SCADA, Internet of Things, Infrastrutture critiche ed Automazione Industriale

Transcript

1 SCADA, Internet of Things, Infrastrutture critiche ed Automazione Industriale Come gestire i rischi legati alle tecnologie necessarie in questi contesti? Alessio L.R. Pennasilico - apennasilico@clusit.it Paolo Florian - paolo.florian@intel.com Security Summit Verona - Ottobre 2016

2 $whois -=mayhem=- Strategic Security 2

3 #iosonopreoccupato 3

4 Paolo Florian Sales 4

5 Perché parlare di infrastrutture critiche? -

6 Infrastrutture critiche Solitamente sono associati al concetto di infrastrutture critiche le risorse relative a: Produzione, trasmissione, distribuzione, dispacciamento dell'energia elettrica e di tutte le forme di energia, quali ad esempio il gas naturale Telecomunicazioni e telematica; Risorse idriche e gestione delle acque reflue; Agricoltura, produzione delle derrate alimentari e loro distribuzione; Sanità, ospedali e reti di servizi e interconnessione; Trasporti aereo, navale, ferroviario, stradale e la distribuzione dei carburanti e dei prodotti di prima necessità; Banche e servizi finanziari; Sicurezza, protezione e difesa civile (forze dell'ordine, forze armate, ordine pubblico); Le reti a supporto del Governo, centrale e territoriale e per la gestione e delle Emergenze. 6

7 Quanti di voi lavorano per un infrastruttura critica? 7

8 Infrastrutture critiche? Grande distribuzione Fonderie Produzione industriale con agenti inquinanti 8

9 SCADA / IoT In un contesto dove oramai tutto è gestito informaticamente l IT risk management deve necessariamente incontrare la Smart Industry 4.0 9

10 Lo scenario di riferimento -

11 McAfee Global Threat Intelligence McAfee GTI received on average 49.9 billion queries per day. McAfee Labs Threats Report June

12 Threat Statistics There are 305 new threats every minute, or more than 5 every second. McAfee Labs Threats Report June

13 Threat Statistic Some trend McAfee Labs Threats Report June

14 ICS-CERT incidents by sector Year 2015 The critical manufacturing and the energy sector continues to lead all others with the most reported incidents. The water sectors also had notable number of incident reported to ICS-CERT, with 25 incidents. 14

15 ICS-CERT Incidents by Access Vector Spear-phishing continues to be an often used method of attack, since it is relatively easy to execute and remains effective. All infected victims of the BlackEnergy campaign had their control system directly facing the Internet without properly implemented security measures. 15

16 ICS and Devices Connected to Internet (Shodan) Devices connected to the Internet By Country >

17 17

18 GDPR Data Breach Notification ci dice qualcosa? Il 2018 è domani! 18

19 L automazione industriale e le sue peculiarità -

20 3th Gen Industrial Control System (ICS) Enterprise (non-critical) Command PCN Servers SCADA Master /HMI (critical) Supervisory Control Communication Control PLCs / RTUs HMI (critical) SCADA Servers ICS Protocol Gateways EMS, FMS, AMI Servers Theater Management systems Modbus Ethernet Fieldbus Profibus DNP3 Data Acquisition PLC s, HMI s and IEDs Field Comms & relays Embedded controllers Sensors: Pressure, Temp Actuator: Valves, Motors & Pumps 20

21 Esempio di intrusione Fonte INL (Idaho National Lab) DHS US 21

22 Control System Basics Sensors Touch / Sound sensor Light / Temperature sensor Actuators Electric motors AC motors Programmable Logic Controllers (PLC) Industrial Protocols Ethernet Serial Wireless Modbus DNP3 ICCP Human Machine Interfaces (HMI) Control Center 22

23 ISO vs ISA ISO/IEC ISA/IEC Confidenzialità Disponibilità Integrità Integrità Disponibilità Confidenzialità 23

24 IT vs SCADA Gestione di Business Continuity Monitoring e riservatezza completamente diverse e non IT integrated 24

25 IT / OT Difference Security Topic Information Technology (IT) Control Systems (ICS) Antivirus Very common, easy deploy and updated Can be very difficult due to impact on ICS: legacy systems cannot be fixed Patch management Easily defined, enterprise wide remote and automated Very long runway to successful patch install: OEM specific may impact performance Vulnerability assessment and Audit Use modern methods Modern methods inappropriate for ICS: fragile equipment breaks Asset classification Common practice and done annually results drive cyber security expenditure Only performed when obligated. Critical asset protection associated with budget costs Incident response and forensics Easily developed and deployed Uncommon beyond system resumption activities, no forensics beyond event recreation Physical & environmental security Poor (office systems) to excellent (critical operation systems) Excellent (operation centers, guards, gates) Technology support lifetime 2-3 years, multiple vendors years, same vendor 25

