Even voorstellen: Clemens Jans RSE. Vanaf 1984 t/m heden werkzaam in de beveiligingsbranche Voorheen diverse gerenommeerde beveiligingsbedrijven

Transcriptie

1 Even voorstellen: Clemens Jans RSE Vanaf 1984 t/m heden werkzaam in de beveiligingsbranche Voorheen diverse gerenommeerde beveiligingsbedrijven Vanaf Sales Manager ASB-Security BV Eindhoven KIEN Technodag 23 juni 2015

2 Programma Dreiging cybercriminaliteit, beveiligingsbranche onvoldoende op voorbereid?, (checklist) NPR 8136, advies om deze dreiging in de praktijk tegen te gaan Praktijk voorbeelden

3 Cybercriminaliteit Is de Beveiligingsbranche er klaar voor!

4 Gesloten waardeketen Klantlocatie, alarminstallatie, alarm over IP infra Alarmtransmissienetwerk van klant naar PAC Ontvangst aan meldkamer/pac-zijde VRKI, Verbeterde Risico-klasse Indeling Beveiligd tegen DDoS aanvallen?

5 Klantlocatie Alarminstallatie, geen voorkeurschakeling, beveiligd gebied? toegang tot router? Welke AoIP communicatie, open/gesloten? Installateur, kennis van IP en van regelgeving? Klant gaat af op deskundig advies installateur!

6 Ontvangst aan meldkamer/pac Voldoende capaciteit infrastructuur, voor-achterdeur Van iedere leverancier ontvanger + back-up Primair en secundair alarmtransmissiepad op verschillende ontvangers? Internet aansluitingen beveiligd tegen DDoS?

7 Alarmtransmissie netwerk Alarm over IP, IP is niet vanzelfsprekend internet Over internet, dan voor iedereen toegankelijk... Tunnel over Internet veilig? Enkel of dubbel transmissiepad, back-up? Besloten, zowel primair als back-up Voldoende accu - capaciteit t.b.v. stroomuitval

8 VRKI, Verbeterde Risico-klasse Indeling Wordt door het CCV, Centrum voor Criminaliteitspreventie en Veiligheid beheerd Beschrijft o.a. bouwkundige, organisatorische, elektronische maatregelen en actie/opvolging Alarmtransmissiekaart met verschillende AoIP oplossingen Helaas onvoldoende opmerkingen over risico s alarm over internet/ddos/cybercrime

9 DDOS aanvallen Denial-of-service aanvallen (DoS-aanvallen) en distributed denialof-service aanvallen (DDoS-aanvallen) zijn pogingen om een computer, computernetwerk of dienst onbruikbaar te maken voor de bedoelde gebruiker.[1] Het verschil tussen een 'gewone' dos-aanval en een distributed dos-aanval is dat in het laatste geval meerdere computers tegelijk de aanval uitvoeren. Hiervoor wordt vaak een botnet gebruikt,[2] maar het kan ook gaan om meerdere personen die hun acties coördineren, iets wat bijvoorbeeld gebeurt bij aanvallen van de zogenaamde Anonymous-beweging. Ook al kunnen de methode, het motief en het doelwit verschillen, toch blijft het hoofddoel een website, internetdienst of server ervan te weerhouden aanvragen van reguliere gebruikers te behandelen.[3] Vaak zijn de doelen prominente websites of diensten, zoals die van banken of creditkaartservices. De term wordt gebruikt in verband met computernetwerken, maar is niet beperkt tot dit gebied; hij wordt bijvoorbeeld ook gebruikt met betrekking tot CPU resource management.(wikipedia)

10 DDoS topje van de ijsberg ING, EuroCard, VisaCard, PayPal DigiD Verschillende sites Overheid Eigen Stijl, e.a. Virtuele inbraken zoals bij: Gemalto SIM kaarten leverancier ASML E.a.

11 Meest voorkomende (oude) oplossingen: PSTN Public Switch Telephone Network ISDN Intergrated Services Digital Network S0 bus S0 bus Alarm System Losse PSTN overdrager Alarm System Losse ISDN overdrager accu accu S0 bus NT-1 Norm 88 Norm 88 IS/RA PSTN A/B 50volt Signaal doorgelust middels voorkeurschakeling Bandbreedte 64 kbit/s {kiesverbinding} AL1 test 1 x per 25 uur, controle PAC elke 24 uur InfraStructuur / RandApparatuur Rechtstreeks vanaf wijkcentrale IS/RA ISDN 100volt 2 x B kanaal 64kbit/s {kiesverbinding AL1} 1 x D kanaal 16kbit/s {DAA AL2 uitgefaseerd ) AL2 test elke 90 sec. en/of controle PAC elke 900 sec.

