Kontrola nadzorcza procesów i akwizycji danych (SCADA) służy m.in. zabezpieczaniu przemysłowych systemów sterowania. Stosując oprogramowanie SCADA możemy korzystać z podstawowych zasad bezpieczeństwa, wypracowanych przez amerykański Narodowy Instytut Standaryzacji i Technologii (NIST).
Aby sprostać wymaganiom dotyczącym bezpieczeństwa, producenci oprogramowania i sprzętu, integratorzy systemów i inni interesariusze muszą współpracować z użytkownikami przy wdrażaniu systemów kontroli nadzorczej procesów i akwizycji danych (SCADA). Pomocą mogą być rozwiązania wypracowane przez Amerykański Narodowy Instytut Standaryzacji i Technologii (NIST), który oferuje podstawowe elementy i zasady bezpieczeństwa elektronicznego, umożliwiające systematyczną identyfikację krytycznych dla firm zasobów, zabezpieczanie ich i wykrywanie zagrożeń. Umożliwiają one tworzenie bardziej efektywnych niż dotąd układów partnerskich pomiędzy podmiotami działającymi na rynku, jako priorytet stawiając kwestię cyberbezpieczeństwa.
Elektroniczne ataki na instytucje finansowe, takie jak kradzież z banku JP Morgan Chase 83 milionów wpisów rejestrowych gospodarstw domowych i małych firm, zadecydowały aż o 78-procentowym wzroście wpływu cyberprzestępczości na finanse w ciągu ostatnich czterech lat. W tym czasie w ok. 40% cyberataków za cel obrano firmy energetyczne. Zasady bezpieczeństwa NIST mogą być stosowane w systematycznej identyfikacji krytycznych zasobów organizacji, wykrywania zagrożeń i zabezpieczaniu zasobów o krytycznym znaczeniu. Oparte są one na technikach oceny ryzyka, w tym ocenach okresowych, które pozwalają wykrywać i neutralizować zagrożenia, a także planować odzyskiwanie strat.
Zastosowanie środków bezpieczeństwa elektronicznego na bazie zaleceń NIST leży w obowiązku właściciela i operatora systemu SCADA, jako że obejmuje on cały system, w tym organizację tworzącą system SCADA, sieci korporacyjne, komputery, na których działa aplikacja, oraz połączone z nią sterowniki i urządzenia. Stosowanie standardów bezpieczeństwa oraz wykorzystywanie możliwości oprogramowania do wdrażania procedur bezpieczeństwa jestobowiązkiem dostawcy systemu SCADA.
Trzy cele związane z bezpieczeństwem
Trzema najważniejszymi celami związanymi z bezpieczeństwem w inteligentnej sieci elektrycznej Smart Grid są:
? dostępność,
? integralność,
? poufność.
Mogą być one implementowane we wszystkich systemach SCADA, tych obsługujących aplikacje krytyczne i nieobsługujących. Obowiązujący standard IEEE 1815 dla protokołu komunikacyjnego sieci rozproszonych DNP3 (opracowany przez IEEE Standards Association) powstał w czasie, gdy realistyczne było podejście ?bezpieczeństwo dzięki nieprzejrzystości?.
Bezpieczne uwierzytelnianie (Secure Authentication) to dodatek do tego standardu, który zapewnia uwierzytelnianie wiadomości. W protokole DNP3-SA w wersji 5 (SAv5), wprowadzonej jako część standardu IEEE 1815-2012, kładzie się nacisk na widoczne słabe punkty oraz ataki typu Denial of Service (DoS) ? przeciążenie sieci, uniemożliwienie wykonywania operacji. Standard ten jest na bieżąco sprawdzany i uaktualniany, tak by reagował na nowe zagrożenia.
Dyrektywa bezpieczeństwa elektronicznego, model NIST
W lutym 2013 r., przy rosnącej świadomości faktu, że zastosowanie elementów bezpieczeństwa elektronicznego stanowi najważniejszą ochronę przed atakami, mogącymi potencjalnie zakłócić działanie systemu energetycznego, wodociągowego, komunikacyjnego i innych, prezydent Barack Obama wydał dekret 13636 dotyczący zwiększenia bezpieczeństwa elektronicznego krytycznej infrastruktury oraz prezydencką dyrektywę (PPD) dotyczącą bezpieczeństwa i odporności krytycznej infrastruktury na zagrożenia cyberatakami. Działania te podkreślają potrzebę holistycznego myślenia o kwestiach bezpieczeństwa i zarządzania ryzykiem. Skupiają się wprawdzie przede wszystkim na amerykańskiej infrastrukturze krytycznej, ale korzystają na nich także inne systemy i infrastruktura SCADA.
