Stronger Than Firewalls - Unidirectional Security Gateways

Size: px

Start display at page:

Download "Stronger Than Firewalls - Unidirectional Security Gateways"

俗苗
5 years ago
Views:

2 公司簡介由原資策會金融事業群資深員工於 2004 年初成立 2004 年底開始代理 Digital Guardian ( 國內首家引進 DLP 技術的廠商 ) 2006 年開始在高科技製造業龍頭廠商建置 ( 國內首家企業級 DLP 導入案例 ) 國內最多的企業級資料與智財保護建置與導入經驗, 所保護的企業資產價值逾兆提供國內最具經驗的企業級資料保護與資訊安全顧問服務代理的產品線涵蓋企業資料保護 APT 防護 VMI 源碼檢測及 Open Source 管控等 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions

在這個大數據與 IOT 的時代, 工業網路對外連線勢不可擋 Proprietary

工業網路連結性 : 動機與風險定期維護性工作 : 排程, HR 整合, 物料採購與庫存更新

這些連結為駭客打開了利用遠端線上手法攻擊關鍵基礎設施的大門更要命的是 : ICS 或 SCADA

5 工業網路連結性 : 動機與風險定期維護性工作 : 排程, HR 整合, 物料採購與庫存更新 Just-in-time 生產, real-time 庫存, 批次報表傳送, LIMS 整合, 產能計畫, SAP/ERP 整合集中式支援 : 人力與資源的有效運用問題在於 : 一旦將工業網路開放連結至企業網路, 就等於間接將工業網路開放連結到 Internet 以及其他網路這些連結為駭客打開了利用遠端線上手法攻擊關鍵基礎設施的大門更要命的是 : ICS 或 SCADA 往往版本陳舊, 自我防禦能力薄弱 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 5

ICS 或 SCADA 往往版本陳舊, 自我防禦能力薄弱 Proprietary

入侵工業網路並沒有想像的困難 Proprietary Information --

對工業網路而言, 對外 ( 含企業網路 ) 連線就像是潘朵拉的盒子 Proprietary

9 最新威脅 : 遠端監控與除錯工作控制系統 / 設備 / 發電機組等廠商經常利用遠端方式監控全球客戶的設備運行狀態智慧電網等雲端服務可視任務需要執行遠端監控工業網路可能暴露在來自企業網路, 中控端與政府單位網路的攻擊威脅遠端遙控攻擊, 病毒散播廠商的連結 bypass 企業資安防線工業網路安全與否取決於其廠商的網路安全與否 Central Monitoring Site Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 9

12 工業網路一旦遭到入侵的後果 2010 伊朗震網 (Stuxnet) 事件伊朗總統視察離心機 Siemens Simatic S7-300 PLC CPU with three I/O modules attached Anti-aircraft guns guarding Natanz Nuclear Facility Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 12

13 工業網路一旦遭到入侵的後果 2010 伊朗震網 (Stuxnet) 事件 Normal communications between Step 7 and a Siemens PLC Stuxnet hijacking communication between Step 7 software and a Siemens PLC Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 13

SCADA Hack is the Biggest Untold Story of the Cybercrime Industry

防火牆 : 絕大多數工業網路與駭客之間的唯一防線 Proprietary Information

單向網路閘道 vs 網路防火牆 Attack Type UGW Fwall 1) Phishing / drive-by-download victim pulls your attack through firewall 4 2 2) Social engineering steal a password / keystroke logger / shoulder surf 4 1 3)

buf-overflows 4 2 6) Session hijacking MIM / steal HTTP cookies / command injection 4 2 7) Piggy-back on VPN split tunneling / malware propagation 4 2 8) Firewall vulnerabilities bugs / zero-days /

20 單向網路閘道 vs 網路防火牆 Attack Type UGW Fwall 1) Phishing / drive-by-download victim pulls your attack through firewall 4 2 2) Social engineering steal a password / keystroke logger / shoulder surf 4 1 3) Compromise domain controller create ICS host or firewall account 4 2 4) Attack exposed servers SQL injection / DOS / buffer-overflowd 4 2 5) Attack exposed clients compromised web svrs/ file svrs / buf-overflows 4 2 6) Session hijacking MIM / steal HTTP cookies / command injection 4 2 7) Piggy-back on VPN split tunneling / malware propagation 4 2 8) Firewall vulnerabilities bugs / zero-days / default passwd/ design vulns 4 2 9) Errors and omissions bad fwall rules/configs / IT reaches through fwalls ) Forge an IP address firewall rules are IP-based 4 2 Total Score: Attack Success Rate: Impossible Difficult Straight- Forward Photo: Red Tiger Security 網路防火牆是一項已有 30 年歷史的舊觀念舊技術. 全世界每一位駭客都知道要如何擊敗防火牆 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 20

