La conception moderne des systèmes industriels et de commande les rend de plus en plus vulnérables aux cyberattaques :
oIls intègrent des technologies grand public.
oIls sont de plus en plus connectés.
oIls sont accessibles à distance.
oLeur position stratégique dans les process industriels séduit les pirates.
En outre, les objectifs en matière de cybersécurité sont différents de ceux d'un système informatique classique. Pour sécuriser une installation industrielle, il convient de bien cerner ces différences. Trois caractéristiques fondamentales doivent être considérées :
oDisponibilité du système : comment faire en sorte que le système reste opérationnel ?
oIntégrité des données : comment préserver l'intégrité des informations ?
oConfidentialité : comment éviter la fuite d'informations ?
Les priorités dans un système industriel et un système informatique classique sont différentes, comme le montrent les schémas suivants :
Pour atteindre ces objectifs de sécurité, la bonne pratique consiste à adopter une approche de « défense en profondeur » adéquate.
L'unité Box PC IIoT intègre différents mécanismes de sécurité et respecte de facto l'approche de défense en profondeur.
L'unité Magelis Box iPC propose une cybersécurité renforcée pour l'accès, la communication et le stockage des informations :
Pour protéger au maximum le système, il est nécessaire de sécuriser l'environnement d'installation de l'unité en respectant les recommandations standard ci-dessous.
Portail d'assistance en matière de cybersécurité : http://www.schneider-electric.com/b2b/en/support/cybersecurity/overview.jsp
Sans protection suffisante de l'accès aux logiciels et aux réseaux, des personnes non autorisées peuvent accéder aux unités Magelis Industrial PC et Box PC IIoT ainsi qu'aux autres équipements du réseau/bus de terrain de la machine et aux réseaux connectés.
Pour empêcher tout accès non autorisé aux unités Magelis Industrial PC et Box PC IIoT, il convient d'appliquer les conseils suivants :
oRéaliser une analyse des risques et des dangers liés à l'accès au réseau/bus de terrain (et à son utilisation), et développer un programme de cybersécurité adapté.
oS'assurer que l'infrastructure matérielle et logicielle dans laquelle sont intégrées les unités Magelis Industrial PC et Box PC IIoT (de même que l'ensemble des mesures et règles organisationnelles concernant l'accès à l'infrastructure) tient compte des conclusions de l'analyse des risques et des dangers et respecte les bonnes pratiques et les normes en vigueur (ISA/IEC 62443, par exemple).
oVérifier l'efficacité des systèmes de sécurité informatique et de cybersécurité à l'aide de méthodes adéquates éprouvées.
oMettre à jour le système (correctifs de sécurité).
oMettre à jour le logiciel antivirus.
oDéfinir les paramètres de sécurité de l'unité (droits d'accès, comptes utilisateur). S'assurer que les utilisateurs disposent de droits d'accès minimums, pour empêcher tout accès non autorisé ou éviter qu'un utilisateur ne se voit accorder trop de permissions.
oLimiter l'accès aux informations requises et aux utilisateurs qui conviennent.
oActiver le chiffrement des données (disponible par défaut ou en option selon les références).
oSe procurer la protection facultative McAfee et l'activer.
oSuivre les recommandations de sécurisation de l'infrastructure réseau (se reporter au chapitre General Practices du document How Can I Reduce Vulnerability to Cyber Attacks in PlantStruxure Architectures? (http://www.schneider-electric.com/b2b/en/support/cybersecurity/resources.jsp?).
Fonctions de cybersécurité disponibles
Les fonctions de cybersécurité suivantes sont disponibles sur les unités Magelis Industrial PC et Box PC IIoT :
1.L'architecture Box PC IIoT s'appuie sur le système d'exploitation.
2.Le matériel peut inclure un module TPM comme dispositif de sécurité.
3.Combinée au module TPM, la fonction BitLocker protège le disque dur et assure le chiffrement complet du disque.
4.L'intégrité du système d'exploitation est vérifiée à l'aide du mécanisme UEFI (Extensible firmware Interface), qui permet de s'assurer que le système d'exploitation correspond bien à la version officielle.
NOTE : Compte tenu du grand nombre de configurations et d'applications différentes, il est impossible de fournir des paramètres pratiques et efficaces clé en main pour l'unité Box PC IIoT. Il incombe au personnel chargé de la mise en service et de la configuration d'activer ou de désactiver les fonctions et les interfaces conformément aux exigences de cybersécurité des applications.
Recommandations relatives à Node-RED
Node-RED peut être configuré de différentes manières :
1.Via une connexion au serveur Node-RED de l'unité Box PC IIoT à partir d'un autre ordinateur du réseau.
2.En important un fichier JSON sur l'unité Box PC IIoT depuis un support ou via un accès réseau.
3.Via les services Web du serveur Node-RED à partir d'une application.
NOTE : Dans tous les cas, l'utilisateur doit vérifier l'intégrité de l'ordinateur servant à accéder à l'unité Box PC IIoT : système d'exploitation à jour, correctifs de sécurité à jour, antivirus à jour, absence de logiciel malveillant sur le PC.
L'importation d'un fichier JSON à partir d'un support externe (une clé USB, par exemple) requiert une attention particulière, afin d'éviter d'importer sur l'unité Box PC IIoT des fichiers JSON corrompus ou des logiciels malveillants (malware). L'opération est réservée aux personnes autorisées à modifier la configuration de l'unité Box PC IIoT.
NOTE : L'architecture de sécurité globale dépend en grande partie de la configuration de l'unité Box PC IIoT. Une modification de cette configuration peut permettre l'accès aux quipements ou au cloud par des utilisateurs non autorisés.
L'unité Box PC IIoT est configurée grâce à la configuration Node-RED avec le serveur Node-RED. Le système est fourni avec un ensemble de nœuds.
En fonction des besoins (accès spécifique aux équipements et au cloud, gestion particulière des données), l'utilisateur peut avoir besoin de nouvelles fonctionnalités. La création de nœuds offre cette possibilité.
NOTE : Le fait de créer des nœuds accroît la vulnérabilité du système et met à mal sa protection.
Pour maintenir le niveau de protection escompté du système, les concepteurs Node-RED doivent tenir compte des recommandations suivantes :
oRecommandation 1 : Les concepteurs Node-RED doivent appliquer les bonnes pratiques en matière d'ingénierie logicielle pour garantir un niveau de qualité satisfaisant et éviter les erreurs classiques (saturation de la mémoire tampon, mauvaise gestion des exceptions, etc.).
oRecommandation 2 : Les données échangées par les équipements et, plus généralement, les données injectées dans les modules Node-RED doivent être vérifiées et validées pour éviter les erreurs classiques de saturation de la mémoire tampon et d'injection des données (se reporter aux recommandations de l'OWASP pour les erreurs courantes). Les erreurs de communication avec les équipements doivent être gérées comme il se doit pour éviter que le système ne subisse un déni de service.
oRecommandation 3 : Les données échangées par les services informatiques (comme le cloud) doivent être vérifiées et validées comme il se doit pour éviter les fuites d'information, les dénis de service et les problèmes de sécurité classiques.