Wprowadzone zasady bezpieczeństwa umożliwiają przedsiębiorstwom ? niezależnie od ich wielkości, stopnia zagrożenia elektronicznego czy złożoności zabezpieczeń ? zastosowanie zasad i najlepszych praktyk zarządzania ryzykiem, w celu zwiększenia bezpieczeństwa i odporności krytycznej infrastruktury na zagrożenia cyberatakami. Wprowadzają elementy organizacji i struktur przy podejściu do wielu zróżnicowanych aplikacji, poprzez zebranie obowiązujących standardów, wytycznych i dobrych praktyk. Zasady te odnoszą się do uznanych na całym świecie standardów dotyczących bezpieczeństwa elektronicznego, mogą więc być stosowane przez organizacje spozaUSA oraz służyć za model w organizowaniu międzynarodowej współpracy we wzmacnianiu bezpieczeństwa elektronicznego infrastruktury.
Bezpieczne uwierzytelnianie IEEE 1815 (DNP3)
Protokół sieci rozproszonych DNP3, początkowo zaprojektowany bez usług bezpiecznego uwierzytelniania, jest stosowany w wielu północnoamerykańskich podstacjach energetycznych, rurociągach, oczyszczalniach wody i ścieków oraz infrastrukturze transportowej. Jego szerokie wykorzystanie sprawia, że zastępowanie wszystkich urządzeń opartych na protokole DNP3 przez takie z wbudowanymi zabezpieczeniami jest niepraktyczne. Dlatego też standard ma na celu usprawnienie bezpiecznego uwierzytelniania na poziomie komunikacji między aplikacjami.
Protokół DNP jest przeznaczony do wielu rodzajów sieci, stosuje się go nawet przy połączeniach szeregowych w sieciach radiowych oraz IP, w procesie komunikacji między nadawcą a odbiorcą. Nie wystarczy zabezpieczyć jedynie sieć; wiadomość musi być zabezpieczona w warstwie aplikacji.
Mechanizmem stosowanym przez protokół DNP3-SA jest dodany do wiadomości kod uwierzytelniający HMAC, sprawdzający jej integralność. Kod HMAC używa znacznika kryptograficznego opartego na publikowanym przez NIST, a opracowanym przez amerykański urząd ochrony informacji (Information Security Office ? ISO), algorytmie SHA, który do zdekodowania wymaga udostępnionego klucza. Podejście to nie jest oparte na szyfrowaniu, ale na weryfikacji nadawcy wiadomości i zapewnieniu, że wiadomość nie została zmieniona. Dokonujący ataku może odczytać wiadomość, ale nie może jej zmienić, ani wysyłać nieautoryzowanych wiadomości, nie mając klucza.
W sieciach komunikacyjnych stosuje się zwykle trzy rodzaje zabezpieczeń:
? site-to-site (takie jak sieci VPN),
? device-to-device (protokół TLS),
? application-to-application (SA).
Dla obniżenia ryzyka można stosować je wszystkie. Jedno nie wystarczy.
Choć routery VPN i protokoły takie jak IPSec zabezpieczają połączenie między dwiema fizycznymi lokacjami, nie zabezpieczają one sieci w tych lokacjach. Włamanie do jednej z nich dałoby dostęp do drugiej. Protokół TLS (stosowany w bankowości) zabezpiecza połączenie TCP; działa wyłącznie w sieciach IP; jeśli protokół DNP przetnie połączenie szeregowe, narazi to sieci SCADA na niebezpieczeństwo.
Podczas opracowywania wersji SAv5 działanie prokotołu DNP3-SA poddane zostało ocenie przez niezależnych ekspertów ds. zabezpieczeń w celu wykrycia potencjalnie wrażliwych cech. Należąca do panelu SGIP (Smart Grid Interoperability Panel) grupa robocza ds. bezpieczeństwa elektronicznego (CSWG ? Cyber Security Working Group) operuje zestawem kryteriów bezpieczeństwa, które muszą być spełnione, by można było przyjąć IEEE 1815 jako zalecany standard dla rozwiązań typu Smart Grid.
Niektóre z modyfikacji zawartych w wersji SAv5 powstały, by spełnić wymogi bezpieczeństwa panelu SGIP. SAv5 zawiera zmiany, które ograniczają wpływ ataków DoS odpowiedzialnych za problem przepełnienia bufora, będący w pierwszej dziesiątce w publikowanej obok tabeli słabych punków SCADA. Choć kod HMAC prokotołu DNP3-SA zapewnia, że żadna nieautoryzowana strona nie może skomunikować się z urządzeniem opartym na protokole DNP3, wysłanie nieprawidłowego kodu HMAC powoduje wzmożenie ruchu w odpowiedzi na nieprawidłową wiadomość. Prawie połowa kategorii zmian w wersji SAv5 ma na celu zmniejszenie wpływu ataków DoS.
Aby obniżyć ryzyko zagrożenia elektronicznego, ważna jest współpraca z użytkownikami, by zapewnić bezpieczne funkcjonowanie systemów SCADA. Zasady bezpieczeństwa ustalane przez instytut NIST są w tym bardzo pomocne.
Edward Nugent jest dyrektorem ds. rozwoju biznesu w firmie PcVue Inc
