Teollisuusautomaatiojärjestelmän tietoturvan arviointi TITAN Tietoturvaa teollisuusautomaatioon Tekes Turvallisuusohjelman hanke TITAN-SEMINAARI 9.11.2010 Pasi Ahonen, VTT
Evaluaation perusidea 2
Tietoturvaevaluaation keskeisiä kysymyksiä 3
Järjestelmän tietoturvaevaluaation päävaiheet Järjestelmän tietoturvaevaluaation voidaan katsoa koostuvan seuraavista päävaiheista: 1. evaluaatiokohteen määrittely, 2. evaluaatiokriteeristön määrittely, 3. evaluaatiometodien ja työkalujen valitseminen sekä evaluaatioohjeen tarkempi määrittely, 4. evaluointiaktiviteettien suorittaminen ja raportointi, 5. evaluaation tulosten validointi. 4
Automaatiojärjestelmän tietoturvaevaluaation päävaiheet Käyttöönotettavan automaatiojärjestelmän evaluaatioon kuuluvat vaiheet 5
Evaluaation perusongelma yleispätevää ratkaisua ei ole 6
Evaluaatiokohteen määrittely 7
Esimerkki evaluoitavaksi valituista kohteista (harmaa väri) ja evaluoitavien ominaisuuksien rajauksesta. 8
Arvioinnin edellytyksiä 1. Kullakin automaatio- ja tietoliikennejärjestelmän evaluoitavalla osalla tulee olla operoivan organisaation erityisesti määräämä ja käytössä oleva tietoturvatason (security level) määrittely, johon kuuluvat kiinteästi sekä tietyt tietoturvakontrollit että yksityiskohtainen tekninen ja hallinnollinen tietoturvapolitiikka. 2. Lisäksi kokonaisjärjestelmän arkkitehtuurikuvauksessa on oltava määriteltynä suojattavien kohteiden vyöhykkeet, joissa kussakin vallitsee tietty tietoturvataso. Yleisesti ottaen voidaan siis sanoa, että käyttöympäristöstä tulevat vaatimukset määräävät ehkä kaikkein voimakkaimmin valittavan evaluaatiokriteeristön yksityiskohdat sekä referenssitason, johon evaluoitavaa komponenttia verrataan. Lisäksi hyvän kriteeristön yleisiä ominaisuuksia ovat selkeys, yksiselitteisyys, käytettävyys, sekä riittävä kattavuus. Tällöin kriteeristö sopii käyttötarkoitukseensa hyvin ja antaa edellytykset saavuttaa evaluaatiolle asetetut tavoitteet. 9
Automaatiojärjestelmän suojaamisen vaatimuksia Automaatiojärjestelmän suojaamiseksi asetetaan usein muun muassa seuraavia vaatimuksia: järjestelmän saatavuuden ja käyttövarmuuden varmistaminen, resurssien käytön kontrollit vikatilanteista elpymisen suunnitelmat ja turvaaminen, toiminnan jatkuvuus valvontatiedon saannon ja prosessinohjauskyvyn turvaaminen pääsynvalvonnan kontrollit (esim. roolipohjainen), käyttäjätilien hallitseminen järjestelmän suojauksen ja eristämisen kontrollit järjestelmien kovennus, rajapintojen palveluiden rajoittaminen järjestelmään tallennetun datan ja viestien eheyden suojaaminen turvajärjestelmien signaloinnin (mm. hälytykset) varmistaminen tapahtumatiedon jäljitettävyys ongelmatilanteissa (accountability, ym.) haittaohjelmasuojauksen kontrollointi. 10
