Sécurisation d un site nucléaire

Transcription

1 Sécurisation d un site nucléaire Club automation 03 décembre 2013 Application du concept de défense en profondeur Laurent RAILLIER

2 Un site nucléaire existant Base installée Schneider Electric importante Plus de 1000 automates programmables Plus d un millier de switchs Architecture SCADA client/serveur de plus variables Distribution électrique Besoin de sécurisation du système de contrôle commande Suite aux cyber attaques de type Stuxnet Exigence gouvernementale de sécurité Schneider Electric retenu car Concepteur du réseau existant Fournisseur de 99% des dispositifs connectés Bonne connaissance du métier client 2

3 Quelques exemples d attaques 2007 : réseau électrique d Espirito Santo 2009 : coupure géante au Brésil 2008 : ensemble de infrastructures de la Géorgie 2011 : usines d armement Lockheed Martin 3

4 Pourquoi les systèmes industriels sont-ils vulnérables? Connexion des réseaux industriels sur les réseaux d entreprise ouverts sur l extérieur. Systèmes d exploitation propriétaires Maintenance complexe OU Systèmes standardisés Plus exposés Utilisation de protocoles de communication propriétaires Faible prise en compte «historique» de la cybersécurité par les industriels: Mots de passe usine non modifiés, ports de communication ouverts, pas de gestion sécurisée des utilisateurs, politique de cybersécurité inexistante 4

5 Spécificités du contexte industriel / IT Contextes différents IT Automation IT Priorités différentes Automation Pas de risque de perte humaine Transactions des infos «lente» Durée de vie courte Sécurité! Faibles temps de réponses Durée de vie longue Confidentialité Intégrité Priorité Disponibilité Intégrité Maintenance à la volée Maintenance périodiques Disponibilité Confidentialité Jargon informatique Jargon industrie Normes domaine IT (ISO ) Normes industrie 5

6 Architecture originelle du réseau de l usine Architecture à plat, un seul plan d adressage IP pour tous les équipements (switchs, API, serveurs, IHM) Réseau Backbone Anneau 2 Anneau 3 Anneau n Anneau 1 Cahier des charges client : Séparer les réseaux pour maîtriser les flux Analyser les flux circulant sur le réseau Filtrer (détection de flux suspect et bloquer) 6

7 Méthodologie du projet de cybersécurité L approche «Defense in Depth» (DiD) Prestations réalisées par Schneider Electric Dans le cycle de vie de ce projet 7

8 Architecture finale: flux routés et filtrés Gestion du routage de Vlan Routeur Fw Routeur Fw Approche DiD Switch Réseau Backbone Switch Anneau 2 VLAN A 2 Anneau 3 VLAN A 3 Anneau n VLAN A 4 Anneau 1 VLAN S 1 Performance maintenue Disponibilité (domaines de broadcast, redondance) Temps de réponses des API Fluidité conservée de la supervision 8

9 Mise en œuvre Durcissement du matériel - Politique de changement des mots de passe - Désactivation des ports inutilisés (telnet, http, ftp) - Mise en place de bouchons sur les ports inutilisés RJ45, USB Approche DiD Engagement de non dégradation des performances - tests plateforme - Administration du réseau - Tests de charges selon RFC2544, tests de basculement 9

10 Maintenance Approche DiD Patch management veille tests sur plateforme équivalente au système de production validation avant déploiement des patchs Mise à jour des versions (Hard & Soft) Mises à jour des accès, gestion des utilisateurs active directory Maintien des compétences Formation des acteurs aux principes de cybersécurité Monitoring (En cours d étude) Capacité dédiée aux systèmes d automatisme intégrité des applicatifs et des OS surveillance des charges CPU surveillances des statistiques réseaux Surveillances des tentatives de connexion 10

11 Conclusion Obligation aux industriels de respecter les exigences règlementaires Législation, directives, Loi de programmation militaire Comment adresser le contexte industriel Bonne connaissance des technologies d automatisme Durcissement du matériel Mises à jour des OS Equipes d experts Formation des équipes (méthode Ebios, SANS) Montée en compétence des équipes sur projets Connaissance des métiers industriels Garanties de fonctionnement / de performances Partenariats avec les experts sécurité IT Outils déployés par Schneider Electric Intégration de la cybersécurité dans les nouvelles offres (Achilles N2) Publication des failles de sécurité, des correctifs et des recommandations Guide de déploiement (livre blanc, architectures TVD, STN) Offres de services et de formation en cybersécurité 11

12 Merci Questions