Komunikacja w nowoczesnej energetyce

Mirosław Zwierzyński

Styczeń/2017

Cyberbezpieczeństwo w systemach energetycznych

Czego się dowiesz…

… kto atakuje sieci i dlaczego

… jak atakuję

… co możemy zrobić dziś i jutro

… narzędzia ochrony

… jak wytłumaczyć sens działania

Problemy bezpieczeństwa w przeszłości ...

3

Kevin Siers, The Charlotte Observer, ©2000

Problemy bezpieczeństwa w przeszłości ...

4

Kevin Siers, The Charlotte Observer, ©2000

Problemy bezpieczeństwa w przeszłości ...

5

Kevin Siers, The Charlotte Observer, ©2000

Problemy bezpieczeństwa dzisiaj ...

6

Kevin Siers, The Charlotte Observer, ©2000

Hakerzy

Jakim niebezpieczeństwom stawiamy czoła:

Level 0: Użytkownik

Level 1: „Opportunistic Hackers”

Level 2: Kryminaliści

Level 3: Terroryści

Level 4: Dobra Państwowe

Generalnie wyróżniamy cztery typy zagrożeń:

Nieautoryzowany dostęp do danych

Nieautoryzowana modyfikacja lub kradzież danych

Atak Denial of service

Typy cyber ataków

• Zakłócanie działania przez zalewania sieci/aplikacji olbrzymią liczbą danych, celem zakłócenia jej działania i transmisji docelowego ruchuDenial of service

• Atak polegający na podsłuchu i modyfikacji wiadomości przesyłanych pomiędzy dwiema stronami bez ich wiedzyMan-in-the-Middle

• Obserwowanie ruchu w sieci celem zbierania informacji o systemieMonitoring sieci

• Atakującemu zostają przydzielone prawa administratoraEskalacja

przywilejów

• Użytkownicy nieświadomie instalują złośliwe oprogramowanie poprzez klikanie na linkiPhishing attacks

• Napastnicy wykorzystują zaufanie oraz informacje od personelu celem zbierania informacji używanych do ominięcia zabezpieczeń, fizycznych modyfikacji oraz sabotażu infrastruktury

Social engineering

Wyzwania

Ochrona istniejących systemów:

• Co można zrobić aby ochronić dotychczas niechronione elementy?

• Jak zapobiegać podłączeniu urządzeń do sieci?

• Jak zapobiegać nieautoryzowanemu dostępowi?

Zapewnienie bezpiecznego zdalnego dostępu

• Jak można zapewnić bezpieczne połączenie do sieci zdalnej ?

• Jaka jest pewność iż dane nie są modyfikowane?

• Jak zapewnić poufność informacji?

Standardy

• Na który standard powinienem zwrócić uwagę?

TOP 4 systemów narażonych na ataki

From ICS-CERT 2013 Report, Region: the U.S.

TOP1

TOP2

TOP3TOP4

Systemy przemysłowe na celowniku

PLC

Safety Systems

Plant Management System

Assess Management System

SCADA

DCS

Największe ataki ostatnich lat -

KONSEKWENCJE

Ataki na sieci energetyczne

Atak na zachodnio-ukraińskiego dostawcę energii Prykarpattyaoblenergo w 12.2015r.

Odcięcie dostaw energii do 80 000 odbiorców – region Ivano-Frankivst

Przeciążenie systemu telefonicznej obsługi klienta

Dotknięcie atakiem także innych spółek

Komponenty ataku:

• Użycie oprogramowania malware BlackEnergy, dostęp do sieci komputerowej przedsiębiorstwa

• Uzyskanie dostępu do sieci SCADA (prawdopodobnie przy aktualizacji oprogramowania urządzeń HMI)

• „Killdisk” usuwanie danych i uszkodzenie systemu SCADA

• Odcięcie dyspozytorów od możliwości podglądu zdarzeń

• Wysłanie odpowiednich poleceń do urządzeń stacyjnych

• Atak DoS na system telefoniczny – uniemożliwianie zgłaszania awarii

• Uszkodzenie SCADA -> manualne przywrócenie zasilania

Kluczowe punkty ataku:

