Industrial Firewalls. Rene Graf LANLine Tech Forum: Industrial Ethernet (Stuttgart, )

Transkript

1 Industrial Firewalls Rene Graf LANLine Tech Forum: Industrial Ethernet (Stuttgart, )

2 Ihr Referent: Rene Graf Seit 2005 Senior Security ERNW GmbH Audits, Penetration Testing, Reviews Trainings Security Management Secure Coding *NIX based Systems Webapplication Security Research 2

3 ERNW GmbH Heidelberg based security consulting and assessment company with currently 18 employees (as of may 2010). Independent Deep technical knowledge Structured (assessment) approach Business reasonable recommendations We understand corporate Blog: Conference:

4 Agenda Definitionen Warum Industrial Firewalls Anforderungen Auswahl-Kriterien Probleme in der Praxis Weitere Szenarien Fazit 4

5 Arbeits-Definitionen Industrial Firewall (Produktions-Firewall) Security Device, dass einzelnes Produktions-System schützt Ggf. auch kleinen logischen Verbund aus Systemen / Komponenten Produktions-System Produktionsanlagen / Maschinen / Roboter diverser Hersteller, meist bestehend aus Anlage Steuerungsrechner (Mess-) Datenerfassung Ggf. auch ähnliche Autonome Systeme, wie Telefonanlagen, etc. 5

6 Warum Industrial Firewalls Welche Risiken / Bedrohungen sollen damit adressiert werden? Was soll geschützt werden? Das Konzernnetzwerk vor den Maschinen Die Maschinen vor der großen bösen Welt Lässt sich dies beherrschen? 6

7 Typische Ausgangssituation Steuerungs-PCs werden als Einheit zusammen mit der Produktionsanlage vom Hersteller geliefert und,... Können nicht regulär gepatcht werden. Es darf keine AntiVirus Lösung installiert werden. Es darf keine Desktop-Firewall installiert werden.... ohne, dass das SLA für die gesamte Anlage verloren geht Diese Dinge werden jedoch i.d.r von der IT-Sicherheits-Richtlinie gefordert und sind auch für den sicheren Betrieb von IT-Systemen erforderlich. 7

8 Typische Ausgangssituation Die daraus resultierende Situation hinsichtlich der Sicherheit von Produktions-Systemen wird auch immer wieder im Zuge von Penetrationstest bestätigt Gravierende Sicherheitslücken / Leicht zu übernehmende Systeme Anfällig für kursierende Viren und Würmer Beheben der Sicherheitslücken direkt am System nicht Herstellerkonform Häufig auch Systeme im Einsatz, für die es seitens des Betriebssystemherstellers keine Updates mehr gibt. Windows NT bald auch Windows

9 Typische Ausgangssituation Folglich muss eine andere Lösung gefunden werden, um... Die (Steuerungs-) PCs / Anlagen angemessen zu schützen (und somit die Produktion selbst) Die Anlagen konform zu den IT-Sicherheits-Richtlinien zu betreiben (Stichwort: Compliance) Das SLA des Herstellers für die gesamte Produktionsanlage nicht zu verlieren Ansatz: Stelle ein filterndes Device direkt vor die Anlagen / Steuerungs-PCs Industrial Firewalls - Vorstellen der Schutzmaßnahmen 9

10 Typische Ausgangssituation Produktions-Systeme werden in die klassischen Konzern Netzwerken integriert, um... Resourcen einzusparen (Clients, Netwerkkomponenten, Serversysteme,...) eine flexiblere Nutzung der Systeme zu ermöglichen Steuerung, Datentransfer, Auswertungen, Überwachung,... Integration mit vorhandenen IT-Systemen Fernzugriff zu vereinfachen Fernsteuerung durch Produktionspersonal, Ingenieure,... Ablösung von Modemverbindungen für Wartungen durch Hersteller 10

11 Gängige Funktionen Firewall / Filter Funktionalität Kontrolle von Kommunikationsbeziehungen Anti Virus Erkennung von Malware (z.b. in Datei Übertragungen) IDS / IDP Erkennen von Angriffen VPN (Server / Client) Fernzugriff 11

12 Gängige Architekturen Variante 1: Ein einzelner PC Variante 2: Mehrere PCs/Anlagen Industrial Firewalls Erfahrungsbericht 10/11/10 12

