Eine starke Verbindung für ein Höchstmaß an Sicherheit und Leistung für Ihre Leitstellen IT- Systeme. SECURITY NETZWERK VIRTUALISIERUNG SERVICE

Transkript

1 Eine starke Verbindung für ein Höchstmaß an Sicherheit und Leistung für Ihre Leitstellen IT- Systeme. SECURITY NETZWERK VIRTUALISIERUNG SERVICE

2 16. VDE- ARBEITSKREIS- SYMPOSIUM NETZLEITTECHNIK Markus Keller Walter Brodmann Phalanx- IT GmbH SECURITY NETZWERK VIRTUALISIERUNG SERVICE

3 Agenda IT- Security in der Netzleitstelle Überblick und GefahrenpotenWal Umstellung in der Fernwirktechnik Schutz des Netzwerks an der Perimetergrenze - VPN Infrastruktur - unsicheres Netzwerk - Schutz der LAN Struktur durch die NAC Lösung Macmon SECURITY NETZWERK VIRTUALISIERUNG SERVICE

4 SCADA = Supervisory Control and Data Acquisition Unter Überwachung, Steuerung, Datenerfassung (ÜSE), oft englisch Supervisory Control and Data Acquisition (SCADA), wird das Konzept zur Überwachung und Steuerung technischer Prozesse verstanden. 4

5 Fakten Vor wenigen Jahren ganz einfach: Unerwünschte Eindringlinge aus dem Netzwerk fernhalten und die kritischen Ressourcen schützen Heute zusätzlich: Verfügbarkeit der kritischen Kommunikation und effizientem Management komplexer Umgebungen Schutz vor unerwünschten Zugriffen im internen Leitstellen-Netzwerk 5

6 Stuxnet eine neue Qualität der Bedrohung Erster Wurm der gezielt auf SCADA-Systeme abzielt Weapons-grade Hat die Fähigkeit industrielle Prozesse zu verändern Definitiv APT 6

7 IT-Security Heute IT- Security Anforderungen in Netzleitsystem- Netzwerken (SCADA) Fakten im Jahr 2013 Netzwerk Design Anbindung von EnergiestaWonen micels neuer Technologien DSL, GSM Technologien VPN SECURITY NETZWERK VIRTUALISIERUNG SERVICE

8 Basic SCADA Communication Topolgy Leitstellen-Energienetze - Umstellung der Fernwirktechnik von veralteten Fernwirkverbindungen hin zu TCP/IP Verbindungen ( VPN ) 8

9 9 Leitstellen-Netzwerk Heute

10 SECURITY NETZWERK VIRTUALISIERUNG SERVICE

11 unsicheres Netzwerk IT- Security bei der Thüga Energienetze GmbH Umstellung in der Fernwirktechnik - VPN Infrastruktur - unsicheres Netzwerk - Macmon bei der Thüga SECURITY NETZWERK VIRTUALISIERUNG SERVICE

12 - SECURITY NETZWERK VIRTUALISIERUNG SERVICE

13 macmon secure gmbh Deutscher Hersteller der technologieführenden NAC- Lösung macmon erfahrenes Team von 20 Mitarbeitern verteilt auf Entwicklung, Support und Beratung Entwicklung von Sicherheitstechnologien und -Standards Kooperation mit Forschungsinstituten und Hochschulen Erfahrung aus der Umsetzung von NAC-Projekten mit mehr als 350 Kunden Kooperationen mit weiteren führenden Herstellern von Sicherheitstechnologien

14 Sie wissen bereits, was NAC bedeutet! ein alter Hut, der nie richtig passte, oder ein unverzichtbarer Sicherheitsbaustein, der einem nebenbei das Leben erleichtert? Zielsetzung NAC: Im Netzwerk betriebene Geräte haben Zugriff auf LAN-Ressourcen, ü wenn sie für diese zugelassen sind ü wenn sie den gültigen Sicherheitsstandards genügen NAC Compliance