• Przenikniecie do wnętrza sieci

• Bardzo duża koordynacja działań

2017-02-0612

Obraz sytuacji: Łatwo znaleźć cel

Projekt SHINE: 1,000,000 systemów SCADA oraz ICS online and

Wyszukiwarki kierowane do systemów przemysłowych, np. SHODAN

• SHODAN działa na zasadzie wyszukiwaniu popularnie używanych portów TCP/UDP

• Web, Telnet, SNMP, FTP są jednymi z najbardziej popularnych

• Logi z odpowiedzi są zapisywane w bazie wyszukiwania

• Spróbuj szukać “OpenSSL”, “GNU”, or “NTPD” bądź nazwy vednorów sprzetu

SCADA Strange Love

At 32C3 Dec. 2015: The Great Train Cyber Robbery talk.http://scadastrangelove.blogspot.com/2015/12/32c3-slides.html

Default Passwords

Standardy bezpieczeństwa

Luki w zabezpieczeniach

Urządzenia przemysłowe nie zawsze są na bieżąco z aktualizacjami dotyczących poprawek zabezpieczeń

CIGRE D2.22

IEEE P 1686

IEC 62351

ISO

27

00

0NIST 800-53

Standardy bezpieczeństwa

Design Details

Relevance forManufacturers

Details of Operation

Relative Security Coverage

IT

Factory Automation

Power

ISA 99

NERC CIP

Standardy bezpieczeństwa

NERC CIP V5

IEC 62351

Standardy bezpieczeństwa

IEC 61850 nie definiuje standardów bezpieczeństwa jako standard

Bezpieczna komunikacja w IEC 61850 - rekomendacja

Standard IEC 62351

• Rozwijany przez komitet TC57 w celu uwzględnienia standardów bezpieczeństwa dla komunikacji w systemach energetycznych:

• m.in. protokoły IEC 60870-5, IEC 60870-6, IEC 61850, IEC 61970, IEC 61968

• uwierzytelnianie, zapewnienie tylko uwierzytelnionego dostępu, zapobieganie spoofingowi i wykrywania włamań, szyfrowanie, TLS, itd..

2017-02-0618

Standardy bezpieczeństwa

NERC CIP

North American Electric Reliability Corporation

organizacja non-profit której zadaniem jest zapewnienie niezawodności i

bezpieczeństwa systemów energetycznych

Prace obejmują:

Ochronę infrastruktury krytycznej (Critical Infrastructure Protection)

• W tym Cybersecurity, któe jest rozwiane przez „Critical Infrastructure

Protection Committee”

NERC CIP

• nie jest standardem na poziomie sprzętu

• Zawiera opisy procesów, systemów, infrastruktury sieciowej oraz środowiska

Producenci mogą jedynie określać że funkcjonalności ich produktów

są zgodne z wymaganiami NERC CIP

Bezpieczeństwo w komunikacji

2017-02-0620

General Industrial Automation:

ISA / IEC 62443

For Network Equipment:• Technical security requirement

For Network System• Secure Zones and Conduits• Define security level 1-4

Struktura ISA/IEC 62443

Jednostki i ich obowiązki

Source: ISA99

Typy komunikacji na stacji

Architektura staccji

Komunikacja z centrum nadzoru

SCADA EMS&DMS

Kanał inżynierski

SCADA innej firmy

Na zewnątrz

Wewnątrz stacji

Defense-in-Depth

Ochrona środowiska sieciowego

Ochrona w wielu miejscach

• Ochrona infrastruktury sieciowej

• Ochrona granic

• Ochrona środowiska komputerowego, urządzeń końcowych

Ochrona „warstwami”

• Każdy z mechanizmów przedstawia unikalną przeszkodę

• Każdy z nich powinien zawierać mechanizmy ochrony, ale również informowania

Strategia ochrony

24

Kiedyś: Mury i baszty

25

Mur obronny

Barbakan

Baszta

Dzisiaj: Obiekt – Strefa – Komórka

26

Secured Network

• Multi-layer defense in depth

• Plant-wide security coverage

Narzędzia ochrony

27

Poziom urządzeń• Wyłączenie nie używanych portów • Autentyfikacja 802.1X, uwierzytelniani MAC• Statyczna blokada portów – MAC Sticky• ACL – listy kontroli dostępu