13 Architektur: Layer2 & Layer3 Layer2: Corporate Network erstreckt sich bis zu den zu schützenden PCs. Die Firewall ist transparent Layer 3: Hinter der Firewall, ist ein unbekanntes Netz, das nicht zum Corporate Netzwerk gehört. Die Firewall routed Pakete bzw. führt eine NAT durch. Industrial Firewalls Erfahrungsbericht 10/11/10 13

14 Parteien mit unterschiedlichen Anforderungen Security Business Hersteller IT-Betrieb 14

15 Business Anforderungen Verfügbarkeit / Anlagen müssen laufen Produktion darf nicht maßgeblich durch Industrial Firewalls beeinträchtigt werden Möglichst geringe Kosten Einmalaufwendungen Operativer Aufwand (IT,...) Minimales Business-Risiko 15

16 Security Anforderungen Schutz der Produktions-Systeme Vor Gefahren aus dem Konzern Netzwerk Schutz des Konzern Netzwerks Integration der Produktions-Systeme darf Konzernnetzwerk nicht gefährden Richtlinienkonformer Betrieb (Compliance) Betrieb gemäß IT-Sicherheits-Richtlinie 16

17 Betriebliche Anforderungen Skalierbare Lösung Zukünftige Erweiterungen (z.b. VPN,...) sollten realisierbar sein Ggf. große und kleine Versionen Betreibbarkeit Lösung sollte mit angemessenem Aufwand zu betreiben sein Zentrales Management!!! Provisioning Support 17

18 Hersteller Anforderungen Keine Änderungen an Produktions-Systemen Da sonst SLA erlischt Keine Beeinträchtigung der Kommunikation mit erforderlichen Komponenten Zur Anlage gehörende & externe (Auswertung,...) Fernwartung muss möglich sein Da ggf. Bedingung für SLA 18

19 Auswahl-Kriterien (Technisch) Firewall Funktionalität Template basierte Konfiguration Modus (Layer2, Layer3) Antivirus Funktionalität Ggf. Port-Protokoll spezifische Behandlungseinstellungen IDS / IDP Signaturbasierte Erkennung von Angriffen VPN Funktionalität Je nach Einsatzszenarien (Fernzugriff) ggf. erforderlich 19

20 Auswahl-Kriterien (Technisch) Management der Komponenten (einzeln) SSH und oder HTTPS Zugang, falls zentrales Management (sofern vorhanden) ausgefallen. Überwachung / Monitoring Zeitsynchronisation Syslog / ggf. SNMP Fail-Open Stichwort: Produktion muss laufen 20

21 Auswahl-Kriterien (Technisch) Zentrales Management!!! Security Policies ( Firewall Regeln ) Software / Firmware Upgrades Device Konfiguration (Syslog, NTP,...) Zentrale AV-Signatur-Updates Zentrale IDS-Signatur-Updates Einzelne & Gruppenbasierte Konfiguration Ggf. Rollenbasiertes Berechtigungskonzept zum Management (Read-Only Accounts, Eingeschränkte Accounts,..) und/oder Integration in bestehende Authentifizierungs-Backends. 21

22 Auswahl-Kriterien (Technisch) Provisioning / Rollout Template-basierte Vorkonfiguration (z.b. Copy & Paste in Konsole o.ä.) Unterstützung für DHCP & feste IP Adressen Learning Mode Flexibilität Ggf. verschiedene Varianten (Portdichte) Ggf. verschiedene Bauformen (Hutschienen-Version,...) 22

23 Typische Probleme in der Praxis Dezentrale Firewalls bringen nicht unerhebliche organisatorische Schwierigkeiten mit sich... Es folgen einige Beispiele, die in der Praxis immer wieder bei derartigen Kunden-Projekten auftreten. Provisionierung Wartung / Recovery Betrieb / Regelsatz 23

24 Organisatorisch: Provisionierung Die Schritte sind: Zentral vorkonfigurieren Versenden Einbauen in Betrieb nehmen Das ist langwierig & fehleranfällig. Häufig wenig/keine Information über Netzwerkumgebung vor Ort (Produktionsstandorte, keine IT-Standorte). Häufig kein Fachpersonal vor Ort. Industrial Firewalls Erfahrungsbericht 10/11/10 24

