint Security Data Security

2 Stormshield Data Security Overview Stormshield Filiale di Airbus Defence and Space CyberSecurity

3 Stormshield Introduzione Stormshield offre Soluzioni di sicurezza end-to-end innovative per proteggere Reti Stormshield Network Security Host Stormshield Endpoint Security Dati Stormshield Data Security

4 Stormshield Data Security Overview Tecnologie certificate EU RESTRICTED NATO/OTAN COMMON CRITERIA COMMON CRITERIA

5 Contesto IT Network Web server 1990, workstation industriali sviluppate su Microsoft Windows Mail server ERP IT workstation Oggi tutte le comunicazioni tra sistemi industriali (OT VS IT) sono basate su IP. OT Network OPC Client MES OPC Server Scada Dialup Internet Eng. console PLC PLC Remote access Field sensors Field actuators

6 Attività e Minacce IT Network Web server Mail server ERP IT workstation OT Network OPC Client MES OPC Server Scada Eng. console PLC PLC Remote access Field sensors Field actuators

7 Attività e Minacce IT Network Web server Mail server ERP IT workstation OT Network OPC Client MES OPC Server Scada Eng. console PLC PLC Remote access Field sensors Field actuators

8 Attività e Minacce IT Network Web server Mail server ERP IT workstation OT Network OPC Client MES OPC Server Scada Eng. console PLC PLC Remote access Field sensors Field actuators

9 Attività e Minacce IT Network Web server Mail server ERP IT workstation OT Network OPC Client MES OPC Server Scada Eng. console PLC PLC Remote access Field sensors Field actuators

10 Process controllers Operator workstations Risorse da proteggere PLC, Controller DCS devono essere attivi al 100%. (I tempi di ciclo possono essere millisecondi) L integrità del programma di controllo deve essere garantita (nessuna modifica) I watchdog di controllo devono essere sempre attivi La sicurezza del software non deve essere compromessa (danno umano o ambientale) Le workstation devono essere protette da virus (operatori, chiavi usb, etc.) Le workstation non possono essere disconnesse Il monitoraggio dei sistemi deve essere continuo per evitare malfunzionamenti.

11 Network Active devices Risorse da proteggere Oggi la maggior parte dei protocolli OT sono basati su IP ma i team IT non hanno skill specifici. Le reti ICS/OT(PLC, MES, Scada) sono connesse alla rete IT (ERP, IT Workstation) La maintenance può essere affidata a terze parti (accessi remoti multipli). Sottostazioni remote possono essere interfacciate alla parte OT via internet L inventario dei device attivi (PLC, workstations) spesso è incompleto (dipartimenti, proprietari differenti) Molte workstation OT sono basate su piattaforma Microsoft I computer dei sub contractor sono basati su Microsoft I computer dei subcontractor non sono controllati

12 Industrial vs IT Caratteristiche industriali Il ciclo di vita di un prodotto industriale è di circa anni. I sistemi operativi Microsoft hanno un ciclo di anni. I team che si occupano di automazione non hanno conoscenze in campo security IP. Le operazioni di maintenance possono avvenire solo 1 volta all anno durante uno shut down generale e spesso non sono negoziabili dal team che si occupa di sicurezza.

13 Regolamenti Norme e legislazioni

14 Norme e legislazioni I sistemi ICS dovrebbero essere conformi alle seguenti norme. NERC CIP : NERC CIP (critical infrastructure protection) è un insieme di requisiti progettati garantire la sicurezza e l affidabilità dei sistemi elettrici del Nord America. IEC (formally ISA99/) : Serie di standard, report tecnici, e informazioni che definiscono procedure per l implementazione di un sistema industriale sicuro di automazione e controllo. EU Directive 2006/42/EC on machinery : Richiede che il sistema di controllo remote sia progettato per connettersi solo alla macchina target e per la funzione specifica. BSI (Germany) : ICS-Security- Kompendium. Una guida della sicurezza dei sistemi SCADA ANSSI (France) : Legislation (2014) Richiede l installazione di sistemi IDS e obbliga la dichiarazione di un attacco. ANSSI pubblica delle raccomandazioni in ambito di sicurezza industriale.

