Apuntes sobre seguridad de comunicaciones en entornos industriales

Apuntes sobre seguridad de comunicaciones en

entornos industriales

• José Antonio Casares González

José Antonio Casares González · atril.org/control4humans

Apuntes sobre seguridad de comunicaciones en entornos industriales

Guion:

Arquitecturas habituales en entornos industriales.

Identificación de problemas de seguridad en comunicaciones.

Ejemplo de posible ataque.

Fortalecimiento de seguridad en comunicaciones con equipos sin posibilidad de encriptación.

Solución mediante túneles.

Solución mediante VPN.

Seguridad entre aplicaciones

Ejemplo de posible ataque.

Fortalecimiento de la seguridad.



Arquitectura muy básica en un entorno industrial

Señales eléctricas PLC

SCADA



Evolución hacia una mayor implantación de las comunicaciones

Progresivamente son más los equipos directamente integrados en las comunicaciones:

Actuadores: arrancadores, motores, válvulas… Sensores: caudalímetros, conductivímetros… Microcontroladores Periferia, conversores, analizadores…

No permiten comunicaciones seguras



También se incorporan otros PC (no necesariamente SCADA) a las plantas



Redes con RTU



Domótica



La mayoría de los equipos (PLC, periferia distribuida, conversores, sensores, actuadores…) no tienen capacidad de encriptar la comunicación.

Los protocolos de comunicación que usan son por tanto abiertos.

Es frecuente que se sirva automáticamente la información a cualquier cliente que la pida, sin limitaciones.

Usualmente toda la información de los equipos está disponible. No solamente la necesaria para supervisar los procesos, sino la memoria al completo, el programa o las configuraciones sin que se pueda limitar su lectura o escritura.

Se confía toda la seguridad a la capa física, pero la realidad es que:

• Frecuentemente se emplean canales de acceso sencillo, sin encapsular las comunicaciones o haciéndolo de forma deficiente: radio, bluetooth, wireless abierta, red eléctrica…

• La tendencia es integrar el control industrial dentro de sistemas más amplios que incluyen MES (control de procesos), ERP (planificación de recursos), software de gestión, etc… y exigen comunicación.

• Con cada vez más frecuencia se recurre a Internet para acceder a equipos remotos del sistema de control.

Identificación de problemas de seguridad en comunicaciones



Ejemplo de posible ataque

MODBUS: Protocolo de comunicaciones sencillo y muy extendido.

MODBUS/TCP: Versión con paquetes TCP/IP.

Servidor: Modbus Ethernet TCP/IP PLC Simulator

http://www.plcsimulator.org/

Cliente: Simply Modbus TCP

http://www.simplymodbus.ca/

Wireshark

http://www.wireshark.org/

http://www.plcsimulator.org/

http://www.simplymodbus.ca/

http://www.wireshark.org/



Identificación de equipos inseguros



Encapsulación de las comunicaciones



Encapsulación de las comunicaciones

Comunicación segura

Comunicaciones inseguras

Túneles

VPN



Zona desmilitarizada (DMZ)

Comunicaciones inseguras

Red corporativa

Red de control

Cortafuegos



Solución mediante túneles



; cliente stunnel

cert = stunnel.pem

client = yes

[mbtcps]

accept = 502

connect = 192.168.17.3:1502

; servidor stunnel

cert = stunnel.pem

client = no

[mbtcps]

accept = 1502

connect = 502

Para acceder a equipos con varias IP se usan distintos puertos



VPN



Certificate Autority Servidor Clientes

Conexión No necesaria Sí Sí

Generación de certificados y claves

vars

clean-all

build-ca

openssl –out dh1024.pem 1024

build-key-server servidor build-key cliente

Ficheros privados ca.key servidor.key cliente.key

Resto ficheros ca.crt servidor.crt dh1024.pem

ca.crt cliente.crt

http://openvpn.se/

http://openvpn.net/index.php/open-source/documentation/howto.html




Driver

SCADAS Otros equipos

OPC, DDE, SuiteLink, Lookout…



Ejemplo de posible ataque

DDE (Dynamic Data Exchange): comunicación entre aplicaciones.

NetDDE (FastDDE, Advanced DDE): DDE de red.

Requiere los servicios (desactivados por defecto en Windows XP SP2):

DDE de red.

DSDM de DDE de red.

Y su configuración mediante ddeshare.



La comunicación entre driver y SCADA repite en buena medida los problemas que se han visto entre equipos y driver:

Los protocolos más extendidos no usan encriptación.

Los driver suelen servir automáticamente la información a cualquier cliente que la pida.

Toda la información de los equipos está disponible, con acceso de escritura.

Las soluciones son similares:

Túneles, VPN

Firewall para establecer zonas desmilitarizadas (DMZ).


Apuntes sobre seguridad de comunicaciones en entornos industriales

Technology

Transcript of Apuntes sobre seguridad de comunicaciones en entornos industriales