15 Network Access Control - NAC Warum sollten Sie NAC einsetzen? Compliance-Anforderungen durch Standards Bundesdatenschutzgesetz (BDSG) Sarbanes-Oxley Act EuroSox (EU Directive No. 8 ) Basel II KonTraG MaRisk Umsetzung BSI IT- Grundschutz- Kataloge Genehmigungsverfahren für IT- Komponenten (Maßnahme 2.216): Die InstallaWon und Benutzung nicht freigegebener IT- Komponenten muss verboten und die Einhaltung dieses Verbotes regelmäßig kontrolliert werden. ISO IT Sicherheitsstandard gemäß IEC 27001/ Equipment idenwficawon in networks AutomaWc equipment idenwficawon should be considered as a means to authenwcate connecwons from specific locawons and Equipment

16 Sie wissen bereits, warum Sie NAC einsetzen sollten! Wissen Sie auch sicher... welche Systeme in Ihrem Leitstellen- Netzwerk sind? dass alle Geräte in Ihrem Netz auch von Ihnen sind? dass niemand das Fernwirkprotokoll IEC 104 mithört? dass alle Ihre Geräte geschützt sind und keines davon ein Einfallstor darstellt? SECURITY NETZWERK VIRTUALISIERUNG SERVICE

17 SpionageakWvitäten, die so nicht passiert wären Schon fast amüsant: WLAN in Tupperdose außerhalb des Gebäudes nicht erkannt jahrelang Getauschte Drucker angeblicher Servicepartner Drucker mit Festplace getauscht Abzüge von allem was gedruckt wurde über macmon sofort als Device sichtbar über macmon als neue MAC ersichtlich und geblockt

18 Network Access Control - NAC Warum also wird NAC so wenig genutzt? aufwendige Veränderungen der Infrastruktur hohe InvesWWonskosten hoher Pflegeaufwand geringer bzw. schwer festzustellender Mehrwert komplexe ThemaWk hoher Schulungsaufwand Gefahr, falsche bzw. zugelassene Systeme aussperren

19 - Macmon Funktionsweise Neue Geräte, die ans Netz angeschlossen werden, erkennt und lokalisiert macmon sofort. Sollte das Gerät unbekannt sein, alarmiert macmon und leitet bei entsprechender Konfiguration automatisch Gegenmaßnahmen ein, die von der E- Mail an den Administrator bis zur Sperrung des benutzten Switch-Ports reichen. macmon funktioniert herstellerunabhängig mit minimalem administrativen Aufwand. Durch die Nutzung der universellen SNMP/Telnet/ SSH-Protokolle ist macmon mit nahezu jedem Switch- Hersteller und Modell kompatibel und kann sofort in Ihrer Netzwerkumgebung eingesetzt werden. SECURITY NETZWERK VIRTUALISIERUNG SERVICE

20 - Macmon SECURITY NETZWERK VIRTUALISIERUNG SERVICE

21 Macmon LAN Remote macmon läuft auf einem zentralen Server keine Agenten oder Sensoren erforderlich keine Veränderungen der Netzwerkstruktur Außenstellen werden mit überwacht herstellerunabhängig modular von MAC-Authentifizierung bis zum Hardwarezertifikat (TPM-Chip) SECURITY NETZWERK VIRTUALISIERUNG SERVICE

22 Kundenbeispiele - Behörden Landesrechnungshof Brandenburg Landratsamt Bodenseekreis Generalstaats- anwaltschan Landesgewerbe- anstalt Bayern WichIge Faktoren klare Anforderungen des BSI sind zu erfüllen aus der Verarbeitung sensibler, op personenbezogener Daten resulwert ein besonders hoher Schutzbedarf die Live- Überwachung erleichtert die Kontrolle und Steuerung in weit gefächerten OrganisaWonsstrukturen, auch weltweit macmon ermöglicht die AdministraWon mit wenig Personalkapazität

23 SECURITY NETZWERK VIRTUALISIERUNG SERVICE

24 Markus Keller Walter Brodmann Phalanx- IT GmbH Im Zukunpspark Heilbronn markus.keller@phalanx- it.de Tel / SECURITY NETZWERK VIRTUALISIERUNG SERVICE