12 Meest voorkomende xdsl oplossingen via koper (KPN) / glas infrastructuur: Alarm System accu Losse IP overdrager Voice over Internet Protocol (PSTN) 230volt Router xdsl Norm 88 (Thuis) Computer(s) Cat 5/6 LAN Local Area Network Cat 5/6 xdsl technologieën ADSL ADSL2 ADSL2+ HDSL HDSL2 IDSL MSDSL PDSL RADSL SDSL SHDSL UDSL VDSL VDSL2 IS/RA xdsl via koper / glas (rechtstreeks naar wijkcentrale) Bandbreedte kbit/s Mbit/s 1 Mbit = 1000 kilobit = bit

13 Meest voorkomende xdsl oplossingen via Ziggo en/of UPC: Voice over Internet Protocol (PSTN) (Thuis) Computer(s) Cat 5/6 Alarm System Losse IP overdrager Router xdsl LAN Local Area Network accu 230volt Coaxiale kabel Cat 5/6 AOP AOP Abonnee Overname Punt xdsl via coaxiale koper kabel ( via straatkasten in de wijk, in-gekoppeld en doorgelust) Bandbreedte kbit/s Mbit/s? 1 Mbit = 1000 kilobit = bit

14 Categorieën SP1 t/m SP6 specificeren alarmtransmissie systemen met enkelvoudig alarmtransmissiepad Voice over Internet Protocol (PSTN) Zie VRKI voor juiste criteria Gemiddelde transmissietijd 95% van alle transmissies AL1 SP1 SP2 SP3 SP4 SP5 SP6 120 s 60 s 20 s 20 s 10 s 10 s 240 s 90 s 30 s 30 s 15 s 15 s Maximale transmissietijd 480 s 120 s 60 s 60 s 30 s 30 s Alarm System accu Losse IP overdrager 230volt Router xdsl IS/RA of AOP Rapportagetijd - primair ATP Rapportagetijd - alternatief bij uitval primair ATP Rapportagetijd - alternatief ATP bij uitval primair ATP Rapportagetijd ATS Beschikbaarheid % - ATSN (op jaarbasis) Beschikbaarheid % - ATS (op maandbasis) 32 dgn 25 u 30 min 3 min 90 s 20 s Op Op Op Op Op Op Op Op Op Op Op Op 32 dgn 25 u 30 min 3 min 90 s 20 s Op Op Op Op 99,5 99,9 Op Op Op Op 99 99,8 Substitutiebeveiliging Op Op Op Op M M Informatiebeveiliging Op Op Op Op M M Back-up netwerkinterface op de SPT Op Op Op Op Op Op Internet via Provider x Back-up RCT Op Op Op Op Op Op M Mandatory (VEREIST) Op Optional (OPTIE)

15 Categorieën DP1 t/m DP4 specificeren alarmtransmissie systemen met dubbel alarmtransmissiepad Voice over Internet Protocol (PSTN) Zie VRKI voor juiste criteria AL1* AL1 AL2 AL3 DP1 DP2 DP3 DP4 Gemiddelde transmissietijd 60 s 20 s 20 s 10 s Alarm System accu GPRS via Provider x Losse IP overdrager 230volt Router xdsl IS/RA of AOP Internet via Provider x 95% van alle transmissies 90 s 30 s 30 s 15 s Maximale transmissietijd 120 s 60 s 60 s 30 s Rapportagetijd - primair ATP 25 u 30 min 3 min 90 s Rapportagetijd - alternatief bij uitval primair ATP Rapportagetijd - alternatief ATP bij uitval primair ATP 50 u 25 u 25 u 5 u 25 u 30 min 3 min 90 s Rapportagetijd ATS 50 u 60 min 6 min 3 min Beschikbaarheid % - ATSN (op jaarbasis) Beschikbaarheid % - ATS (op maandbasis) Op 99,5 99,9 99,9 Op 99 99,8 99,8 Substitutiebeveiliging Op Op M M Informatiebeveiliging Op Op M M Back-up netwerkinterface op de SPT M M M M Back-up RCT M M M M M Mandatory (VEREIST) Op Optional (OPTIE)

16 Meest voorkomende oplossingen: DP1 t/m DP2? Wordt verkocht voor DP3/DP4! EN 50136??? ATP = Alarm Transmissie Pad GPRS via Provider x 2 Secundair Ontvanger Alarm System 2 Losse IP overdrager PAC soft ware accu 1 2 Internet via Provider x 2 1 Ontvanger Primair EN NPR8136 VoP: - Alarm transmissie tijd / aankomst tijd - Beschikbaarheid = Rapportage Mogelijke ontsluitingspaden! ATSP = Alarm Transmissie ( Service) Provider? Wie is waar voor verantwoordelijk? EN 50518

17 Meest voorkomende oplossingen: DP1 t/m DP2? Wordt verkocht voor DP3/DP4! DDoS aanval mogelijkheden / GPRS aanvallen! EN 50136??? ATP = Alarm Transmissie Pad GPRS via Provider x 2 Secundair Ontvanger Alarm System 2 Losse IP overdrager PAC soft ware accu 1 2 EN Internet via Provider x NPR8136 VoP: - Alarm transmissie tijd / aankomst tijd - Beschikbaarheid = Rapportage = mogelijke ingangen voor DDoS aanval = mogelijke aanval GSM/GPRS ATSP = Alarm Transmissie ( Service) Provider? Wie is waar voor verantwoordelijk? 2 1 Ontvanger Primair EN 50518

