Bezpieczeństwo cyfrowych systemów przemysłowych

79

Bezpieczeństwo cybernetyczne oraz otwarte standardy komunikacyjne wprowadzają nową erę dla systemów przemysłowych. Autorem oryginalnego artykułu jest Sam Galpin z firmy Bedrock Automation. Oryginalny tekst można znaleźć pod tym linkiem.
­

Koncepcja „Digital Oil Field”

Producenci ropy naftowej słyszeli o koncepcji „Digital Oil Field” od ponad 20 lat. Zakłada ona syntezę systemów IT oraz OT dla sektora ropy i gazu, w celu zwiększenia efektywności zarządzania tą gałęzią przemysłu. Ideą jest ułatwienie planowania działań podejmowanych w tym sektorze, w oparciu o zwiększenie wydajności w przepływie informacji.

Jednak, aby móc dalej wdrażać tę koncepcję, należało wprowadzić nowe standardy w łączności cyfrowej. Tutaj pojawił się natomiast pewien problem. Niestety, użycie wymaganych standardów może się wiązać ze zwiększoną podatnością na zagrożenia cybernetyczne.

Główni dostawcy technologii operacyjnych (OT) nie wzięli tego pod uwagę w planowaniu architektury dla przyszłych systemów. W konsekwencji, pozostawiło to operatorów i integratorów przed poważnymi rozważaniami. Najważniejszym było to, ile zainwestować we wdrożenie zapór ogniowych i innych rozwiązań, aby chronić starzejące się obecnie urządzenia sterujące. W efekcie, wielu z nich zrezygnowało z korzyści, które niesie Przemysłowy Internet Przedmiotów, czekając na lepsze rozwiązanie.

Niemniej jednak, wraz z postępem techniki, taki stan rzeczy zaczyna się zmieniać. Wreszcie następujące trendy zbiegły się, aby umożliwić wdrożenie rozwiązań takich jak na przykład Digital Oil Field. Tymi nowymi trendami są:

  • Wbudowywanie technologii uwierzytelniania użytkowników i szyfrowania przekazu w urządzenia pracujące w sektorze OT.
  • Pojawienie się nowych standardów oprogramowania komunikacyjnego i integracyjnego. Od teraz możliwe jest wykorzystanie zaawansowanego uwierzytelniania i szyfrowania w celu zabezpieczenia wymiany danych pomiędzy urządzeniami terenowymi.

Bezpieczeństwo systemów zaczyna się w OT

Kluczowa infrastruktura dla przemysłu wydobywczego (choć nie tylko) obejmuje kilka klas urządzeń. Są to między innymi programowalne sterowniki logiczne, RTU, czy rozproszone systemy sterowania. Głównym ich zadaniem jest natomiast automatyzacja pomp sterujących, podnośników pneumatycznych, czy zaworów. W ogólności, sterują one urządzeniami produkcyjnymi wykorzystującymi sygnały z jednostek nadrzędnych.

Naruszenie któregokolwiek z tych komponentów może skutkować ogromnymi stratami w wyniku zaprzestania lub prowadzenia wadliwej produkcji. Do tego dochodzą takie zagadnienia, jak zagrożenia bezpieczeństwa pracowników lub kradzieże własności intelektualnej.

Na świecie istnieją oczywiście rozwiązania zapewniające bezpieczeństwo przesyłu danych przez globalny Internet. Są one szeroko stosowane w sektorach: wojskowym, lotniczym, czy handlowym. Niestety, technologii tych w większości przypadków nie można przenieść do typowych zakładów przemysłowych. Powodem jest to, że przedsiębiorstwa te już wcześniej zainwestowały w technologię, która została zaprojektowana zanim pojawiły się wyzwania związane z bezpieczeństwem cybernetycznym.

Obecnie jednak, coraz częściej obserwuje się wdrażanie pewnych kluczowych punktów zapewniających bezpieczeństwo systemów przemysłowych. Przykładem jest chociażby bezpieczeństwo cybernetyczne oparte na infrastrukturze klucza publicznego (PKI) dla technologi Digital Oil Field.