25 SECURITY NETZWERK VIRTUALISIERUNG SERCE

26 Anhang: - Kundenbeispiele - Technischer Anhang - Erläuterungen zu 802.1X SECURITY NETZWERK VIRTUALISIERUNG SERVICE

27 Kundenbeispiele Landratsamt Bodenseekreis Landesrechnungshof Brandenburg Medizinische Hochschule Helios Kliniken Hannover Generalstaats- anwaltschan Landesgewerbe- anstalt Bayern LaGeSo

28 macmon NAC - Schutz vor Fremdgeräten LAN Remote macmon läuft auf einem zentralen Server keine Agenten oder Sensoren erforderlich keine Veränderungen der Netzwerkstruktur Außenstellen werden mit überwacht herstellerunabhängig modular von MAC-Authentifizierung bis zum Hardwarezertifikat (TPM-Chip)

29 macmon NAC intelligent einfach LAN Volle Übersicht & Voller Durchgriff! Erstellen einer Referenzliste nur noch bekannte Geräte im LAN Kommunikation mit allen Switchen Unbekannte Geräte sperren / Gäste-LAN eigene Geräte ins hinterlegte VLAN einfache GUI Intelligenz im Hintergrund Zeiteinsparungen durch Automatismen Angriffsabwehr & Netzwerktransparenz

30 macmon NAC - MAC- AuthenWfizierung Gerätelokalisierung am Switch- Port SNMP oder Telnet/ SSH LAN Remote Schutz vor Fremdgeräten Erkennung und Lokalisierung von unautorisierten Geräten Erkennung von Veränderungen und Umzügen Live-Bestandsmanagement

31 macmon NAC - ReakWonen Regelbasiertes Eventmanagement LAN Remote Flexible Reaktionen nach konfigurierbaren Regeln Meldungen an Administratoren und Helpdesk Sperren des Zugangs zum Netz Zeitliche, räumliche und logische Bedingungen möglich Quarantäne-, Remediation- und Besuchernetzwerke Script Kommandos an andere Systeme

32 macmon advanced security IP- Adress- auflösung über ARP Netzwerk- dienste DNS und DHCP LAN Erweiterte Endgeräte- IdenIfizierung Remote Schutz vor Angriffen Adress-Fälschung Angriffe auf Switches ARP-Spoofing Footprinting

33 macmon vlan manager Dynamische VLANs MAC ab VLAN 99 Besucher MAC ab Das VLAN wird durch das Endgerät beswmmt (MAC- Adresse º VLAN- ID). Die Anwender haben immer den richtigen Zugang zum Netz, unabhängig vom physischen Anschluss. VLAN 1 Verwaltung VLAN 2 ProdukWon MAC ab Einfache Pflege, keine Nachkonfigurationen bei Umzügen oder mobilen Nutzern. Kein Switch-Knowhow bei den für die Pflege eingesetzten Mitarbeitern notwendig.

34 macmon IEEE 802.1X SNMP RADIUS EAP/ 802.1X LAN 802.1X Switch führt Autorisierung über Radius- Protokoll durch. - RADIUS CredenWals (ZerWfikat) oder Username/ Passwort in macmon - MAB (MAC AuthenWcaWon Bypass) Unterstützung Die VLAN- Steuerung erfolgt über macmon! Fehlversuche erzeugen ein Ereignis!

35 macmon 802.1X IEEE 802.1X mit und durch macmon macmon ist die Lösung für alle Hindernisse bei Nutzung des Standards: Nutzung eines offenen Standards kombiniert mit Best PracWce Möglichkeit des gemischten Betriebes mit und ohne 802.1X Geräteortung durch KommunikaWon mit den Switches Eventmanagement Hohe Verfügbarkeit durch Cluster und/oder MAC- AuthenWfizierung als Fallback Einfach in der ImplemenWerung und im Betrieb Nutzung des (dynamischen) VLAN- Managements mit Gruppenzuordnung Erweiterung durch Nutzung eines Hardware- ZerWfikates (TPM- Chip)