I sistemi di controllo e industriali sono sempre più vulnerabili agli attacchi informatici a causa del loro design moderno:
outilizzano tecnologie commerciali
osono sempre più connessi
osono accessibili da remoto
ola loro posizione strategica nei processi industriali è un punto di interesse per gli hacker
i sistemi industriali hanno inoltre diversi obiettivi di sicurezza informatica rispetto ai tipici sistemi IT. Per proteggere correttamente l'installazione industriale, è importante comprendere queste differenze. Occorre considerare tre differenze fondamentali:
odisponibilità del sistema: come garantire che il sistema resti operativo?
ointegrità dei dati: come mantenere l'integrità delle informazioni?
oconfidenzialità: come evitare la violazione delle informazioni?
Le priorità tra un sistema industriale e un tipico sistema IT non sono uguali a quanto descritto negli schemi seguenti:
Una buona raccomandazione per osservare questi obiettivi di sicurezza consiste nell'adottare un approccio di difesa in profondità corrispondente a queste priorità.
Box PC IIoT fornisce un approccio di difesa in profondità predefinito, grazie ai diversi meccanismi di sicurezza contenuti.
Magelis Box iPC ha migliorato la sicurezza informatica per accedere, comunicare e memorizzare le informazioni:
Per mantenere i sistemi al massimo possibile della protezione, è necessario proteggere l'ambiente dove è installato il Box, seguendo le raccomandazioni standard descritte di seguito.
Portale supporto sicurezza informatica: http://www.schneider-electric.com/b2b/en/support/cybersecurity/overview.jsp
Persone non autorizzate possono accedere al Magelis Industrial PC e a Box PC IIoT oltre ad altri dispositivi sulla rete/bus di campo della macchina e reti collegate tramite accesso non sufficientemente protetto a software e reti.
Per evitare l'accesso non autorizzato a Magelis Industrial PC e Box PC IIoT, si consiglia agli utenti di:
oEseguire un'analisi di rischio e pericolo che consideri tutti i pericoli risultanti dall'accesso a (e l'attività su) rete/bus di campo e sviluppare un piano di sicurezza informatica.
oVerificare che l'infrastruttura hardware e software in cui è integrato il Magelis Industrial PC e Box PC IIoT (insieme con tutte le misure organizzative e le regole relative all'accesso all'infrastruttura) considerino il risultato dell'analisi di rischio e pericolo e siano implementate in base alle pratiche migliori e alle norme come ISA/IEC 62443.
oVerificare l'efficacia dei sistemi di sicurezza informatica e protezione IT tramite metodi appropriati e comprovati.
oTenere il sistema aggiornato (patch di sicurezza).
oTenere l'antivirus aggiornato.
oDefinire correttamente la sicurezza del Box: autorizzazioni di accesso, account utente. Verificare di assegnare autorizzazioni minime di accesso agli utenti per evitare accesso illecito o di dare troppi privilegi all'utente.
oLimitare l'accesso solo a utenti e dati necessari.
oAttivare la crittografia dei dati (disponibile per impostazione predefinita o come opzione in base ai codici prodotto).
oOttenere protezione opzionale McAfee e attivarla.
oSeguire le raccomandazioni per proteggere l'infrastruttura di rete (vedere il capitolo General Practices nel documento How Can I Reduce Vulnerability to Cyber Attacks in PlantStruxure Architectures? (http://www.schneider-electric.com/b2b/en/support/cybersecurity/resources.jsp?)
Caratteristiche disponibili di sicurezza informatica
Caratteristiche di sicurezza informatica disponibili su Magelis Industrial PC e Box PC IIoT:
1.L'architettura di Box PC IIoT è basata sul sistema operativo.
2.L'hardware può includere un modulo TPM utilizzato per applicazione della sicurezza.
3.BitLocker in collaborazione con il modulo TPM viene utilizzato per proteggere il disco rigido e fornire una codifica completa del disco.
4.L'integrità del sistema operativo inoltre verificata dal meccanismo UEFI (Extensible firmware Interface) che assicura che il SO sia quello ufficiale.
NOTA: prendendo in considerazione l'ampio numero di varie configurazioni e applicazioni, non è possibile fornire impostazioni pratiche ed efficaci del Box PC IIoT. Attivazione o disattivazione di funzioni e interfacce in base ai requisiti di sicurezza informatica per le applicazioni dipende da una persona autorizzata incaricata per la messa in servizio e configurazione.
Node-RED può essere configurato da diversi canali:
1.Mediante una connessione a server Box PC IIoT Node-RED da un altro computer nella rete.
2.Importando un file JSON in Box PC IIoT tramite un accesso di rete o un supporto.
3.Mediante servizi Web dal server Node-RED da un'applicazione.
NOTA: indipendentemente dallo scenario, l'utente deve essere certo che il computer utilizzato per accedere a Box PC IIoT sia sicuro: SO aggiornato, patch di sicurezza aggiornate, antivirus aggiornato, nessun malware sul PC.
Quando si importa un file JSON tramite un supporto rimovibile come la chiavetta USB, fare attenzione per evitare di importare file JSON danneggiati o malware su Box PC IIoT. L'operazione deve essere riservata a personale autorizzato a modificare la configurazione di Box PC IIoT.
NOTA: una configurazione di Box PC IIoT ha un profondo impatto sull'architettura di sicurezza globale. Tutte le modifiche apportate nella configurazione del box possono portare a un accesso al dispositivo o al cloud di utenti non autorizzati.
La configurazione di Box PC IIoT è possibile grazie alla configurazione di Node-RED con il server Node-RED. Il sistema è fornito di un set esistente di nodi.
Tuttavia, per esigenze specifiche (accesso dispositivo specifico, accesso cloud specifico, gestione dati specifica) l'utente può avere bisogno di nuove funzionalità, fornite dalla possibilità di creare nuovi nodi.
NOTA: la creazione di nuovi nodi implica inoltre l'aumento della superficie di attacco che può portare a un sistema non sicuro.
Un progettista di Node-RED deve essere consapevole delle seguenti raccomandazioni per mantenere la sicurezza del sistema al livello previsto:
oRaccomandazione 1: i progettisti di Node-RED devono applicare pratiche note di ingegneria software per assicurare un buon livello di qualità ed evitare errori tipici come overflow del buffer, gestione eccezione errata.
oRaccomandazione 2: tutti i dati provenienti/in direzione dei dispositivi e più in generale tutti i dati inseriti nei moduli Node-RED devono essere verificati e convalidati per evitare errori tipici come overflow buffer, iniezione dati (vedere le raccomandazioni OWASP per gli errori tipici). Anche gli errori di comunicazione con i dispositivi devono essere gestiti correttamente per evitare negazione di servizi del sistema.
oRaccomandazione 3: tutti i dati provenienti/in direzione dei servizi IT (come il cloud ad esempio) devono essere correttamente controllati e convalidati per evitare la divulgazione di informazioni, la negazione di servizi e problemi di sicurezza tipici.