Wprowadzenie do PKI

W PKI zaufana strona trzecia, znana jako Organ Certyfikujący, przydziela unikalne certyfikaty wszystkim użytkownikom lub urządzeniom, które wymagają dostępu do kluczowych danych. Po skonfigurowaniu, PKI pośredniczy w kontrolowanym dostępie do danych w czasie rzeczywistym.

Zarówno źródła, z których odbierane są wiadomości, jak i miejsca docelowe są uwierzytelniane, a zawartość przekazu jest szyfrowana od początku do końca. Każde urządzenie w systemie staje się odpowiedzialne za własne bezpieczeństwo. Na przykład, informacje zawarte w certyfikatach pozwalają PLC na weryfikację, czy komunikat zmieniający nastawę pochodzi od operatora o odpowiednich uprawnieniach.

Na tym etapie bezpieczeństwo nie zależy już od zapór sieciowych, czy urządzeń filtrujących ruch sieciowy. Te ręcznie konfigurowane zabezpieczenia są łatwym celem dla hakerów. Prawidłowo zaimplementowana kryptografia PKI znacznie wykracza jednak poza możliwości najbardziej zaawansowanych cyberprzestępców (rysunek 1). Zaufanie nie opiera się już na bezpiecznej sieci, ale na bezpiecznych punktach końcowych. Dzięki temu, bezpieczna komunikacja możliwa jest zarówno w zamkniętych sieciach ICS, jak i za pośrednictwem Internetu.

Przykładowa konfiguracja magistrali sterownika PLC od BEDROCK
RYSUNEK 1. PLC z PKI porównywalne z tymi stosowanymi w sektorach wojskowych i lotniczych oraz z zaawansowanymi możliwościami obliczeniowymi sprawiają, że dostęp hakerów do danych procesowych jest znacznie trudniejszy. System Bedrock Open Secure Automation zaprojektowano od podstaw do współpracy z kryptografią PKI.

Zabezpieczanie wymiany danych

Wbudowanie PKI w technologię automatyzacji eliminuje możliwość nieautoryzowanego dostępu do kluczowych informacji. Co więcej, obecność zewnętrznego zaufanego Urzędu Certyfikacji pozwala na bezpieczną wymianę danych w globalnej skali.

Cyfryzacja, analiza Big Data oraz Internet of Things to obecnie wiodące tematy. Podstawowym założeniem jest to, że informacje powinny mieć zawsze możliwość dotarcia tam, gdzie są potrzebne. Na przykład, nie ma potrzeby pokonywania dużych odległości do miejsca odwiertu tylko po to, aby sprawdzić niektóre odczyty. Można to zrobić zdalnie. Dzięki dzisiejszej technologii narzędzia mogą samoistnie raportować o danych produkcyjnych i diagnostycznych. Co więcej, mogą być też sterowane z każdego miejsca na ziemi.

Z punktu widzenia terenowej kadry pracowniczej, oznacza to łatwiejszy nadzór nad podlegającymi jej stacjami produkcyjnymi. Natomiast na poziomie przedsiębiorstwa, możliwa staje się dynamiczna optymalizacja pracy wszystkich zasobów (np. całego pola naftowego). Dzieje się tak dzięki syntezie danych pomiarowych z urządzeń terenowych oraz informacji rynkowych kluczowych w biznesie.

Wdrażanie bezpieczeństwa systemów przemysłowych

Technologia wspomagająca wdrożenia składa się z dwóch części. Po pierwsze, aby dane mogły przepływać wszędzie tam, gdzie są potrzebne, komputery muszą się rozumieć. Tak, jak ludzie komunikują się za pomocą wspólnego języka, tak komputery opierają się na protokołach.

Niektóre protokoły działają jako zastrzeżone (zamknięte), a inne opierają się na otwartych standardach. Używanie otwartych standardów branżowych zmniejsza koszty wdrażania, obsługi i utrzymania systemów automatyki. Co więcej, pozwala jednocześnie na optymalizację wydajności.

Po drugie, „wszędzie nie znaczy gdziekolwiek”. Protokoły muszą być nie tylko otwarte, ale również bezpieczne. Wiodącym standardem bezpiecznej komunikacji jest wzajemne uwierzytelnianie i szyfrowanie oparte na PKI. Gwarantuje ono, że każda wiadomość dla podsłuchującego, który nie posiada odpowiedniego certyfikatu, jest bezużyteczna. Nie będzie on w stanie jej odczytać.