18 Lite (DP1 / DP2) EN ATP = Alarm Transmissie Pad PN Vodafone GPRS BAV PN 2 Secundair Ontvanger SCS5000 Alarm System accu 2 DigiAlarm Box accu 1 ASB Beheer Sync PAC soft ware Router xdsl Internet provider X Alarm Gateway PN 1 Ontvanger SCS5000 Primair EN NPR8136 EN VoP: - Alarm transmissie tijd / aankomst tijd - Beschikbaarheid = Rapportage ATSP = Alarm Transmissie Service Provider PN = Private Network is Besloten Alarmtransmissie Verbinding

19 DP3 / DP4 EN ATP = Alarm Transmissie Pad PN Vodafone GPRS BAV PN 2 Secundair Ontvanger SCS5000 Alarm System accu 2 DigiAlarm Box accu 1 PN ASB Beheer KPN Alarm Gateway BAV PN 1 Sync Ontvanger SCS5000 Primair PAC soft ware EN NPR8136 VoP: - Alarm transmissie tijd / aankomst tijd - Beschikbaarheid = Rapportage ATSP = Alarm Transmissie Service Provider PN = Private Network is Besloten Alarmtransmissie Verbinding EN 50518

20 DP3/DP4 MET Mobitex RAM Mobile Data oplossing EN ATP = Alarm Transmissie Pad PN Mobitex RAM mobile Data BAV PN 2 Secundair Ontvanger SCS5000 Alarm System accu 2 Maatwerk Box accu 1 PN ASB Beheer KPN Alarm Gateway BAV PN 1 Sync Ontvanger SCS5000 Primair PAC soft ware EN NPR8136 VoP: - Alarm transmissie tijd / aankomst tijd - Beschikbaarheid = Rapportage ATSP = Alarm Transmissie Service Provider PN = Private Network is Besloten Alarmtransmissie Verbinding EN 50518

21 Vragen?

22 Praktijk AL1 Situatie: Klant heeft een internetaansluiting (www) Risico analyse blijkt Alarmtransmissie conform AL1 Oplossing conform NPR 8136: Keuze uit SP2 (enkel pad) of DP1 (dubbel pad)

23 Praktijk AL1 Keuze SP2? Internetaansluiting een veilige verbinding? Noodstroomvoorziening Router? Noodstroomvoorziening Overdrager? Congestie beperkende maatregelen? Beschikbaarheid voldoende?

24 Praktijk AL1 Keuze DP1/2? Internetaansluiting een veilige verbinding? Back-up wel een Besloten Alarmtransmissie Verbinding (GPRS via besloten omgeving)? Noodstroomvoorziening Router / Overdrager? Congestie beperkende maatregelen? Beschikbaarheid voldoende?

25 Twee opties: Praktijk AL1 1.Eenmalig hardware ± 500,00 + diensten van derde partij(en) (excl. installatie). 2.Dienst vanuit ATSP* insteek: inclusief: IP-Converter GPRS, GPRS, simkaart exclusief: installatie Primair IP is het Internet van de klant en back-up GPRS behoord een BAV te zijn Eenmalig aanvraag: ± 75,00 Per maand: ± 15,00 (huidige oplossing PSTN kost nu ca. 20,-, + 10,00 verkeer = 30,- mnd * Alarm Transmissie Service Provider

26 Praktijk AL2 Situatie: Klant heeft een internetaansluiting voor pinnen en logistiek Risico analyse blijkt Alarmtransmissie conform AL2 (DP3 of DP4) Oplossing conform NPR 8136: Keuze uit SP4 (enkel pad) of DP3 (dubbel pad)

27 Praktijk AL2 Keuze SP4? Internetaansluiting een Besloten Alarmtransmissie Verbinding? Noodstroom router/overdrager? Congestie beperkende maatregelen? Beschikbaarheid voldoende?

28 Praktijk AL2 Keuze DP3? Internetaansluiting een Besloten Alarmtransmissie Verbinding? Back-up wel een Besloten Alarmtransmissie Verbinding (GPRS via besloten omgeving)? Noodstroomvoorziening Router / Overdrager? Congestie beperkende maatregelen? Beschikbaarheid voldoende?

29 Praktijk AL2 Twee opties: 1.Eenmalig hardware ± 500,00 + diensten van derde partij (excl. installatie). 2.Dienst vanuit ATSP* insteek: Inclusief: Alarm IP-Converter, IP Netwerk, GPRS, Simkaart; Exclusief: installatie; Primair IP is een BAV** en back-up GPRS is een BAV**; Eenmalig aanvraag: ± 269,00; Per maand: ± 54,90. Oude oplossing: ISDN kosten waren ca. 33,- mnd + Digi Access Alarm kosten van 38,55 tot 150,- mnd * Alarm Transmissie Service Provider ** Besloten Alarmtransmissie Verbinding

30 Vragen?