25 Organisatorisch: Maintenance Austausch von defekter Hardware: Zentral vorkonfigurieren Versenden Einbauen in Betrieb nehmen Die selben Probleme wie bei der Provisionierung Industrial Firewalls Erfahrungsbericht 10/11/10 25

26 Organisatorisch: Regelsatz/Betrieb Der Regelsatz auf den Geräten ist recht statisch - im Vergleich zu anderen Firewalls (< 1 Änderung/Monat) Problem: initialer Regelsatz : versuchen Sie mal von einem Produktions-Menschen eine Beschreibung der benötigten Protokolle zu bekommen viel Erfolg! Der klassische erstmal-alles-verbieten-ansatz funktioniert nicht die Produktion muss laufen. Ansätze (beide langwierig & fehleranfällig): Automatic Learning Mode : Firewall loggt alle Pakete, aus den geloggten Paketen können vom Administrator Regeln erstellt werden [als Funktion der Gerätesoftware] Manual Learning Mode : Der Administrator konfiguriert eine permit any any log -Regel und erstellt aus der Logdatei manuell Regeln. Industrial Firewalls Erfahrungsbericht 10/11/10 26

27 Die Konsequenz Betriebsprozesse müssen sorgfältig geplant werden Betriebliche Möglichkeiten (Fachpersonal) müssen je Standort geprüft und ggf. angepasst werden. Ggf. Kandidat für Outsourcing? Provisioning, Betrieb, Maintenance ( Rundum sorglos Paket ) Industrial Firewalls Erfahrungsbericht 10/11/10 27

28 Bisheriges Szenario Produzierendes Unternehmen integriert Produktions- Anlagen in Konzernnetzwerk und will / muss diese schützen. Betrieb von Industrial Firewalls durch Unternehmen selbst oder durch Partner (Outsourcing). Es sind jedoch durchaus noch weitere Einsatzszenarien in der Praxis vorzufinden. Industrial Firewalls Erfahrungsbericht 10/11/10 28

29 Fernwartung durch Hersteller Anlagenhersteller verbaut / integriert Industrial Firewalls mit VPN Funktion Gehört zur Produktionsanlage Ermöglicht Fernwartungszugang durch Hersteller bei Problemen / Turnusmäßiger Wartung (anstelle Wählverbindung) Schützt ebenfalls Anlage Industrial Firewalls Erfahrungsbericht 10/11/10 29

30 Fernwartung durch Hersteller Neuer Einsatzzweck, Neue Probleme ;-) Politische Konfliktsituation Sowie Kunde als auch Anlagenhersteller wollen Ihre Lösung einsetzen Typischer Fernwartungszugang Wird durch Kunden bereitgestellt / betrieben, nicht durch Hersteller VPN Einwahl (z.b. mit Token) für Wartungsfälle (vgl. andere IT Bereiche) hier nicht möglich (Hersteller müsste ggf. tausende verschiedener Fernzugänge zu Kundennetzen verwalten ) Industrial Firewalls Erfahrungsbericht 10/11/10 30

31 Fernwartung durch Hersteller Problematik Fernzugang erfordert Kommunikation durch das Kundennetzwerk Ggf. Verschlüsselt (hier: nicht kontrollierbar) Ggf. sogar eingehend zur Anlage Zumindest ausgehend (Wartungszugang wird von Anlage initiiert) Industrial Firewalls Erfahrungsbericht 10/11/10 31

32 Fazit Industrial Firewalls können einen echten Zugewinn an Sicherheit bringen, sofern sie sinnvoll eingesetzt werden. Außerdem bieten Industrial Firewalls die Möglichkeit, Produktions-Systeme policy-konform in das Konzernnetzwerk zu integrieren. Industrial Firewalls Erfahrungsbericht 10/11/10 32

33 Danke Danke für Ihre Aufmerksamkeit. Fragen? Und Antworten ERNW GmbH. Breslauer Str. 28. D Heidelberg. 10/11/10 33

34 TROOPERS ERNW GmbH. Breslauer Str. 28. D Heidelberg. Abonnieren Sie den Newsletter auf und treffen Sie Experten aus der ganzen Welt auf der TROOPERS11 in Heidelberg.