Poziom sieci• Segmentacja sieci – VLAN• Stosowanie Firewalli• Topologia• QoS• SNMP v3, disable SNMPv1/v2• Autentyfikacja logowań do urządzeń przez RADIUS/ TACACS+• SSH, diable Telnet• Autentyfikacja 802.1X na poziomie sieci

Funkcje bezpieczeństwa, dobre praktyki

Narzędzia ochrony

Segmentacja sieci – VLAN (virtual local area network)

Aplikacje mogące wykorzystywać VLANy w ramach podstacji energetycznej:

Informowanie o zdarzeniach:

Komunikacja GOOSE

Systemy Ochrony:

Monitoring CCTV

2017-02-0628

Narzędzia ochrony

Korzyści płynące z segmentacji i VLAN:

Filtrowanie/separacja ruchu:

Segregacja ruchu w całej sieci

Ruch możemy być filtrowany oraz ograniczony do konkretnych obszarów sieci

będących w jednym VLAN

Zmniejszenie ruchu w sieci:

Ograniczanie wąskiego gardła na linkach trunk

Poprawa wydajności urządzeń:

Redukcja liczba informacji jakie muszą być przetwarzane przez urządzenia

końcowe

29

Reference: IEC 61850-90-4 12.1

Narzędzia ochrony

2017-02-0630

VLAN

C1

P1

C2

P2

VLAN 10

1 2 3 4 5 6

C1

P1

C2

P2

VLAN 20

1 2 3 4 5 6

Feeder Bay2

Narzędzia ochrony

31

C1

P1

C2

P2

Feeder Bay1

Bay Level

VLAN 10

Control Room

Station Level

Station BusBusbar Bay

PSCADAPrinter

1 2 3 4 5 6

1 2 3 4

P = Protection Relay IEDC = Control IED

Turbo ring V2

VLAN 20

Hybrid VLAN 10/20

Narzędzia ochrony

2017-02-0632

Wyłączenie nie używanych portów

Narzędzia ochrony

Zmiana standardowego hasła:

2017-02-0633

Narzędzia ochrony

2017-02-0634

Definiowanie adresów mających dostęp do konfiguracji

2017-02-0635

Narzędzia ochrony

Mac Sticky

MAC 00:0A:E6:3E:FD:E1

MAC 00:0A:E6:2D:E8:FD

Port 1

Narzędzia ochrony

Możliwość definiowania polityk ustalania hasła – zabezpieczenie przed atakami Brute Force

Narzędzia ochrony

Kontrola otwartych sesji

Narzędzia ochrony

Szyfrowanie plików konfiguracji

Narzędzia ochrony

SNMP – simple network managmnet protocol

Komponenty:

• Urządzenia zarządzalne:

• Węzeł sieciowy wyposażony w agenta SNMP

• Zbierają i przechowują informacje o stanie urządzeń, sieci oraz są wstanie je

udostępniać do NMS przy użyciu SNMP

• Agenci:

• Software znajdujący się w urządzeniach

• System zarządzania siecią(NMSs)

• Aplikacje które kontrolują pracę i zarządzają urządzeniami w sieci

Confidential

Narzędzia ochrony

SNMP v1, v2, v3

Podstawowe komendy:• Read Używana do monitorowania urządzeń• Write Używana do kontrolowania urządzeń• Trap Używana do szybkiego raportowania o zdarzeniach przez urządzenia do NMS

SNMP v3 co zmienia:• Nagłówek bezpieczeństwa dodawany do każdego pakietu

Confidential

Managed Device

w/ SNMP AgentSNMP

Manager

GET & GET NEXT

SET

TRAP

• Urządzenia komunikują się przez sieci Ethernet

• Mechanizm QOS priorytezuje ramki celem zapewnienia dostarzczenia

kluczowych w jak najkrótszym czasie

CollectedData

Mgt. Message

Control Message

Low Priority

Top PriorityHigh PriorityLow Priority

CollectedData

Mgt. Message

Control Message

Top Priority

High Priority

Narzędzia ochrony

QoS – quality of service

Narzędzia ochrony

Priorytetyzacja pakietów w ruchu IEC 61850

IEC 61850 QoS

Packets to be sent through this interface

QoS = Quality of Service

Classify Sending QueueSchedule

Packets sent

High Queue

Medium Queue

Normal Queue

Low Queue

. . .