15 Protezione Endpoint Autonomo:Proteggere le workstation industriali contro i malware senza la necessità di update come un antivirus (protezione della memoria). Copertura totale: Bloccare o filtrare tutto ciò che potrebbe compromettere la macchina. (blocco wifi/bluethooth, filtri IP, analisi USB/smartcard). Protezione da device rimuovibili. USB: Le chiavi USB devono poter essere accettate solo se validate da una macchina di controllo. Adattivo: Fornire una contextual policy per i computer dei consulenti esterni. Nessuna comunicazione è consentita quando si è connessi all infrastruttura industriale

16 Protezione rete Range: DIN rail e IT 1/2 U Discovery: Permette di effettuare l inventario degli host. Le modifiche al flusso dei dati devono poter essere tracciate in tempo reale o a richiesta. Modalità sensore: La rilevazione delle minacce deve poter avvenire senza intrusione nella rete. Modalità firewall: Filtraggio dei protocolli industriali e IT (Modbus, S7, DN3, OPC UA, EtherNet/IP) Certificazioni: EU Restricted e NATO, ANSSI, Common Criteria

17 Stormshield Network Security Stormshield

18 Stormshield network security La soluzione per la sicurezza Industriale ed IT 15 anni di sviluppo software Solo un software integrato per tutte le appliances: 1U/2U form factor Ruggedized DIN form factor (SNi40) Protocolli IP Una sola certificazione per IT/OT Un sistema di riconoscimento delle vulnerabilità innovative, e inventario device. Capacità di filtraggio dei protocolli industriali(modbus, S7, OPC UA) Modalità sicura per SN140 (By-Pass)

19 SNi40 Funzione Bypass 3.0 Modalità di sicurezza di default: Come per le altre appliance di sicurezza il traffico è permesso solo in modalità attiva. In caso di guasto o durante il boot il traffico è bloccato. Modalità sicura: tutto il traffico è autorizzato in caso di guasto e durante il boot. Il filtraggio è applicato solo in modalità di funzionamento normale.

20 Plugins

21 Plugins

22 Plugins - reazione

23 Stormshield Endpoint Security Stormshield

24 Stormshield Endpoint Security per workstation Microsoft 13 anni di sviluppo in sistemi di protezione in ambito Microsoft Un tecnologia comportamentale che fornisce una sicurezza proattiva e senza signature che permette di proteggere da minacce conosciute e non. Policy contestuali: il pc di un consulente che si connette alla rete industriale viene forzato ad usare determinate security policy. USB control: I device esterni posso essere bloccati ed autorizzati solo dopo un controllo accurato.

25 Stormshield Endpoint Security

26 Sicurezza a lungo termine con SES SES permette di garantire la sicurezza di quei sistemi obsoleti che non sono più manutenuti da Microsoft. OS MS End of life SES long term support XP SP3 April 8, Server R2 July 14,

27 Certification / Partners Stormshield

28 Certificazioni Product Perimeter ANSSI CSPN Common Criteria SNS IP protocol EAL 4+ Q NIST SNS IT protocols EAL 3+ Q SNS OT Protocols Q EAL 3+ Q SES Disk Encryption EAL 3+ Q FIPS Tutti i nostri prodotti sono certificati Common Ciriteria e approvati NATO ed EU Restricted.

29 Test compatibilità SES Il team Schneider NEC ha testato la compatibilità SES con I seguenti tool Product Name Unity Pro PL7 Pro Vijeo Designer Type PLC Programming Software PLC Programming Software HMI configuration

30 Stormshield e Schneider Electric

31 Ci sono domande? Stormshield Data Security Encryption Everywhere