Root/Administrator 帳號使用新帳號登入擁有系統的至高權限, 從此進出自如, 無人可防 ( 即使企業更新版本或加裝資安軟體也沒用 ) Bypass 一切傳統 IT

21 目前最熱門的攻擊手法 : Targeted Attack( 針對性目標攻擊 ) 利用社交工程手法突破企業網路防火牆或利用傳統攻擊手法進入網路或其他伺服器利用量身打造的惡意程式 (malware) 避開防毒系統的偵測利用遠端互動方式操作惡意程式竊取 Root/Administrator 密碼或密碼雜湊值在 Domain Controller 建立新的 Root/Administrator 帳號使用新帳號登入擁有系統的至高權限, 從此進出自如, 無人可防 ( 即使企業更新版本或加裝資安軟體也沒用 ) Bypass 一切傳統 IT 資安機制 : 防火牆, 防毒, 加密.. Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 21

Waterfall Security Solutions 總部於以色列客戶遍布全球 ( 尤其集中於電力, 能源等國家關鍵基礎設施行業 ) 2012/2013/2014 工業網路安全最佳實踐獎 (Best Practice Award for Industrial Network Security) 企業在做安全規劃時都應考慮在作業網路環境 (operations networks) 使用

23 Waterfall Security Solutions 總部於以色列客戶遍布全球 ( 尤其集中於電力, 能源等國家關鍵基礎設施行業 ) 2012/2013/2014 工業網路安全最佳實踐獎 (Best Practice Award for Industrial Network Security) 企業在做安全規劃時都應考慮在作業網路環境 (operations networks) 使用 Waterfall Waterfall 是 cyber security 市場的 key player 唯一列為美國國土安全部 National SCADA Security Test Bed 以及日本 CSSC Test Bed 的單向網路產品 OSIsoft, GE, Westinghouse, Schneider Electric 的策略聯盟 Certified Common Criteria EAL4+ 美國專利 SCADA/control network security using Unidirectional Gateway Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 23

國家關鍵基礎設施 Best Practices 最新 best practice: 使用單向網路閘道, 徹底阻絕針對目標性攻擊 (Targeted Attack)

26 Waterfall 在電力事業的客戶亞洲美加歐洲韓國 - KEPCO (OPC-DA: 核能 / 燃煤 / 天然氣電廠 ), IPP 日本 - Governmental Control Systems Security Centre, 天然氣電廠新加坡 - Senoko, Seraya, Tuas Power, SP Power 香港 - CLP 以色列 Israel Electric Corporation (IEC) 印度 - 核能電廠中國 - 核能 / 燃煤電廠 NB Power, Luminnt s Comanche Peak Nuclear Power Plant, Public Service Electric and Gas Company, American Electric Power, Exelon, Ameren, Southern Company, Progress Energy, STP, Ontario Power Generation, Constellation Energy, WE energies Iberdrola (Spain), Finland Nuclear, Germany Nuclear,. Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 26

27 Waterfall 的目標 : 全面取代工業控制系統 (ICS) 中的網路防火牆 Waterfall 的任務 : 利用比防火牆更強固的技術, 促成 ICS 周邊安全的革命讓工業界可以安全的執行 IT/OT 整合, 遠端服務, 工業雲 Substations, Power Gen, Not For IT Offshore BES Control Batch Processing, Water, Security Networks Platforms Centers Refining, Safety Systems Routers Firewalls Secure WF for BES Waterfall Unidirectional Bypass Control FLIP TM Security Centers Gateways Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 27

28 傳統的跨網路整合企業中央 user 透過防火牆存取廠區 historian DB 企業中央 user 發出 queries/requests, historian 提供資料 Industrial Network Corporate Network Workstations PLCs RTUs Historian Firewall Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 28

Network Corporate Network Waterfall TX Agent Host

29 何謂單向網路閘道? Laser in TX, photocell in RX, fibre-optic cable 資料僅出不進 ( 或僅進不出 ) TX 使用雙向通訊協定從被保護的網路取得資料 RX 使用雙向通訊協定將資料發布至外部網路徹底杜絕從外部網路攻擊被保護網路的風險 Industrial Network Corporate Network Waterfall TX Agent Host Waterfall RX Agent Host TX Module RX Module Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 29