PKI zapewnia także, że informacja przepływa z zamierzonego źródła do zamierzonego odbiorcy. Przy prawidłowym wdrożeniu, kryptografia jest „nie do złamania” bez dostępu do tajnych kluczy. Ochrona tychże kluczy jest natomiast podstawą cyberbezpieczeństwa. Musi być wbudowana.

OPC UA i MQTT

Zarówno Open Platform Communications Unified Architecture (OPC UA), jak i Message Queuing Telemetry Transport (MQTT) są otwartymi protokołami, które upraszczają wymianę danych. Oba protokoły zawierają również opcje dotyczące bezpieczeństwa (stosowania PKI) w swojej specyfikacji.

OPC UA szybko staje się ważnym standardem komunikacyjnym do zarządzania otwartą wymianą danych pomiędzy aplikacjami i urządzeniami wielu dostawców w sieci. Aby uzyskać dostęp do danych, program kliencki OPC UA, na przykład system SCADA, łączy się z serwerami OPC UA. Następnie informacje z tych serwerów są wyświetlane na wielu ekranach HMI lub przekazywane dalej – za pośrednictwem systemu SCADA.

MQTT to globalny standardowy protokół komunikacyjny, zaprojektowany w celu optymalizacji połączeń pomiędzy wieloma punktami końcowymi. Staje się on coraz bardziej pożądany przy podłączaniu inteligentnych urządzeń do aplikacji typu Internet of Things. Zapewnia on wydajną, pod względem przepustowości połączeń w chmurze, komunikację pomiędzy tymi urządzeniami. Przykładem jest architektura pokazana na rysunku 2.

Architektura komunikacji w nowoczesnych systemach przemysłowych.
RYSUNEK 2. Inteligentne urządzenia podłączone do chmury wymagają sprawnej łączności. (Źródło: Bedrock Automation)

Wydajność i bezpieczeństwo

Uzyskanie maksymalnej przepustowości łącza przy przystępnych cenach ma zasadnicze znaczenie, z co najmniej dwóch powodów. Jednym z nich jest to, że przeprowadzenie tak wielu operacji uwierzytelniania i odszyfrowywania w czasie rzeczywistym wymaga większej przepustowości, niż w większości systemów. Szczególnie, gdy komunikacja zachodzi pomiędzy znaczną ilością urządzeń w obrębie jednej sieci.

Po drugie, z bezpieczeństwem na poziomie kontroli i wymiany danych, możliwe jest korzystanie z zalet Big Data, aby w pełni wykorzystać możliwości nowych technologii. Dane produkcyjne odczytywane w czasie rzeczywistym mogą pomóc w efektywniejszym monitorowaniu produkcji. To z kolei prowadzi do bardziej strategicznego zarządzania zasobami oraz wymianą informacji.

Ponieważ urządzenia pracujące w terenie, jak PLC czy RTU wyposażane są w coraz więcej potężnych narzędzi, potrzeba optymalnej wydajności wymiany danych jest coraz bardziej istotna. Duża przepustowość łączy jest niezbędna, aby móc w pełni wykorzystać potencjał, jaki dostarcza dziś wbudowane bezpieczeństwo systemów przemysłowych.

Podsumowanie

Bezpieczeństwo przemysłowych systemów sterowania (ICS) to coraz częściej poruszane zagadnienie. Koncepcja rozwiązań z dziedziny Internet of Things, Przemysłu 4.0, czy Big Data, wymusza na integratorach stosowanie zaawansowanych technologii zabezpieczania przepływu danych. Rozwiązania obecne kiedyś jedynie w infrastrukturze IT, dziś stają się nierozerwalną częścią systemów sektora przemysłowego (OT).

Jeśli chcesz dowiedzieć się więcej na temat cyberbezpieczeństwa systemów sterowania PLC / RTU / DCS, zapoznaj się z innymi artykułami na naszym blogu.

W razie pytań lub chęci otrzymania oferty handlowej, skontaktuj się z nami pod adresem e-mail: sterowniki@elmark.com.pl .

Źródło: Elmark

ZOSTAW ODPOWIEDŹ

Wprowadź swój komentarz!
Wprowadź swoje imię