Sicurezza informatica

Panoramica

Le funzioni SQL Gateway supportano le connessioni di sicurezza su TLS (Transport Layer Security) / SSL (Secure Socket Layer) tra i database SQL Gateway e MySQL o Microsoft SQL Server Se queste connessioni vengono configurate in modo appropriato, i database possono essere posti all'esterno della propria rete industriale.

Le funzioni SQL Gateway supportano inoltre le connessioni protette tra i controller e il SQL Gateway. Se il controller in uso non supporta la comunicazione protetta, è possibile configurare una comunicazione non protetta tra il controller e il SQL Gateway. In questo caso, la comunicazione deve avvenire solo all'interno della rete industriale, isolata da altre reti all'interno dell'azienda e da Internet.

NOTA: Schneider Electric aderisce alle migliori pratiche del settore nello sviluppo e nell'implementazione dei sistemi di controllo. Ciò include un approccio "Defense-in-Depth" per la protezione di un sistema di controllo industriale. Secondo questo tipo di approccio, i controller sono protetti da uno o più firewall per limitare l'accesso al personale e ai protocolli autorizzati.

AVVERTIMENTO
	ACCESSO NON AUTENTICATO E CONSEGUENTE FUNZIONAMENTO NON AUTORIZZATO DELLA MACCHINA Valutare se l'ambiente o le macchine sono collegati all'infrastruttura critica e, in caso positivo, adottare le misure appropriate in termini di prevenzione, secondo l'approccio "Defense-in-Depth", prima di collegare il sistema di automazione a una rete. Limitare al minimo necessario il numero di dispositivi collegati alla rete. Isolare la rete industriale dalle altre reti nell'ambito dell'azienda. Proteggere le reti dall'accesso non autorizzato mediante l'uso di firewall, VPN, o altre procedure di sicurezza di comprovata efficacia. Monitorare tutte le attività del sistema. Impedire l'accesso diretto o il collegamento diretto ai dispositivi da parte di persone non autorizzate o con azioni non autenticate. Redigere un piano di ripristino che includa il backup del sistema e delle informazioni di processo. Il mancato rispetto di queste istruzioni può provocare morte, gravi infortuni o danni alle apparecchiature.

AVVERTIMENTO

ACCESSO NON AUTENTICATO E CONSEGUENTE FUNZIONAMENTO NON AUTORIZZATO DELLA MACCHINA

Valutare se l'ambiente o le macchine sono collegati all'infrastruttura critica e, in caso positivo, adottare le misure appropriate in termini di prevenzione, secondo l'approccio "Defense-in-Depth", prima di collegare il sistema di automazione a una rete.
Limitare al minimo necessario il numero di dispositivi collegati alla rete.
Isolare la rete industriale dalle altre reti nell'ambito dell'azienda.
Proteggere le reti dall'accesso non autorizzato mediante l'uso di firewall, VPN, o altre procedure di sicurezza di comprovata efficacia.
Monitorare tutte le attività del sistema.
Impedire l'accesso diretto o il collegamento diretto ai dispositivi da parte di persone non autorizzate o con azioni non autenticate.
Redigere un piano di ripristino che includa il backup del sistema e delle informazioni di processo.

Il mancato rispetto di queste istruzioni può provocare morte, gravi infortuni o danni alle apparecchiature.

Per ulteriori informazioni sulle misure e le regole relative all'accesso alle infrastrutture, consultare ISO/IEC 27000 series, Common Criteria for Information Technology Security Evaluation, ISO/IEC 15408, IEC 62351, ISA/IEC 62443, NIST Cybersecurity Framework, Information Security Forum - Standard of Good Practice for Information Security.

Impostazioni firewall

SQL Gateway utilizza una porta TCP specifica per la comunicazione protetta e un'altra porta TCP per la comunicazione non protetta tramite cui i controller inviano query SQL. Impostare la struttura della rete e configurare il firewall in modo che le porte utilizzate siano accessibili ai controller.

Protezione tramite password

Durante l'avvio iniziale del SQL Gateway, viene richiesto di stabilire se si desidera assegnare una password per proteggere il software dall'accesso non autorizzato.

AVVERTIMENTO
	ACCESSO NON AUTENTICATO Utilizzare la protezione da password se il PC del SQL Gateway è accessibile a personale non autorizzato. Il mancato rispetto di queste istruzioni può provocare morte, gravi infortuni o danni alle apparecchiature.

