Es un hecho que los sistemas industriales y de control cada vez son más vulnerables a los ciberataques a causa de su diseño moderno:
oUtilizan tecnologías comerciales.
oCada vez están más conectados.
oSe puede acceder a ellos de manera remota.
oSu ubicación estratégica en los procesos industriales es un punto de interés para los hackers.
Los sistemas industriales también tienen objetivos de ciberseguridad diferentes en comparación con los sistemas de TI típicos. Para proteger debidamente la instalación industrial, es importante conocer estas diferencias. Se deben tener en cuenta tres características fundamentales:
oDisponibilidad del sistema: ¿Cómo se puede garantizar que el sistema siga siendo operativo?
oIntegridad de los datos: ¿Cómo se puede mantener la integridad de la información?
oConfidencialidad: ¿Cómo se puede evitar la divulgación de información?
Las prioridades entre un sistema industrial y un sistema de TI típico no son las mismas que se describen en los diagramas siguientes:
Una buena recomendación para abordar estos objetivos de seguridad es adoptar un método de defensa exhaustiva que se ajuste a estas prioridades.
El Box PC IIoT proporciona un método de defensa exhaustiva de manera predeterminada gracias a sus distintos mecanismos de seguridad.
La ciberseguridad mejorada de Magelis Box iPC para acceder a información, comunicarla y almacenarla:
Para mantener el sistema lo más seguro posible, es necesario proteger el entorno en el que esté instalado el módulo siguiendo las recomendaciones estándar descritas a continuación.
Portal de asistencia de ciberseguridad: http://www.schneider-electric.com/b2b/en/support/cybersecurity/overview.jsp
Personas sin autorización pueden obtener acceso al Magelis Industrial PC y a Box PC IIoT, así como a otros dispositivos de la red/bus de campo de la máquina y a redes conectadas a través de un acceso insuficientemente seguro al software y a las redes.
Para evitar el acceso no autorizado al Magelis Industrial PC y a Box PC IIoT, se recomienda a los usuarios que:
oRealicen un análisis de peligros y riesgos que tenga en cuenta todos los peligros resultantes del acceso (y el funcionamiento en) la red/el bus de campo, y desarrollen plan de ciberseguridad en consecuencia.
oVerifiquen que la infraestructura de hardware y software en la que están integrados el Magelis Industrial PC y Box PC IIoT (junto con todas las medidas organizativas y reglas que cubren el acceso a la infraestructura) tengan en cuenta los resultados del análisis de peligros y riesgos y se implementen de acuerdo con buenas prácticas y normas como ISA/IEC 62443.
oVerifiquen la eficacia de los sistemas de seguridad de TI y ciberseguridad utilizando métodos apropiados y probados.
oMantengan el sistema actualizado (parches de seguridad).
oMantengan el antivirus actualizado.
oDefinan correctamente la seguridad del módulo: derechos de acceso, cuentas de usuario. Se aseguren de que se otorguen los derechos de acceso mínimos a los usuarios para evitar un acceso ilegal o que se le otorguen demasiados privilegios.
oLimiten el acceso a únicamente la información y los usuarios necesarios.
oHabiliten el cifrado de datos (disponible de forma predeterminada o como opción según los números de referencia).
oObtengan protección McAfee opcional y la habiliten.
oSigan las recomendaciones para proteger la infraestructura de red (consulte el capítulo General Practices del documento How Can I Reduce Vulnerability to Cyber Attacks in PlantStruxure Architectures? (http://www.schneider-electric.com/b2b/en/support/cybersecurity/resources.jsp?)
Funciones de ciberseguridad disponibles
Funciones de ciberseguridad disponibles en Magelis Industrial PC y Box PC IIoT:
1.La arquitectura de Box PC IIoT se basa en el sistema operativo.
2.El hardware puede incluir un módulo TPM utilizado para la aplicación de medidas de seguridad.
3.BitLocker, junto con el módulo TPM, se utiliza para proteger el disco duro y proporcionar un cifrado completo del disco.
4.La integridad del sistema operativo también se comprueba mediante el mecanismo UEFI (Extensible firmware Interface), que garantiza que el sistema operativo sea el oficial.
NOTA: Habida cuenta del gran número de distintas configuraciones y aplicaciones, no se puede proporcionar la configuración práctica y eficiente de puesta en marcha para Box PC IIoT. Corresponde a la persona autorizada responsable de la puesta en marcha y la configuración habilitar o deshabilitar funciones e interfaces en función de los requisitos de seguridad para las aplicaciones.
Node-RED se puede configurar desde varios canales:
1.Utilizando una conexión a un servidor Node-RED Box PC IIoT desde otro ordenador de la red.
2.Importando un archivo JSON en el Box PC IIoT utilizando un acceso a medios o a la red.
3.Utilizando servicios web desde el servidor Node-RED desde una aplicación.
NOTA: Sea cual sea el caso, el usuario debe estar seguro de que el ordenador utilizado para acceder a Box PC IIoT es seguro: sistema operativo actualizado, parches de seguridad actualizados, antivirus actualizados, ausencia de malware en el PC, etc.
La importación de un archivo JSON utilizando un soporte extraíble como una llave USB se debe realizar con cuidado para evitar la importación de JSON dañados o malware en el Box PC IIoT. La operación debe estar reservada para personas con autorización para modificar la configuración del Box PC IIoT.
NOTA: La configuración del Box PC IIoT tiene una gran repercusión sobre la arquitectura de seguridad general. Todas las modificaciones realizadas en la configuración del módulo pueden propiciar el acceso al dispositivo o a la nube por parte de usuarios no autorizados.
La configuración del Box PC IIoT se realiza mediante la configuración de Node-RED con el servidor Node-RED. El sistema se proporciona con un conjunto de nodos existente.
No obstante, para necesidades específicas (acceso a dispositivos específicos, acceso a nubes específicas, gestión de datos específicos) es posible que el usuario necesite funcionalidades nuevas. Esto se proporciona con la capacidad de crear nodos nuevos.
NOTA: La creación de nodos nuevos también implica el aumento de la superficie expuesta a ataques que podría propiciar que el sistema fuese poco seguro.
Un diseñador de Node-RED debe ser consciente de las recomendaciones siguientes para mantener la seguridad del sistema al nivel previsto:
oRecomendación 1: Los diseñadores de Node-RED deben aplicar buenas prácticas reconocidas de ingeniería de software para garantizar un buen nivel de calidad y evitar errores habituales como el desborde de búfer o la mala gestión de excepciones.
oRecomendación 2: Todos los datos procedentes de/destinados a los dispositivos y, de manera más general, todos los datos inyectados en módulos Node-RED, se deben comprobar y validar para evitar errores habituales como el desborde de búfer o la inyección de datos (consulte las recomendaciones de OWASP para ver errores habituales). Los errores de comunicación con dispositivos también se deben gestionar debidamente para evitar la denegación de servicios del sistema.
oRecomendación 3: Todos los datos procedentes de/destinados a servicios de TI (como la nube, por ejemplo), se deben comprobar y validar debidamente para la divulgación de información, la denegación de servicios y problemas de seguridad habituales.
