Security: Laat je inspireren en neem actie! 1. Brecht Schamp Network & Security Specialist Phoenix Contact

Transcriptie

1 1 Security: Laat je inspireren en neem actie! Brecht Schamp Network & Security Specialist Phoenix Contact

2 2 Security Auditor tijdens Blackhat 2006 Source: David Maynor & Robert Graham, Internet Security Systems Is er sindsdien iets veranderd?

3 3 Security: ICT vs. industrie Andere prioriteiten (A)vailability, (I)ntegrity, (C)onfidentiality ICT: C I A Industrie: A I C Updates: niet (don t touch a running system) of vertraagd Bij aanval niet onmiddellijk platgooien Realtime eisen belangrijker Ander soort data Locatie security hardware ICT: Centraal Firewall waar internet binnen komt Industrie: Decentraal Zo dicht mogelijk tegen de machine

4 4 Applicatie 1: containerterminal

5 5 Logistieke marathon 24/365: Waar hebben we het over? > 7miljoen ton per jaar > 30 containerkranen > 250 AGV s > 2000 werknemers Volautomatisch communicatienetwerk Veiligheid van personeel en goederen garanderen

6 6 Security maatregelen 1. Verregaande authenticatie voor beveiliging & traceerbaarheid 2. Redundantie moet de uptime garanderen 3. Doorgedreven filtering van het dataverkeer 4. Fysieke beveiliging

7 7 1. Verregaande authenticatie Rechten centraal geregeld adhv RADIUS authenticatie User firewall funcionaliteit voor tijdelijke toegang Uitgebreide logging voor traceerbaarheid & forensics

8 8 Redundantie Redundante rekencentra: 2 redundante controlecentra sturen de automatisering en verzekeren een hot standby backup van de data Netwerkredundantie: Switch als glasvezel medium converter en maakt snelle omschakeling naar een radiolink backup toe

9 9 Decentrale Security Decentrale filtering houdt regels overzichtelijk, uniform en verhoogt security niveau in een industrieel netwerk

10 10 Fysieke beveiliging Toegangsbewaking aan de poort Ruimtes en kasten afgesloten: sleutels, badges of toegangscodes Layer 1 security elementen tegen menselijke fouten

11 11 Applicatie 2: Mobiele camerabewaking

12 12 Fysieke bewaking moet secure Mobiel & snelle ontplooiing Communicatie: Sturing van camera Opvragen en streamen van camerabeelden Mondelinge waarschuwingen via speaker Stabiliteit 24/7 Beveiligde verbinding overal ter wereld

13 13 Security Maatregelen Hoogperformante IPsec VPN tunneling Uitgaand naar een centrale VPN gateway Redundante centrale & actieve monitoring Lokale en remote logging voor diagnose en forensics Op certificaten gebaseerde authenticatie Hardware ondersteunde encryptie Filtering binnen VPN tunnel Fysieke beveiliging door via unit zelf

14 14 Uitgaande VPN verbindingen in het veld Uitgaande tunnels kunnen met elk standaard dataabonnement Port Forwarding enkel eventueel in de centrale noodzakelijk

15 15 Redundante centrale & actieve monitoring Specifieke maatregelen voor een hoge uptime De centrale infrastructuur is redundant Verbindingen in het veld worden continu actief getest UPS systemen zowel centraal als in het veld aanwezig 2 SIM kaarten voor provider redundantie in het veld This redundant system is redundant.

16 16 Op certificaten gebaseerde authenticatie X.509 is een internationaal erkende standaard voor certificatie infrastructuren Hiërarchisch systeem Optioneel revocatie mechanisme Gegevens van het certificaat worden gebruikt voor: Authenticatie Integriteitscontrole Geheimhouding

17 17 Hardware ondersteunde encryptie Hardware versneld Asymmetrische encryptie Performantie genoeg voor streamen van audio streamen van video controlesignalen over het mobiele 2G & 3G netwerk

18 18 Filtering binnen VPN tunnel Ook VPN tunnels vormen een ingang naar je netwerk Firewall binnen VPN tunnel Beperkte toegang tot het noodzakelijke In en uitgaand Op basis van IP adressen, poortnummers en protocollen Nodige logging van gebeurtenissen

19 19 Basisprincipes security in industriële netwerken Het principe van de denkbeeldige koepel Wat moet, mag. Wat niet moet, mag niet. Uitgebreide segmentatie Default Deny Security by obscurity is geen goed idee Air gaps zijn niet voldoende Security is meer dan het inzetten van een module Defense in depth

20 20 Security aanpak Proactieve security Periodiek herhalen! 20 / Name / Department / Date

21 21

22 22 Links IAS Industrial Automation Security Phoenix Contact België Innominate (Phoenix Contact dochteronderneming) ISA99 Industrial Automation and Control Systems Security 99.com/ ISO International Organization for Standardization CERT US CERT cert.gov/

23 23 Brecht Schamp Industrial Network & Security Specialist Phoenix Contact