Arvioinnin metodit ja työkalut Evaluaatioon liittyviä tarkastuksia varten täytyy myös pohtia seuraavia kysymyksiä: Millä metodeilla ja työkaluilla evaluaation eri tarkastukset suoritetaan? Mitä testityökalujen asetuksia, laajennuksia, haavoittuvuuskantaa, tarkistuslistoja jne. evaluaation kussakin osatarkastuksessa käytetään? Teollisuusautomaatiojärjestelmien evaluointiin ja testaamiseen soveltuvia metodeja ja työkaluja ovat muun muassa seuraavat: Toimihenkilöiden haastattelu: tarkastuslistojen käyttö, tietoturvakontrollien ja prosessikuvausten vertaaminen todelliseen tilanteeseen. Haavoittuvuusanalyysi: lähdekoodianalysaattorit, haavoittuvuusskannerit, koodikatselmoinnit. Hyökkäysten sietoa testaavat menetelmät: teollisuusympäristöihin soveltuvat tietoturvatesterit, esimerkiksi Achilles Satellite, penetraatiotesterit, robustnesstesterit, testaus palvelunestohyökkäyksiä vastaan. Järjestelmien konfiguraation selvittäminen ja vertaaminen määriteltyyn: esimerkiksi verkkoskannerit, porttiskannerit, konfiguraatiotiedostojen tarkistus, palomuurisäännöstöjen ja eri järjestelmien pääsynvalvontasäännöstöjen läpikäynti. 11
Tärkeä vaihe käyttöönotossa - Käyttöönottotestaus Käyttöönottotestaus tehdään ennen valmiin järjestelmän käyttöönottoa, jolloin kaikki tietoturvakomponentit on asennettu järjestelmään ja kaikki asetukset ja ympäristöolosuhteet ovat mahdollisimmat realistiset ja käytössä. Käyttöönottotestauksen tarkoitus on validoida, että tietoturvaan liittyvät toiminnot toimivat odotetulla tavalla, mm. että [ISA99-TR2] tietoturvaominaisuuksien asennukset on tehty oikein tietoturvaan liittyvä konfiguraatio on oikea tietoturvakontrollit toimivat spesifikaation mukaisesti tietoturvavaatimukset ja -politiikat toteutuvat oikein kokonaisjärjestelmä sekä turvallisuustoiminnot toimivat oikein. 12
Evaluaation tuloksia 13
TITAN-käsikirjassa evaluaatiokriteeristöjä listattu suomeksi 14
Esimerkki Vaatimuksia ohjelmistojen asennuksesta ja korjaamisesta 15
Esimerkki Lähdekoodianalyysiin liittyviä vaatimuksia 16
Alustava ehdotus kansallisen ennakointiverkoston muodostamiseksi 17
Johtopäätökset TITAN projektissa on päädytty muun muassa seuraaviin johtopäätöksiin: Standardien mukaisen, turvallisen automaatiojärjestelmän hankinta on vaikeaa, joten yrityksen hankintaprosessin kehittämiseen kannattaa varata aikaa ja resursseja. Yhtenäisiä hankintakäytäntöjä täytyy edelleen kehittää. Tietoturvan parantaminen vaatii selkeitä, helppokäyttöisiä ja tehokkaita työkaluja ja käytäntöjä, jotka voidaan ottaa käyttöön kaikilla tarvittavilla osa-alueilla kriittisten järjestelmien toiminnan jatkuvuuden varmistamiseksi. Tietoturvavaatimukset täytyy työstää kehittäjien ja käyttäjien ymmärtämään muotoon. Kansallisella tasolla tarvitaan lisää yhteistyöfoorumeita ja verkostoja tietoturvatilanteen kartoittamiseksi ja tulevaisuuden riskiskenaarioiden tunnistamiseksi. Mikään yksittäinen toimenpide ei turvaa Suomen automaatioteollisuuden tietoturvatilannetta kokonaisuutena, sillä kilpailu- ja toimintakyvyn varmistaminen tulevaisuudessa edellyttää avoimuuden ja monenkeskisen kommunikaation lisäämistä muun muassa operaattoreiden, laite- ja ohjelmistovalmistajien, automaatiojärjestelmätoimittajien, asiakkaiden, sääntelijöiden, sekä jopa kuluttajien välisissä ja keskinäisissä verkostoissa. 18
PASI AHONEN Senior Research Scientist, SW Technologies, Security Assurance Tel.: +358 20 722 2307 GSM: +358 44 730 7152 Fax: +358 20 722 2320 Email: Pasi.Ahonen@vtt.fi VTT TECHNICAL RESEARCH CENTRE OF FINLAND Kaitoväylä 1, Oulu, FINLAND PL 1100, 90571 Oulu, FINLAND www.vtt.fi 19
VTT luo teknologiasta liiketoimintaa 20