26 Security Assessment While a ping sweep was being performed on an active SCADA network that controlled 9-foot robotic arms, it was noticed that one arm became active and swung around 180 degrees. The controller for the arm was in standby mode before the ping sweep was initiated. NIST, Guide to SCADA 26

27 ICS-CERT Incidents by Access Vector ICS exploits exist Metasploits available on the internet SCADA exploit pack with 200 Vulnerabilities including >90 zero days for <$10,000 More vulnerabilities being discovered Don t need to have malicious intent to cause damage 27

28 28

29 Il rischio peggiore? 29

30 Voci di costo di un incidente Il nuovo Regolamento 2016/679/UE stabilisce che il titolare del trattamento (da Maggio 2018) notifichi la violazione dei dati personali sia (i) all autorità di controllo competente (art. 33) sia (ii) all interessato, a meno che il titolare abbia adottato misure atte a prevenire la violazione stessa (art. 34). Per le imprese le sanzioni amministrative pecuniarie possono arrivare fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente (art. 83) 30

31 Ci preoccupiamo di 31

32 mentre invece 32

33 Governare il rischio -

34 Cyber Risk Management Come si gestisce il Cyber Risk? Come tutti gli altri rischi aziendali! 34

35 GRCI 35

36 #iosonopreoccupato 36

37 Analisi del rischio Trovarla in forma scritta è già un ottimo inizio 37

38 Analisi del Rischio ID Probabilità Impatto A Alta Basso B Media Alto C Alta Alto D Bassa Medio 38

39 Risk Management Alcune decisioni sia strategiche che tattiche possono essere prese solo dal Top Management 39

40 Per un decisore non tecnico Rosso vale Rosso 40

41 Il rischio per il CIO/CISO Non mi hai permesso di comprendere la reale portata del rischio. Sei responsabile del danno che abbiamo subito Top Management 41

42 Analisi del Rischio Quantitativa ID Probabilità / frequenza Impatto A 20 / y 10K B 5 / y 1M C 1 / y 15M D 1/y 100K 42

43 Risk Analysis 3,8 M 2,2 M 1,1 M 43

44 Strategia di mitigation Investiamo 100K e ci assicuriamo per 1M di massimale con 10K di franchigia Investiamo 10K e ci assicuriamo per 10M di massimale con 50K di franchigia Il Top Management sa prendere queste decisioni! 44

45 #iosonopreoccupato 45

46 Quanto valgono i nostri dati? 46

47 Il wireless arriva in fabbrica Smart Wireless Smart Control Systems Smart Analytical Smart Asset Optimization Smart Measurement Smart Final Control Smart Machinery Health Smart Safety

48 La tecnologia è parte della soluzione 48

49 GRCI 49

50 La visione di Intel Security -

51 The Need for Efficiency The fundamental security challenge 51

52 Threat Defense Lifecycle s Value Continuous, Automated, and Shared Threat Intelligence 52

53 Intel Security: Integrated Platform 53

54 Technology Approach 54

55 Customers Across Segments and Geos 55

56 Industry Partnerships and Integration 56

57 Control System Acceptance and Certification 57

58 Conclusioni -

59 Cyber Risk Management Come si gestisce il Cyber Risk? Come tutti gli altri rischi aziendali! 59

60 La tecnologia è solo parte della soluzione 60

61 GRCI 61

62 Risk Management 3,8 M 2,2 M 1,1 M 62

63 Strategia, Commitment, Risorse 63

64 Inaccettabile non preoccuparsi! 64

65 Grazie dell attenzione! Domande? Alessio L.R. Pennasilico - apennasilico@clusit.it facebook:alessio.pennasilico - twitter:mayhemspp - linkedin:alessio.pennasilico Paolo Florian - paolo.florian@intel.com Security Summit Verona - Ottobre 2016