Normal Queue

IEC 61850 Queue

Always Top PriorityGOOSE/SV/PTPGOOSE

GOOSE GOOSE

GOOSE in high queue, but still wait

SV

Ograniczanie ruchu - traffic rate limiting• Określanie ilości przesyłanych danych

• Definiowanie typu pakietów do których jest określana ta reguła

• broadcast, multicast, itd..)

Narzędzia ochrony

Ingress Limit: Zapobiega przed przeciążeniem i niestabilną pracą switcha

Egress Limit: Zapobiega przed przeciążeniem i niestabilną prąca całej sieci

Ingress Limit

Egress Limit

Narzędzia ochrony

Firewall – koncepcja wykorzystania

Ograniczenie ruchu pomiędzy strefami o różnym poziomie zaufania

• WAN <-> LAN

• LAN <-> LAN

• Port <-> Port

Tworzenie ograniczeń dla usług sieciowych

• Akceptacja wyłącznie ruchu wymaganego

• Inspekcja pakietów (Accept, Drop)

Narzędzia ochrony

Czy firewall może…?•Filtrować protokoły przemysłowe

•Zapewnić alarmowanie w czasie rzeczywistym

•Łatwa i intuicyjna konfiguracja

•Brak konieczności przeprojektowywania

Quick Wizard

Narzędzia ochrony

Firewall Policy:• Incoming/outgoing• IP/MAC• Protocol (TCP, UDP…)• Source IP/Port• Destination IP/Port

Zewnętrzny lub niechroniony obszar

Wewnętrzny bezpieczny obszar

LANWAN

Akcept lub Odrzucenie

Firewall

Confidential

Manually Configured Policy

Rule 1

Rule 2

Rule 3

Rule 4

.

.

.Accept or Drop

LANInternet

Packet

Narzędzia ochrony

Inspekcja pakietów i reguły

Narzędzia ochrony

Confidential

Traffic direction; All, WAN1/2 and LAN

Global Enable

All, TCP, UDP, MODBUS, PROFINET and etc…

Accept or Drop

IP or MAC

Accept or Drop

Inspekcja pakietów i reguły

Narzędzia ochrony

Confidential

Ex: Drop incoming ICMP to LAN

PC-1IP: 10.10.10.10

PC-2IP: 20.20.20.20

WAN1

LAN

Inspekcja pakietów i reguły

Stosowanie “Whitelisting policy” jest rekomendowane dla aplikacji przemysłowych.

Whitelisting Policy - przykład

• Akceptacja tylko porządanych pakietów danych• Odrzucanie wszystkich innych pakietów

Whitelist Operation Mode

Narzędzia ochrony

Router Firewall vs. Transparent FirewallInstalacja Firewall w tej samej podsieci

51

Toplogia

2017-02-0652

Relay Relay Relay RelayRelayRelay

SwitchgearIED

SwitchgearIED

Station Bus Poziom stacji

Poziom pola

Poziom procesu

FirewalllFirewalll

Layer 3 switchLayer 3 switch

Kolejna podstacjaCentrum nadzoruSzyfrowanie

MMS-GOOSE

SV-GOOSE

Bay Controller

Narzędzia ochrony

53

Ochrona warstwami

PLC/IO Network

Control Network

Podstacja

Centrum zarządzania

Attack frompublic network

Malfunctioning PLC

Broadcast Storm

• VPN - szyfrowanie danych• Serwer dla dynamicznych połączeń

VPN• Protokoły: IPSec, L2TP, PPTP

• Ochrona nieautoryzowanego dostępu

• Odizolowanie burz broadcastowych z pojedynczych urządzeń do całej sieci

Firewall

Secure router

Centrum zarządzania

Narzędzia ochrony

Firewall & VPN

VPN - IPSec oraz L2TP

Bezpieczny tunel VPN pomiędzy LAN to LAN

• IPSec (IP Security)

