Jon Erlend Berg

Transkript

1 Jon Erlend Berg 1

2 Data Equipment i 125 Sandstuveien 70f Ryen Spisskompetanse innen sikkerhet og infrastruktur Frittstående privateid norsk selskap 19 ansatte 125 mill i omsetning 2014 Sikkerhet Infrastruktur Aksess IPTV Overvåkning Test analyse Kurs 2

3 Løsninger for kraftbransjen I løpet av de siste årene har vi aktivt promotert løsninger for kraftbransjen Løsninger fra Data Equipment skal imøtekomme krav til: - Sikkerhet - Funksjonalitet - Forskrifter 3

4 Løsninger for kraftbransjen Neste generasjons multipleksere fra RAD Sikre RTUer fra SAE-IT som bl.a. følger NUC Stasjonsovervåking «Tele SCADA løsninger» Fleksible Industrisvitsjer med innebygd SCADA firewall fra RAD Neste generasjons sikkerhetsplattform fra Palo Alto Networks Testutstyr fra Fluke Alle produktene er ledende innen sitt felt og fullt ut støtter kravene Data Equipment setter til sine leverandører 4

5 RTU og sikkerhet over lågkapasitetsnettverk RTU og sikkerhet over lågkapasitetssamband Krav Sikkerhet i alle lag Fra RTU til SCADA serverene Lågkapasitetsnettverk 5

6 Krav, krav, krav 6

7 Sikkerhet i alle lag Krav Sammenkobling mellom avanserte måle- og styringssystem (AMS) og driftskontrollsystem Ytterligere veiledning Dersom virksomhetene vurderer slike muligheter, må AMSfunksjonaliteten knyttet til drift- og driftskontrollsystemer risikovurderes på lik linje med driftskontrollsystemet for øvrig. Med felles integrering av AMS-løsning og driftskontrollsystemet menes for eksempel: At man benytter samme nettverk og komponenter (rutere, svitsjer etc.) til toveiskommunikasjonen med AMS-løsningen og kommunikasjon med anlegg som overvåkes og styres av driftskontrollsystemet. Det er mulig å etablere logiske skiller i samme nettverk for overføring av AMS-signaler og signaler i driftskontrollsystemet. På den måten vil disse signalene ikke «berøre» hverandre og slikt sett være adskilt. Likevel må man være nøye med at det logiske skillet ikke brytes i for eksempel rutere, brannmurer eller svitsjer i nettverket. 8

8 Sikkerhet i alle lag Trusler Skadevare Fjerntilgang Innbrudd i stasjoner Man In The Middle Enkel løsning IPSEC 9

9 Sikkerhet i alle lag Aksess nettverk Logisk seperasjon En tjeneste IPSec Klient (IPSec kryptering) (eks. Innebygd i moderne RTUer) Mindre løsninger (Lag 2 nettverk) VLAN separering GRE L2 over L3 nettverk (eks. GPRS) med IPSec kryptering Større løsninger (Lag 3 nettverk) VRF L3 DM-VPN, L3 over L3 nettverk (eks GPRS) med IPSec kryptering 10

10 Sikkerhet i alle lag Control Centre IEC Datasynkronisering TCP/IP IEC VPN Router VPN Router IEC GPRS GPRS X Måler konsentratorer PLC Strøm monitorering

11 Sikkerhet i alle lag - AMS Control Centre DMS IEC Datasynkronisering TCP/IP IEC VPN Router VPN Router IEC GPRS GPRS X Måler konsentratorer PLC Strøm monitorering

12 Sikkerhet i all lag - RTU Høy fokus på å sikre/ herde produktene/ løsningene Herdet Linux kjerne Ingen åpne ubrukte porter Bytte av FTP-driver med FTPS Bytte av http-driver med https Støtte for IPSec Kryptering av all trafikk fra RTU til sikker sentral lokasjon PHP-versjon oppdatering - webserveren er basis for å sikre web-applikasjonen Implementering av brukeradministrasjon er inkludert i setit Mulighet til å stenge av Bluetooth, USB, web- Browser Firewall integrert i system softwaren til series5+ Innebygd VPN klient med sertifikathåndtering 14

