Tetra Industriële Security

Transcriptie

1 Tetra Industriële Security Gebruikersgroep 07 / 05 / 2015 Netwerkarchitectuur Remote Access Specifieke onderzoekspistes

2 EST EST H M I P L C Productienetwerk IT-netwerk

3 EST EST H M I P L C Productienetwerk IT-netwerk

4 EST EST EST EST H M I P L C Productienetwerk Tussennetwerk DMZ IT-netwerk

5 EST EST H M I P L C Productienetwerk Tussennetwerk DMZ IT-netwerk

6 Scenario Vraag: bepaalde toestellen uit het PRODUCTIEnetwerk bereiken voor het ADMINISTRATIEF netwerk / DMZ Antwoord: diverse manieren: - 1:1 NAT (range) - 1:1 NAT (device) - Port Forwarding - VPN - (VLAN)

7 1:1 NAT (range) Stel in op : 1:1 NAT van /24 naar /24 Stel in op : 1:1 NAT van /24 naar /24 Op die manier is bijv. toestel transparant bereikbaar via adres én via adres en zo ook alle andere 254 adressen -> Althans op IP niveau (Layer3), niet MAC (Layer2) -> Groot veiligheidsrisico, firewalls worden hierdoor omzeild / / / / /16

8 1:1 NAT (Device) Stel in op : 1:1 NAT van naar Stel in op : 1:1 NAT van naar Op die manier is enkel toestel transparant bereikbaar via adres en via adres > Althans op IP niveau (Layer3), niet MAC (Layer2) -> Nog steeds veiligheidsrisico, firewalls worden hierdoor omzeild / / /16

9 Port Forwarding Stel in op : Port Forward van <externb> poort 8000 naar poort 80 Stel in op : Port Forward van <externa> poort 8080 naar <externb> poort 8000 Op die manier is enkel poort 80 van toestel bereikbaar door naar de routerb te connecteren op poort 8000 of routera op poort > Meestal kan hier bijkomstig het bron IP bij gekozen worden (hogere beveiliging) -> Althans op IP niveau (Layer3), niet MAC (Layer2) -> Kleiner veiligheidsrisico, wordt hierdoor omzeild /8 <externb>: /24 <externa>: /16

10 1:1 NAT (range) 1:1 NAT (Device) Port Forwarding /8 ONDERZOEKSPISTES: Routeerbaarheid van protocollen - modbustcp, Profinet, e.a? Beïnvloeding performantie? <externa>:8080 <externb>: / /24

11 VPN Veel VPN oplossingen zijn niet ontwikkeld uit veiligheid, maar om een oplossing voor afstandsbeheer te ontwikkelen. De veiligste oplossing is het gebruik van ondertekende certificaten. Onderteken (of laat ze ondertekenen) door een zogenaamde Certificate Authority (CA): zowel een server als een client certificaat. Importeer op een veilige manier het private server certificaat plus het publieke client certificaat op. Gebruik dan Windows software (bijv. OpenVPN) om op de client hetzelfde te doen: publieke server certificaat en private client certificaat. -> Nog steeds enkel IP niveau (Layer3) -> Heel wat configureerwerk en voor elke client te herhalen /8 Unique IP 1 Unique IP / /16

12 VPN opties ONDERZOEKSPISTES: Encapsuleerbaarheid van protocollen - modbustcp, Profinet, e.a? Beïnvloeding performantie? AH ESP ESP + AH VPN op veilige manier opzetten? Mogelijke (veiligste) keuzes? DES 3 DES AES SEAL MD5 SHA PSK RSA DH1 DH2 DH5 DH7

13 VLAN Layer 2 protocol en dus niet mogelijk doorheen routers, het moet gezien worden als een extensie van een bepaald netwerk die via switches zich uitstrekt tot een bepaald netwerk of device. Meestal worden VLANS gebruikt als alternatief voor routers. Het routering gedeelte wordt dan namelijk op administratief netwerk niveau gedaan. -> Layer2 niveau -> Behoorlijke architectuur impact / /24 Switch poorten = VLAN ID /16

14 VLAN ONDERZOEKSPISTES: Encapsuleerbaarheid van protocollen - modbustcp, Profinet, e.a? Performantie? /8 Switch poorten = VLAN ID / /24

15 Remote access? Public internet Remote administration tools Remote ad. client VPN Router/Firewall Remote administration servers Remote ad. client P L C

16 VPN Router/Firewall Public internet Remote ad. client Remote administration tools ONDERZOEKSPISTES: Teamviewer -> hoe veilig mee omgaan? -> hoe veiliger maken? RD gateway services (Citrix) veiligere optie? Office 365 met Lync (overname systeem) veilig? Jumpstation -> multi vendor toegang? -> veilige omgang? P L C

17 VPN client software U2S VPN VPN op bedrijfsnetwerkniveau S2S VPN Public internet VPN Router/Firewall VPN Router Volledig onderliggend netwerk instellen Privé netwerk P L C VPN voor volledig privé netwerk

18 VPN client software VPN Router/Firewall Public internet VPN op productienetwerkniveau VPN Router Privé netwerk VPN voor volledig privé netwerk VPN Router P L C

19 VPN client software VPN Router VPN Gateway Public internet Public internet Secure cloud services VPN Gateway VPN via secure cloud services Public internet VPN Router/Firewall Privé netwerk VPN voor volledig privé netwerk VPN Router P L C

20 Toegang over GSM netwerk VPN Router/Firewall VPN client sw Public internet Mobile phone netwerk VPN client software 3G modem/router P L C 3G modem/router + VPN concentrator

21 Secure remote access ONDERZOEKSPISTES: Out of the box oplossingen -> veilig? -> veiligheid vergroten? bvb. TOSIBOX VPN Router/Firewall? Public internet?? Mobile phone netwerk? P L C

22 Bijkomende mogelijke onderzoekspistes Cisco Industrial t.o.v. Siemens, Beckhoff, Phoenix Contact Specifiek onderzoek naar bedrijfszekerheid van Profisafe Transparante firewalls (Hirschmann Tofino, mguard Stealth mode) Veiligheid ewon?

23 Awareness en Opleidingen Basiscursus netwerken (OT) Ethernet TCP/IP Basiscursus industriële netwerken (IT) AIC vs CIA Industriële producten Profinet, Ethercat, Modbus TCP Cursus awareness en security basics Kwetsbaarheden en mogelijke gevolgen Basic guidelines: bvb. default users wissen, omgaan met paswoorden Demo s