Bezpieczeństwo systemów SCADA oraz AMI Podejście do weryfikacji bezpieczeństwa i badania podatności. innogy BS Polska Bartłomiej Szymczak, Wojciech Cholewa SIWE'16
1 Dlaczego? 2 Co robimy 3 SCADA 4 AMI Bartłomiej Szymczak Wojciech Cholewa
Coraz więcej IT: U klientów Na stacjach W biurze Realne zagrożenie Krajowy System Cyberbezpieczeństwa RP Stabilność i ciągłość dostaw energii elektrycznej do klientów 3
ZAGROŻENIA
Zagrożenia ~ 1 000 000 Klientów ~ 100 000 Liczników AMI ~ 6 000 stacji ~ 600 koncentratorów ~ 1500 pracowników Stolica 5
Zagrożenia 23 grudnia część Ukrainy została bez prądu Atak na Ukrainie 3 firmy dystrybucyjne 7 stacji 110kV 225.000 klientów Przykłady: Chevron Emergency Alert (1992) Sobig (2003) Sasser (2004) Aurora Project (2007) Stuxnet (2007) US Power Grid (2009) Night Dragon (2010) Shamoon / Disttrack (2012) Dragonfly / Energy Bear (2014) Black Energy on Ukraine (2015 Virus w Elektrowni (RWE 2016) Source: www. Symantect.com Western Energy Companies Under Sabotage Threat 2015 6 12 miesięcy infiltracji 6
WYMAGANIA PRAWNE
Krajowy System Cyberbezpieczeństwa OSD jako dostawca Infrastruktury Krytycznej Dyrektywa Unii Europejskiej NIS (Security of Network and Information Systems) Ustawa o Krajowym Systemie Cyberbezpieczeństwa RP Powołanie lokalnego zespołu reagowania na Incydenty Bezpieczeństwa Obowiązek automatycznego raportowania Incydentów Bezpieczeństwa ISO 27.001 Bezpieczeństwo Informacji ISO 22.301 Ciągłość Działania ISO 20.000 Zarządzanie usługami IT Współpraca w PTPiREE Konsultacje Ustawy o Krajowym Systemie Cyberbezpieczeństwa RP Rekomendacje dla CERT sektora Dystrybucji Energii Elektrycznej RCB: Standardy dla systemów SCADA w branży energii elektrycznej 8
NASZE DZIAŁANIA
Nasze działania w obszarze bezpieczeństwa SCADA i AMI Wysokie wymagania bezpieczeństwa Inicjatywa Koniec 1. Weryfikacja Bezpieczeństwa Architektury SCADA Grudzień 2016 2. Weryfikacja Bezpieczeństwa Architektury AMI Wrzesień 2017 3. Weryfikacja Architektury systemów akwizycji danych pomiarowych 2017 4. Rozbudowa zabezpieczeń na stacjach 5. Wdrożenie wymagań ustawy o Cyberbezpieczeństwa RP Spójna Koncepcja Cyberbezpieczeństwa dla Infrastruktury Krytycznej 10
SCADA
Weryfikacja Bezpieczeństwa Architektury SCADA SCADA to nie tylko IT Etap 1 Etap 2 Etap 3 Etap 4 Zarządzanie bezpieczeństwem systemu Przegląd architektury i aplikacji Teletransmisja i infrastruktura na stacjach Bezpieczeństwo fizyczne Zakres System SCADA Infrastruktura SCADA Data Center Serwery Urządzenia sieciowe Obiekty elektroenergetyczne Telekomunikacja Dostęp fizyczny Procesy Ludzie 1 2 3 4 Tygodnie 5 6 12
Weryfikacja Bezpieczeństwa Architektury SCADA Zakres Zarządzanie zmianą Monitorowanie i obsługa incydentów bezpieczeństwa Zarządzanie ciągłością działania Zarządzanie bezpieczeństwem systemu Zarządzanie dostawcami Zarządzanie dostępami i uprawnieniami w infrastrukturze teleinformatycznej oraz aplikacyjnej Podnoszenie świadomości personelu w zakresie bezpieczeństwa Zarządzanie konfiguracją komponentów Zarządzanie podatnościami Standaryzacja i zabezpieczanie komponentów Ważne aspekty 1. Zintegrowane procesy w organizacji 2. Przepływ informacji o zmianach 3. Monitorowanie incydentów bezpieczeństwa 13
Weryfikacja Bezpieczeństwa Architektury SCADA Zakres Weryfikacja wymagań i założeń Architektonicznych Przegląd konfiguracji Testy Penetracyjne aplikacji Testy Penetracyjne infrastruktury Przegląd architektury i aplikacji Ważne aspekty 1. Architektura 2. Segmentacja Sieci 3. Dostęp zdalny do urządzeń OT 14
Weryfikacja Bezpieczeństwa Architektury SCADA Teletransmisja i infrastruktura na stacjach Zakres Analiza dokumentacji pod kątem zapewnienia dla systemu SCADA redundancji i separacji Bezpieczeństwo realizacji połączeń przez infrastrukturę operatorów Monitorowanie połączeń i przepływ logów do systemu monitorowania Wizja lokalna centralnych węzłów teletransmisyjnych Identyfikacja innych urządzeń wpływających na bezpieczeństwo transmisji danych Analiza dostępów inżynierskich oraz dostępów dla firm trzecich Analiza architektury sieci na stacjach Identyfikacja zainstalowanych systemów komputerowych i sieciowych oraz połączeń sieciowych na stacji Ważne aspekty 1. Zarządzanie urządzeniami IT na stacjach 2. Zarządzanie konfiguracją urządzeń OT 3. Zabezpieczenie dostępów do OT 15
Weryfikacja Bezpieczeństwa Architektury SCADA Zakres Ochrona fizyczna Kontrola dostępu Telewizja dozorowej (CCTV) System Sygnalizacji Włamania i Napadu Systemy Przeciwpożarowe Systemy zapewniające bezpieczeństwo środowiskowe Bezpieczeństwo fizyczne Ważne aspekty 1. Monitorowanie dostępu fizycznego 2. Monitorowanie parametrów środowiskowych 16
AMI
Weryfikacja Bezpieczeństwa Architektury AMI GPRS HES Radio Radio MV/LV GPRS PLC PLC HW/MV Fiber Mobile device MDM 18
Weryfikacja Bezpieczeństwa Architektury AMI Zakres I Etap Grupa Telekomunikacja Metrologia Obszar Modemy (MBSM) i ich połączenia Routery (MBSR) i ich połączenia Sieci APN Węzeł centralny Systemy auto konfiguracji i monitoringu Liczniki komunalne i ich połączenia Liczniki bilansujące i ich połączenia Koncentratory i ich połączenia Repeter y Infrastruktura: Szafy (MBS) i szafy DCbox Uprawnienia i role w systemie oraz Inne zidentyfikowane elementy MBS wpływające na infrastrukturę AMI 19
PODSUMOWANIE
Rozbudowane systemy IT oraz OT Zaangażowani pracownicy wielu jednostek organizacyjnych Dostawcy zewnętrzni Współpraca i wymiana informacji 21
Bartłomiej Szymczak IT Security & Quality Manager T + 48 883 301 107 bartlomiej.szymczak@innogy.com Wojciech Cholewa SCADA Service Manager T +48 696 401 054 wojciech.cholewa@innogy.com 22
Dziękujemy! 23