如何運用單向網路閘道, 解決跨網路整合的安全問題 - 情境 1 利用單向網路閘道硬體進行從內到外的資料同步複製 (Replication) Replica 伺服器等同資料來源伺服器企業 workstation 只能連到 Replica 伺服器在硬體層面 : 企業網路完全無法存取工業網路 / 關鍵資產 ( 完全無法透過任何網路手段攻擊工業網路 / 關鍵資產 ) Industrial

30 如何運用單向網路閘道, 解決跨網路整合的安全問題 - 情境 1 利用單向網路閘道硬體進行從內到外的資料同步複製 (Replication) Replica 伺服器等同資料來源伺服器企業 workstation 只能連到 Replica 伺服器在硬體層面 : 企業網路完全無法存取工業網路 / 關鍵資產 ( 完全無法透過任何網路手段攻擊工業網路 / 關鍵資產 ) Industrial Network Historian Server Waterfall TX agent Corporate Network Waterfall RX agent Replica Server Workstations PLCs RTUs Waterfall TX appliance Waterfall RX appliance Unidirectional Historian replication Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 30

31 如何運用單向網路閘道, 解決跨網路整合的安全問題 - 情境 2 利用單向網路閘道硬體進行從外到內的資料同步複製 (Replication) Replica 伺服器等同資料來源伺服器企業 workstation 只能連到 Replica 伺服器在硬體層面 : 企業網路完全無法存取工業網路 / 關鍵資產 Corporate Network Historian Server Waterfall TX agent Industrial Network Waterfall RX agent Replica Server Workstations PLCs RTUs Waterfall TX appliance Waterfall RX appliance Unidirectional Historian replication Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 31

Workstations PLCs RTUs OPC Server OPC Polls, Responses TX Agent OPC Client TX Module RX Agent OPC

33 Secure OPC Replication OPC-DA 協定源自 DCOM object model 具備高度的雙向性 TX agent 是 OPC client. RX agent 是 OPC server OPC 協定分別用在工業網路以及企業網路, 但是被單向網路閘道分隔 Industrial Network Corporate Network Workstations PLCs RTUs OPC Server OPC Polls, Responses TX Agent OPC Client TX Module RX Agent OPC Server RX Module OPC Polls, Responses Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 33

Secure ICCP/DNP3 Replication ICCP/DNP3 的概念 : polling, report-by-exception, master, slave TX agent polls ICCP/DNP3 server & RX agent emulates that server

packet/message is ever forwarded Protected Network ICCP Master ICCP Slave External Network ICCP Slave ICCP Queries, Responses TX Agent Host TX HW Module

34 Secure ICCP/DNP3 Replication ICCP/DNP3 的概念 : polling, report-by-exception, master, slave TX agent polls ICCP/DNP3 server & RX agent emulates that server RX agent holds data until asked, emulates original ICCP/DNP3 server IPv4, IPv6 & other drivers disabled on connections to UGW appliances No ICCP/DNP3 packet/message is ever forwarded Protected Network ICCP Master ICCP Slave External Network ICCP Slave ICCP Queries, Responses TX Agent Host TX HW Module RX Agent Host RX HW Module Polls & Responses ICCP WAN Energy Mgmt Sys ICCP Master Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 34

35 Secure IEC Replication TX agent is IEC master polls substation & accepts exception reports RX agent is slave responds to EMS polls and sends report by exception reports to EMS No packets pass through gateway Industrial Network Corporate Network RTUs Substation Controller IEC Waterfall TX agent Waterfall TX appliance Waterfall RX appliance Waterfall RX agent IEC WAN EMS Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 35

36 透過單向網路閘道執行遠端監控遠端廠商可透過 Web Browser 看到 SCADA 的畫面遠端監控完全由在廠人員控制遠端廠商監視畫面並下達指令, 指令由在廠人員執行遠端廠商得以監控在廠人員的處理是否正確企業得以確保廠區的安全兼顧作業性與安全性 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 36