Bezpieczny tunel VPN dla zdalnej obsługi

• L2TP over IP Sec (Layer 2 Tunnel Protocol)

Roaming Engineer(Dynamic IP)

NAT - Network Address Translation

Pozwala na ukrycie wewnętrznych adresów IP dotyczących

krytycznej infrastruktury

Zewnętrzny użytkownik widzi tylko adres po translacji

Confidential

Port forwarding NAT

1-to-1 NAT

N-to-1 NAT

Moxa

1-1 NAT

• Większe bezpieczeństwo system

• Idealny dla aplikacji przemysłowych

• Umożliwia takie same adresacje dla wielu obiektów

192.168.1.1

10.0.0.1

192.168.1.1 192.168.1.1

10.0.0.2 10.0.0.3

Moxa Solutions

2017-02-0658

Moxa Cybersecurity- wytyczne

Istniejące standardy bezpieczeństwa ISA99/IEC62443 oraz NERC-CIP są

śledzone i na bieżące implementowane do ustanowionych wewnętrznie

jednolitych wytycznych projektowanie wszystkich urządzeń sieciowych

ISA 99 / IEC 62443

NERC-CIP

Moxa Networking Security Design Guideline V2.0

Moxa Cybersecurity

Wszystkie nowe produkty są zgodne z założeniami Moxa Security Guideline V2.0

Moxa v NERC CIP

Wszystkie rozwiązanie dedykowane do zastosowań w

energetyce posiadają tabele zgodności dla standardu NERC CIP:

• PT-7828

• PT-7728

• DA-820

• NPort S9000

• PT-G503-PHR-PTP

Moxa Cyber Security Response Team (C.S.R.T.)

9/27 (Sat)Email from Jim Toepper

4 processes:Awareness, Investigation, Action, Response

Awareness InvestigationAction

/Internal ResponsePublic Response

9/29 (Mon)C.S.R.T alignement and investigation

9/30 Internal Announcement

10/7 FAQ and M-Circle

Produkty

Model

Target requirement

1. Secured remote Site-to-Site subnets communication via public network (VPN)

2. Factory firewall to protect un-authorized connection from WAN

3. Dual WAN for redundancy in critical applications

1. Secured remote Site-to-Site subnets communication via public network (VPN)

2. Function zone firewall to separate different functional networks in a factory

1. Secured remote maintenancefor automation devices (e.g. PLC, RTU, Machines)

2. Secured remote monitoring via public network

3. Cell devices’ firewall to protect end devices

Interface2 WANs, 1 LAN

(Ethernet / Fiber combo ports)1 WAN (Combo); 1 LAN (RJ45) 1 WAN; 15 LANs

Throughput 500Mbps (40,000 fps) 300Mbps (25,000 fps) 110Mbps (10,000 fps)

Firewall/NAT 512 / 256 policies 256 / 128 policies 256 / 128 policies

VPN 100 IPSec tunnels 50 IPSec tunnels 10 IPSec tunnels

WAN backup Dual WAN - -

DMZ 1 - -

EDR-810EDR-810-VPN

EDR-G902EDR-G903

EDR-810 2 in 1

Confidential

Dotychczasowe rozwiązania EDR-810

Multi-port secure router x 1

Korzyści-Oszczędności- Przestrzeń

Ethernet switch x 1Secure router x 1

Kreator konfiguracji firewalla

“One Click” for port type change

Krok 1

Krok 2

Krok 3

Krok 4

Definicja typu portów(tryby WAN/LAN/Bridge)

Zdefiniowanie adresu IP - zarządzanie

Zdefiniowanie portu WAN

Wybór usług sieciowych

Krok 5 Reguły firewall

Koniec!