13 Sikkerhet i all lag Industrisvitsj Kombinasjon av fiber og mobilt 2G/3G/4G aksessnettverk Regulative krav for logisk skille av SCADA trafikk og AMR highlights Service based VPN functionality SCADA firewall Fiber or cellular uplinks Service-aware QoS for cellular network Serial interfaces with protocol gateway Zero-touch provisioning for mass deployment 15

14 Sikkerhet i alle lag Brannmur IPSEC terminering Applikasjons deteksjon - Også subfunksjoner Process information in monitor direction type identifier 1-40 (eks 30 = Singlepoint information with time stamp format CP56) Process information in control direction type identifier (eks. 45 = Single Command 46=double command) System information in monitor direction Type identifier 70 System information in control direction Type identifier (100=Global Interogation, hente all informasjon fra RTU) Parameter in control direction Type identifier File transfer Type identifier Sårbarhetsanalyse 17

15 OPC Server - transmission list Control Centre Connect IT 104 OPC DMS Main station/ Gateway VPN Router IEC X 18

16 OPC Server - transmission list Control Centre Connect IT 104 OPC DMS Main station 1 VPN Router IEC X sub_station_1 19

17 OPC Server - transmission list Control Centre Connect IT 104 OPC DMS Main station 1 VPN Router IEC X sub_station_1 20

18 Demonstrasjon Control Centre IEC Main station FW IEC IPSEC FW-5 21

19 Lågkapasitet RTU og sikkerhet Lågkapasitetsnettverk - 2G/3G/4G - Tetra - Satellitt - UHF/ VHF 22

20 Leased line Dial up line TETRA PDA & SDS RadioLAN Lågkapasitetssamband OPC Server Control centre Link-up IEC IEC FW-50 or FW-5000 LWL SHDSL DSL DSL UMTS VPN optional -104 LWL SHDSL DSL GPRS GPRS Solutions in Mind LWL= fibre optic

21 Krav til kommunikasjon Kontroll over løsningen Skal man styre? Er 98% oppetid bra? Er sikkerheten ivaretatt? 24

22 2G/3G/4G Dekning Telenor - Netcom 25

23 2G/3G/4G Fordeler Stor dekning Standardisert Kan kombinere Netcom og Telenor for redundans Ulemper Ikke kontroll på infrastruktur 26

24 TETRA/ DMR Pr. i dag benyttes primært kontrollkanalen (SDS) for overføring av SCADA type data. SDS er lignende SMS Tekstmelding med inntil 140 tegn Max 8 SDS/s 27

25 TETRA SDS - Multipoint IEC SDS Multipoint Using address table at the centric TETRA-1 Modem IEC /104 Radio Cell Base Station 28

26 UHF/ VHF Ultyrahøy Veldighøy Frekvens UHF 300MHZ 3GHz VHF Mhz Mhz i standard produkter Lisensierte frekvenser Ethernetbasert teknologi Automatisk hastighetsjustering Båndbredde kbps 29

27 UHF/ VHF 30

28 Satellitt 31

29 Satellittkomunikasjon - Egenskaper Allestedsnærværende dekning Uavhengig av avstand eller topografi Dekning der hvor behovet er! Rask og enkel installasjon, enkelt å bruke og vedlikeholde Mulig med direkte forbindelser uten bakkebasert transport Lukket nettverk cyber sikker - ikke på internett Feilmodus sammenfaller ikke med bakkebasert kommunikasjon 32

30 Oppsummmering Control Centre IEC Datasynkronisering TCP/IP IEC VPN Router VPN Router IEC GPRS GPRS GPRS Måler konsentratorer PLC Strøm monitorering