37 Waterfall Unidirectional Gateway Connectors Leading Industrial Applications/Historians OSIsoft PI, PI AF, GE ihistorian, GE ifix Scientech R*Time, Instep edna, GE OSM Siemens: WinCC/SINAUT/Spectrum Emerson Ovation, Wonderware Historian SQLServer, Oracle, MySQL, Postgres, SAP AspenTech IP21, Matrikon Alert Manager Schneider ClearSCADA Leading IT Monitoring Applications Log Transfer, SNMP, SYSLOG CA Unicenter, CA SIM, HP OpenView, IBM Tivoli HP ArcSight SIEM, McAfee ESM SIEM File/Folder Mirroring Folder, tree mirroring, remote folders (CIFS) FTP/FTFP/SFTP/TFPS/RCP Leading Industrial Protocols OPC: DA, HDA, A&E, UA DNP3, ICCP, Modbus GENA, IEC , IEC Remote Access Remote Screen View Secure Bypass Other connectors UDP, TCP/IP NTP, Multicast Ethernet Video/Audio stream transfer Mail server/mail box replication IBM MQ series, Microsoft MSMQ Antivirus updater, patch (WSUS) updater Remote print server World s largest collection of COTS industrial server replications Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 37

38 智慧電網所帶來的安全問題智慧電網 (Smart Grid) 使用 Bulk Electric System (BES) Control Center 技術 ( 用於 Power Grid Balancing Authorities and Reliability Coordinators) 美國國土安全部嚴重關切智慧電網的安全性 : BES Control Center 是網路攻擊的首選目標 BES Control Center 存在先天架構性的安全風險 BES( 每隔數秒 ) 必須經由 WAN 取得電廠的輸配電資料 BES( 每隔數秒 ) 也會對電廠下達指令資料現有的防火牆機制不足以保證智慧電網的安全中國與其他國家的網軍已多次攻擊美國智慧電網相關單位 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 38

39 利用 Inbound/Outbound 單向網路解決 BES 安全問題利用單向網路將指令以 outbound 方式送到電廠. 第二套單向網路則以 inbound 方式取得電廠輸配電資料多重 HA automatic at site, manual fail-over between sites 獨立 ICCP 管道 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 39

40 單向網路大幅改善 BES 的可靠性安全 : 完全保護控制系統資產, 免於遭受外界網路攻擊合規 : 符合業界 best-practice guidance, 標準與規範省錢 : 降低安全營運的成本提升安全等級, 降低長期營運成本 W aterfall 的獨特技術有可能成為未來的業界新標準當單向網路技術被廣泛使用後 BES 會變得更為可靠 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 40

42 成本比較單向網路閘道的初期採購成本通常高於網路防火牆單向網路閘道的維運成本遠低於網路防火牆 : 網路防火牆的管理成本稽核與合規性的成本資安風險成本因資安事件所導致的企業成本多數 Waterfall 客戶在個月內節省的維運成本超過對 Waterfall 的初期採購成本 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 42

43 單向網路閘道可協助台電符合下列法規或指引 -1 國家資通安全技術服務與防護管理電子資料保護參考指引 PE-3: 對公務機密資料應採取實體隔離或相當效果之機制國家資通安全技術服務與防護管理實體隔離作業安全防護水準表 AC-20: 機關必須禁止該機關合法授權使用者運用外部資訊系統來存取機關內的資訊系統 SC-7: 機關對於內外部存取節點的數量必須符合該機關資安政策的限制, 並對該實體隔離內外部之間的網路傳輸內容進行監督與管理 SC-7: 實體隔離必須採用預設全部拒絕的資安邏輯設定原則 SC-7: 機關必須透過實體隔離的網路介面, 針對該機關公開對外可存取的實體隔離與該機關內部網路之間進行實際隔離, 以預防因為對外公開服務的提供而導致該機關內部網路資源被外部非經授權存取的風險 SC-11: 實體隔離必須針對使用者與該機關所定義之資安相關功能之間的存取, 定義與建立一組值得信任的通訊路徑 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 43

44 單向網路閘道可協助台電符合下列法規或指引 -2 國家資通安全技術服務與防護管理實體隔離作業安全防護水準表 SC-7: 實體隔離針對該系統在所屬機關網路外部週邊資安機制與內部該系統本身之間的相關通訊, 必須具備監督與掌控能力 AC-13: 機關必須監督與審查對於實體隔離所實施的存取安控機制所產生的使用稽核紀錄 AC-13: 機關必須採用自動化機制以簡化與便利上述使用稽核紀錄的審查機制台電資通安全作業規範四十二.( 一 ).1.(2): 需要特別保護之設備, 應考量與一般之設備區隔, 安置在獨立之區域四十二.( 三 ).2.(2): 該考量保護網路通信線路之措施, 以防止遭截取或是受到破壞四十二.( 三 ).2.(2): 對於特別敏感性或是特別重要之系統, 應採取額外強化之安全措施 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 44