Se la protezione da password è attiva, occorre inserire la password ogni volta che si apre la Console Gateway SQL.

Dopo aver avviato il SQL Gateway, è possibile attivare/disattivare la protezione da password nella scheda Impostazioni selezionando il nodo Protezione da password:

Selezionare l'opzione Protezione da password attiva per attivare/disattivare la password per la Console Gateway SQL.
Fare clic sul pulsante Modifica password per modificare la password per la Console Gateway SQL.

Certificati SSL

Con ogni connessione crittografata SSL vengono verificati i certificati SSL. Questo permette di assicurare che il client SSL sia collegato al server SSL desiderato e viceversa.

Per la crittografia SSL, sono disponibili due diversi tipi di certificati:

Certificati server:

Certificati per i server SSL. Questi certificati hanno un duplice scopo:
- Fornire chiavi pubbliche e private da utilizzare per la crittografia dei dati inviati dal client SSL al server SSL.
- Fornire informazioni che consentono al client di verificare che è collegato al server SSL corretto.
Certificati Client:

Certificati per i client SSL. Essi non sono necessari per la crittografia dei dati ma solo per l'autenticazione client. L'uso dei certificati client è opzionale, ma possono essere richiesti dal server per verificare se il client SSL ha diritto di collegarsi al server SSL.

È possibile creare dei certificati autofirmati o utilizzare certificati firmati da un'autorità di certificazione (CA). Una breve descrizione della creazione di certificati autofirmati è contenuta nel capitolo Configurazione delle connessioni crittografate SSL per ogni tipo di database SQL.

Convalida dei certificati server

È buona prassi che il client SSL convalidi il certificato server in modo da garantire che sia associato al server corretto quando viene stabilita una connessione.

Esistono due diverse procedure di convalida che possono essere eseguite dal client:

Convalida certificato: questa procedura verifica se il certificato server o uno dei certificati radice è un certificato attendibile. Questo significa che è disponibile nella cartella Autorità di certificazione radice attendibili dell'Archivio certificati.
Verifica nome: questa procedura verifica se il nome del soggetto nel certificato del server corrisponde al nome del server nella connessione TCP.

Gestione dei certificati nell'Archivio certificati

L'Archivio certificati è un componente Windows per la gestione dei certificati.

Per aprire l'Archivio certificati, procedere nel modo seguente:

Passo	Azione	Commento
1	Su un PC Windows, eseguire il comando `mmc`.	Risultato: ai apre la Console di gestione Microsoft.
2	Eseguire il comando File > Aggiungi o rimuovi snap-in.	–
3	Nella finestra di dialogo Aggiungi o rimuovi snap-in, selezionare Certificati e fare clic sul pulsante Aggiungi >.	–
4	Nella finestra di dialogo Snap-in certificati, selezionare l'opzione Account del computer e fare clic su Avanti, quindi fare clic su Fine.	–
5	Chiudere la finestra di dialogo Aggiungi o rimuovi snap-in facendo clic su OK.	Risultato: la Console di gestione Microsoft contiene due cartelle Certificati: Personale: contiene i certificati server e client. Autorità di certificazione radice attendibili: contiene i certificati radice attendibili.

Per importare un certificato, fare un clic con il pulsante destro sulla cartella Personale o su Autorità di certificazione radice attendibili ed eseguire il comando Attività > Importa. Seguire le istruzioni fornite dall'Importazione guidata certificati. Selezionare l'opzione Selezionare automaticamente l'Archivio certificati secondo il tipo di certificato.

Per assegnare i diritti di accesso a un certificato per un account server, procedere come segue:

Passo	Azione
1	Fare clic con il pulsante destro nell'Archivio certificati ed eseguire il comando Attività > Gestisci chiavi private.
2	Nella successiva finestra di dialogo fare clic su Aggiungi.
3	Selezionare l'opzione Tipi di oggetto > Account di servizio.
4	Fare clic sul pulsante Percorsi, selezionare la voce del PC locale e fare clic su OK.
5	Copiare il nome nella casella di testo.

Per copiare le informazioni relative alle identificazioni personali di un certificato, procedere come segue:

Passo	Azione
1	Fare doppio clic su un certificato.
2	Nella scheda Dettagli, selezionare la voce Identificazione personale e copiare il suo Valore.