Beveiliging in Industriële netwerken. Waarom monitoring een goed idee is

Transcriptie

1 Beveiliging in Industriële netwerken Waarom monitoring een goed idee is

2 Korte introductie / voorstellen: - Sinds 1951, Benelux - Monitoring, groeit naar security - ICT omgevingen, groeit naar Industrie

3 Agenda: Link met IT Hoe werken de protocollen Wat is DPI Een wireshark trace Hoe gaat een hacker te werk Wat neemt u mee naar huis?

4 Welke beveiliging is er nu aanwezig? Anti-virus Firewalls IDS / IPS Anti-Ddos (Allemaal een grote focus op ICT)

5 Deze koppen kent u waarschijnlijk

6 Deze ook?

7

8 Meer dan één bedreiging System Malfunctions Cyber Threats Human Errors Tampering Attempts Assuring operational continuity is harder than ever

9 Weg van eilandjes denken Corporate to Field Field to Field Corporate to Control Center Maintenance C&C to Field

10 Standaard situatie Control Center SCADA VPN SIEM MnR IDS Remote Site Remote Site IEC 104 DNP3 MODBUS RTU (RS232) MODBUS/TCP DNP IEC 104 IEC 101 DNP3 RS-485 MODBUS/RTU DNP mA IO Discrete IO IED RTU RTU RTU

11 Standaard situatie MnR IDS SIEM SCADA VPN Control Center 0..20mA IO Discrete IO Employee IPS Web Access Firewall IDS Security Parking Light Air Fire Automatic Generator Safety IO Conveyers Storage Robotics Conditioning Warehouse

12 Modbus SCADA PROTOCOL Hoe werkt het protocol MODBUS is a request/reply protocol and offers services specified by function codes. MODBUS function codes are elements of MODBUS request/reply PDUs. The MODBUS protocol allows an easy communication within all types of network architectures

13 Modbus Message Structure MODBUS is a request/reply protocol and offers services specified by function codes. MODBUS function codes are elements of MODBUS request/reply PDUs. The MODBUS protocol allows an easy communication within all types of network architectures The Modbus well known IANA TCP port is 502 SCADA [DST IP= ] [Dst Port = 502] [unit identifier 3] [function code 16] [IO address start & range] Modbus Slave Unit identifier 3 IO Address number of coils : 10

14 Wat is DPI

15 Wireshark trace In wireshark een PCAP laten zien. In the field of computer network administration, pcap (packet capture) consists of an application programming interface (API) for capturing network traffic. Unix-like systems implement pcap in the libpcap library; Windows uses a port of libpcap known as WinPcap. Monitoring software may use libpcap and/or WinPcap to capture packets travelling over a network and, in newer versions, to transmit packets on a network at the link layer, as well as to get a list of network interfaces for possible use with libpcap or WinPcap. - Wikipedia

16

17 Hoe valt dit uit te buiten? Verkeer wat wordt aangestuurd vanuit TCP/IP wordt in 99% van de gevallen gecontroleerd op IP en Poort, niet op payload Veel verkeer is unencrypted, waardes zijn simpel uit te lezen Geen authenticatie, iedereen zou een commando kunnen sturen of een waarde kunnen veranderen

18 Hoe gaat een hacker te werk Using social engineering to breach the network and place malware in PC. SCADA Modbus Master AnD SCADA Server MnR Modbus Read/ Write Insight White List Black List BB Mirror RTU Modbus RTU Unit-id: 3

19 Hoe gaat een hacker te werk Port scanning looking for process devices to target SCADA Modbus Master AnD SCADA Server MnR Who listens on Modbus port 502? Modbus Insight White List Black List BB I am! IP RTU Modbus RTU Unit-id: 3

20 Hoe gaat een hacker te werk Changing values at the valve SCADA Modbus Master AnD SCADA Server MnR Thank you! I am going to harm you now Modbus Insight White List Black List BB RTU Modbus RTU Unit-id: 3

21 Wat neemt u mee naar huis? Weet welk verkeer over uw netwerk(en) gaat, maak een map? Hoe ziet een lifecycle eruit Als u zoekt naar een oplossing zorg voor: Passief Alle protocollen Grafisch Automatische baseling (!) Wireshark kan voor kleine netwerken een uitkomst bieden, grote is ondoenbaar Denk na over het installeren van een kanarie.

22 Bedankt voor uw aandacht Voor meer informatie bezoek ons tafeltje in de hal. Wilt u meer weten wat wij met onze oplossingen voor u kunnen betekenen, maak dan vrijblijvend een afspraak.