TEOLLISUUSAUTOMAATION TIETOTURVA Jarkko Holappa Kyber-INKA Roadshow, Solo Sokos Hotel Torni, Tampere. 29.1.2015
KAIKKI TIETOTURVAPALVELUT YHDELTÄ KUMPPANILTA Teollisen internetin ratkaisut Digitaalisen liiketoiminnan ratkaisut Tietohallinnon tietoturvan ratkaisut Riskienhallinta Tilannetietoisuus Haavoittuvuuksien hallinta Vaatimustenmukaisuuden hallinta Tietoturvan hallinta Tietoturvaloukkausten hallinta ja tutkinta Identiteetinhallinta Pääsynhallinta Sovellusten turvallisuus Ohjelmistojen turvallinen elinkaari Turvallinen ohjelmistokehitys Verkkoturvallisuus Toimitusmallit:! Asiantuntijatoimeksiannot Käyttöönottoprojektit Arvioinnit Jatkuvat palvelut
AUTOMAATIOJÄRJESTELMIEN TIETOTURVAN ERITYISPIIRTEITÄ! Digitalisaatio ja verkottuminen! Safety-kulttuuri vahva, tietoturva (Security) vasta heräämässä! Tärkein suojattava asia on prosessin toiminnan jatkuvuus ja eheys! Ympäristöt eivät ole staattisia, tarvitaan päivityksiä ja muutosten hallintaa.! Suorituskykyvaatimukset voivat poissulkea salauksen ja autentikoinnin käyttämisen. Reaaliaikavaatimukset! Hyökkääjän näkökulmasta ero perinteiseen IT-maailmaan ei ole suuri: Järjestelmässä on Windows-pohjaisia tiedosto- ja tulostinpalvelimia. Reitittimet ja palomuurit perus IT-tuotteita Ero: päivitysten hallinta ja tietoturvallinen konfigurointi lapsenkengissä! Suurin osa ICS-järjestelmistä löydetyistä haavoittuvuuksista on IT-tietoturva-ammattilaisten löytämiä ilman mitään automaatiotaustaa (Läh. ICS-CERT, Department of Homeland Security)
HAVAINTOJA TIETOTURVAN NYKYTILA- ANALYYSEISTA **! Yrityksen sisäiset tietoturvavastuut epäselvät! Tietoturvavastuita ei sovittu toimittajan kanssa: Kuka reagoi ongelmatilanteessa?! Näkyvyys järjestelmätoimittajan toimintaan n heikkoa: esimerkiksi muutostenhallinta ja etäyhteydet! Ympäristön tekninen tietoturva vaatii kehittämistä: verkot, päätelaitteet! Käynnissä olevien hyökkäysten havaitseminen puutteellista. Tilannekuva puuttuu.! Incident response -kyvykkyys puutteellista I didn t know we have so many remote access solutions in use. We don t know how they implemented the VPN to our automation network. It is a black box for us. These networks definitely should not be connected to each other What we are looking here is remarkable risk for production downtime without insurance. Customer and ICS provider together: Maintenance of that server is not our responsibility ** lähde: Nixun teollisen internetin projektit
ESIMERKKI: KYBER-UHKIEN REALISOITUMINEN KIINTEISTÖAUTOMAATIOSSA! Fyysiset Laitteiston hajoamiset Lukitukset! Toimitilaturvallisuuden vaarantuminen lukituksia ohjaamalla! Liiketilojen ovien lukitseminen aukioloaikana. (tai: avaaminen aukioloaikojen ulkopuolella) Valvontakameroiden ohjauksen kaappaaminen Valaistus Vikatilanteet, jotka johtuvat:! Väärin säädetystä lämpötilasta! Laukaistuista sammutusjärjestelmistä Aiheettomat hälytykset.! Liiketoiminta Tuotantokatkot Riskit muille järjestelmille/verkoille Hyökkäysreitti yrityksen tietoverkkoon Työturvallisuus Maine
CASE TARGET Hyökkääjä saa käyttäjätunnuksen ja salasanan Targetin alihankkijaportaaliin LVIjärjestelmätoimittajalle lähetetyllä huijaussähköpostiviestillä Tunnuksia käytetään portaaliin kirjautumalla Hyökkääjä etsii ja löytää haavoittuvan Windowspalvelimen Targetin sisäverkosta ja saastuttaa sen haittaohjelmalla Hyökkääjä löytää ja saastuttaa Maksuvälitysjärjestelmän haittaohjelmalla Haittaohjelma löytää maksukorttitietoja järjestelmän keskusmuistista Tiedot lähetetään Targetin sisäverkossa olevalle palvelimelle, joka ilmoittaa tietoaineiston olevan valmiina lähettämistä varten. Tiedot lähetetään Venäläiselle FTPpalvelimelle Lopputulos?
CASE DRAGONFLY / HAVEX! Esimerkki sähkönjakelijoihin kohdistetusta hyökkäyssarjasta! Energiasektoriin kohdistettu hyökkäys! Kohteena myös automaatiojärjestelmät! Motivaatio: Tiedustelu?
KYBER-FYYSINEN ULOTTUVUUS! Hyökkäykset automaatiojärjestelmiin ovat aiheuttaneet fyysistä tuhoa enemmän kuin julkisuudessa on puhuttu. Tuhot vaihtelevat pienistä vahingoista pitkiin käyttökatkoihin ja kuolemantapauksiin. Kaikkia tapauksia ei aluksi ole tunnistettu kyber-hyökkäyksiksi Esimerkkejä:! Saksalainen terästehdas,! Turkki: Baku Tbilisi Ceyhan Öljyputki,! Stuxnet!?
TIETOTURVAN KEHITTÄMINEN! Riittävä dokumentaatio Laitteet, ohjelmisto, verkot " Kokonaiskuva ympäristöstä! Elinkaaren hallinta Suunnittelu, toteutus, ylläpito, käytöstäpoisto! Konfiguraation hallinta Järjestelmän kovennus Verkon segmentointi Versionhallinta! Testauskäytännöt FAT, SAT Haavoittuvuusskannaukset! Pääsynhallinta Salasanat, käyttöoikeudet, käyttöoikeuksien hallinta! Tietoturvakäytännöt Turvallinen järjestelmäkehitysprosessi (auditoinnit, katselmoinnit, testaus) Laadunhallinta Tietoaineiston käsittely Muutosten hallinta Tietoturvaloukkausten hallinta ja kommunikointi
Nixu Oyj www.nixu.fi twitter: @nixutigerteam Jarkko Holappa jarkko.holappa@nixu.com Mobile +358 40 766 3203