Routed firewallFirewall at network perimeter needs WAN and LAN ports

Non-trusted Zone

Trusted Zone

Elastyczny wybór portów

Transparent firewall Bump-in-the-wire firewall without need for network change

Hybrid mode firewallLocated at network perimeter still filtering packets between some LAN ports.

Quick Automation Profile

Predefiniowane numery portów TCP/UDP dla

protokołów przemysłowych

Jedynie pakiety Modbus TCP/IP mogą przejść przez zaporę firewall (port 502) z WAN1 do LAN

WAN1

W tym obszarze dozwolona jest tylko komunikacja Modbus

Remote IP168.95.1.1

Internet

LAN

Quick Automation Profile

Inspekcja pakietów Modbus

Dwukierunkowa kontrola i filtrowanie pakietów Modbus w warstwie aplikacji

Modbus Command / Response- Slave ID- Function Code- Address Range

Alarmowanie w czasie rzeczywistym

Raportowanie zdarzeń w czasie rzeczywistym czyni zarządzenie

łatwiejszym

Local DB

Firewall Policy Check

Automatyczne kontrola czy brak jest konfliktów w

regułach firewall w celu zapobiegania nieprzewidzianym zachowaniom

Wykrywanie konfliktu dla pojedynczego parametru (np. 2 reguły pokrywają ten sam adres, jeden akceptuje drugi odrzuca)

Firewall Policy Check

72

Wykrywanie trzech najczęściej popełnianych

błędów w konfiguracji reguł polityki

bezpieczeństwa w firewall

Mask

Wykrywanie „poprzecznych” konfliktów w dwóch parametrach (np. IP i port)

Cross

Conflict

Wykrywanie zdublowanych reguł (dodatkowe obciążenie routera)

Include

• Open VPN jest łatwiejszy w konfiguracji użytkowaniu do zapewnienia zdalnej bezpiecznej komunikacji pomiędzy PC a zdalną lokalziacją

• Open VPN jest bardziej elastyczny w wykorzystaniu niż IPSec

• Open VPN pozwala na budowę tunelu jako jedna sieć pomiędzy dwoma węzłami

OpenVPN Server

OpenVPN Client

OpenVPN Mobile Client

OpenVPN Laptop Client

Field Device

OpenVPN client and server

Wbudowane narzędzia ochorny przed DoS

2017-02-0674

Podsumowanie

2017-02-0675

Narzędzia ochrony

2017-02-0676

Implementacja Cybersecurity

Stosowanie procesu życia dla bezpieczeństwa

• Ciągła ocena zagrożeń

• Wdrożenie środków zapobiegawczych i weryfikacja

• Monitoring i konserwacja

Segmentacja sieci

• Dzielenie sieci na segmenty fizyczne i logiczne o podobnych wymaganiach bezpieczeństwa

Określenie interakcji pomiędzy strefami

• Wymagania urządzeń

• Identyfikacja dozwolonego ruchu w kanałach

• Wymagania bezpiecznej komunikacji

Monitorowanie i rejestrowanie zdarzeń

Zapamiętaj

Moja sieć to mój zamek:

• Zrozum i poznaj swoją sieć

• Poznaj jej działanie, relacje

• Myśl w ramach stref, komórek

Moxa pokrywa poziomy bezpieczeństwa od poziomu wewnętrznej polityki, procesów produkcji po finalny system i komponent

Właściciel infrastruktury, operator, integrator oraz dostawca sprzętu mają dedykowane role w zapewnieniu bezpieczeństwa sieciowego krytycznej infrastruktury.

Zapamiętaj

Cybersecurity jest bardzo ważnym elementem w inteligentnych systemach automatyki

Bez zwracania uwagi na bezpieczeństwo budowa nowoczesnych systemów byłaby irracjonalna

Łatwy w konfiguracji firewall może zostać szybko zaadoptowany do już istniejących systemów – „Transparent Firewall”

Wydajne tunele VPN pozwalają na realizacje zdalnych połączenie z zachowaniem bezpieczeństwa

Dziękuje

2017-02-0680