45 單向網路閘道可協助台電符合下列法規或指引 -3 台電資通安全作業規範二十三.( 一 ).2: 對於跨單位之電腦網路系統, 應特別加強網路安全管理二十三.( 一 ).4.(3): 密切協調電腦及網路管理人員, 確保網路安全措施可以在跨部門之基礎架構上運作二十三.( 三 ).6: 禁止網路使用者在網路上取用未經授權之檔案二十三.( 三 ).10: 網路使用者不得以任何手段蓄意干擾或妨害網路系統之正常運作二十三.( 三 ).11: 公司外部取得授權之電腦主機或網路設備, 與公司內部網路連線作業時, 應確實遵守之網路安全規定及連線作業程序二十三.( 四 ).1: 存放本公司機密性及敏感性資料之網路設備, 除作業系統既有之安全設定外, 應規劃... 防制非法使用者假冒合法使用者身分登入主機進行偷竊破壞等情事二十三.( 五 ).4: 網路系統管理人員應由系統終端機登入防火牆主機, 禁止採取遠端登入方式, 以避免登入資料遭竊取, 危害網路安全 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 45

46 單向網路閘道可協助台電符合下列法規或指引 -4 台電資通安全作業規範二十三.( 五 ).5: 網路系統管理人員應配合公司資通安全政策及規定之更新及網路設備之變動, 隨時檢討及調整防火牆系統之設定及系統存取權限, 以反應最新之狀況二十三.( 五 ).6: 防火牆系統軟體, 應適時更新, 以因應各種網路駭客攻擊二十三.( 七 ).2: 對外開放之資訊, 應針對蓄意破壞者可能以發送作業系統指令, 或傳送大量資料導致系統作業癱瘓等情事, 預作有效之防範, 以免影響網路之服務品質二十三.( 七 ).3: 機密性及敏感性之資料或文件, 不得對外開放二十三.( 七 ).5: 對外開放之網路服務, 應做適當之存取控管, 以維護系統正常運作二十四.( 五 ): 對來路不明之電子郵件, 不宜隨意打開, 以免啟動惡意執行檔, 使網路系統遭到破壞二十五.( 一 ).2: 考量網際網路新技術可能之安全弱點, 並採取適當之防護措施以確保內部網路安全 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 46

47 單向網路閘道可協助台電符合下列法規或指引 -5 台電資通安全作業規範二十五.( 四 ).1: 立即拒絕入侵者任何存取動作, 防止災害繼續擴大二十五.( 四 ).2: 切斷入侵者之連接, 如無法切斷則必須關閉防火牆二十五.( 四 ).3: 全面檢討網路安全措施及修正防火牆之設定, 以防禦類似之入侵與攻擊三十.( 六 ).1: 如有安全顧慮之網路系統, 可考量將使用者電腦系統分開成不同之群組, 以降低可能之安全風險三十.( 六 ).2: 不同領域之網路系統, 每一領域應以特定之安全設施加以保護 ; 例如, 可設置防火牆及網路閘門, 隔開不同之網路系統, 以安全之閘道控制不同領域之網路系統三十.( 七 ).5: 只允許單向之檔案傳輸三十.( 九 ).1: 使用公用或私有網路, 應評估使用該項網路服務之可能風險三十二.( 四 ): 對機密及敏感性之系統, 應考量建置獨立或專屬之電腦作業環境 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 47

48 單向網路閘道可協助台電符合下列法規或指引 -6 台電資通安全作業規範四十三.( 一 ).3.(7): 資訊支援人員或維護服務人員, 只有在被要求或是被授權之情形下, 才能進入管制區域, 並視需要限制 ( 例如限制存取敏感性之資料 ) 及監督其活動 Proprietary Information -- Copyright 2014 by Waterfall Security Solutions 48

epub 61-2

epub 61-2 2 Web Dreamweaver UltraDev Dreamweaver 3 We b We b We Dreamweaver UltraDev We b Dreamweaver UltraDev We b We b 2.1 Web We b We b D r e a m w e a v e r J a v a S c r i p t We b We b 2.1.1 Web We b C C +