May Miguel Chavero CISSP #122240

Transcripción

1 May-2011 Miguel Chavero CISSP #122240

2 What is information security? ISO/IEC Information is an asset that, like other important business assets, is essential to an organization s business and consequently needs to be suitably protected. This is especially important in the increasingly interconnected business environment. As a result of this increasing interconnectivity, information is now exposed to a growing number and a wider variety of threats and vulnerabilities. Security is not a product, is a process 2

3 IBERDROLA IBERDROLA & Thermal Stations The Sector The Goal AURA Project Conclusions Q&A 3

4 Installed Capacity Total Production +146% %

5 Hydraulic: 50% Renewable: 3% Nuclear: 20% MW x MW Hydraulic: 23,5% Power Station(coal and fuel): 15% Renewable: 20% Nuclear: 8% Power Station (coal and fuel): 27% Cogeneration: 1,5% Combined Cycles: 31%

6 We lead the construction of combined cycle power plants on Spain Total: MW SANTURCE 400 MW, 109FA CASTEJÓN 400 MW, 109FA Hydraulic: 8839 MW Nuclear: 3344 MW Coal: 1253 MW Fuel Oil: 1803 MW Cogen.: 380 MW Renewable: 4725 MW TARRAGONA POWER 400 MW, 1FA CASTELLÓN A 800 MW, 209FA CASTELLÓN B ARCOS I y II 800 MW, 2X109 FA 800 MW, 209FB ARCOS III 800 MW, 209FB ACECA ESCOMBRERAS 800 MW, 209FB 400 MW, 109FA

7 CHRONOLOGY Joined EPRI Program 86 EIS (Energy Information Security) on AURA project developed on 2005 (CyberSecurity Assesment on CCGT s). PERIN project (Internal Perimeter Security) developed on 2006 in España y Brasil NELIB CyberSecurity group created on UNE training courses. AENOR auditor certified. CISSP (Certified Information System Security Professional). CyberSecurity Plan developed and approved. PowerSec EPRI project(cybersecurity Benchmarking) on AURA.XXXX projects started on More than 5 years working on CyberSecurity!!

8 La Laguna 500 MW Monterrey III 1000 MW Jun 02 Tamazunchale 1000 MW Junio 07 Altamira III y IV 1000 MW Altamira V Nov MW Jun 06 CT Pasajes 200 MW Jun 09 CT Velilla 400 MW Jun 09 Aceca MW Jun 05 Termopernambuco 500 MW Feb 04 CT Lada 400 MW Jun 09 Arcos 1 y MW Dic 04 Arcos MW Jun 05 EW Vitoria, Aranda, Valladolid 150 MW Jul 10 EW Cartagena 150 MW Jul 10 Santurce MW Ene 05 Escombreras MW Nov 06 Castejón MW Abr 03 Castellón MW Sep 02 CN Cofrentes MW Sep 10 CC Riga 400 MW Tarragona Power 400 MW Ene 04 Castellón MW Dic 07

9

10 CONTEXT OUR SECTOR -After 11-S, USA Homeland Security raised. -Since > MANDATORY standards (CIP ). - Since > Nuclear CyberSecurity Standards. - Since > SmartGrid Standards (NISTIR 7628 Vol 1-3) - 1M USD / day penalties!! -Europe is on-hold. UK leading standar process. - Spanish Critical Infraestructure Protection law released April On 2-3 years, probably European standars will come Our sector will introduce CyberSecutiry Standards on a short period of time!!

11 Inserción Código Malicioso por la CIA en URS (1982) Hacking en operadora telecomunicaciones USA (1997) Empleado Interno en planta de agua Australia (2001) Virus en Central Nuclear USA (2003) 11

12 NRC Order EA , Interim Safeguards and Security Compensatory Measures for Nuclear Power Plants in February 2002 NRC Order EA , Design Basis Threat for Radiological Sabotage, was released in April 2003 NUREG/CR-6847, Cyber Security Self-Assessment Method for U.S. Nuclear Power Plants NEI Rev. 1, Cyber Security Program for Power Reactors (November 2005) NEI Cyber Security Plan for Nuclear Power Reactors, Rev 6. Regulatory Guide (RG) Rev. 2, Criteria for Use of Computers in Safety Systems of Nuclear Power Plants. Branch Technical Position (BTP) 7-14 Rev. 5, Guidance on Software Reviews for Digital Computer-Based Instrumentation and Control Systems. 12

13 Awaiting release: 10 CFR 73.54, Protection of Digital Computer and Communication Systems and Networks. Draft Regulatory Guide DG-5022 Cyber Security Programs for Nuclear Facilities CyberSecurity is knocking on the door!! 13

14 D N B T P W V ADH Contramedidas Punto Acceso #2: NINGUNA GT ST UDH/ ArcNet GE Atlanta OSM HMI HMI PDH Contramedidas Punto Acceso #6: NINGUNA WAN DCG PDA VIB PI AW AW NODE BUS RTU Router Contramedidas Punto Acceso #3: NINGUNA IT-MONITOR Contramedidas Punto Acceso #1: Firewall s WAN IBERDROLA INTERNET Otras Redes Contramedidas Punto Acceso #5: VPN s CP CP CP PLC CEMS PC-PLC PC-PLC MEDIOAMBIENTE Fabricante Contramedidas Punto Acceso #4: NINGUNA Casetas Gobierno Host

15

16 To perform a risk assesment on CCGT s network and control systems to develop a Cybersecurity Improvement Plan Impact on your assets RISKS! Consecuences on your process ACTIONS! 16

17 ISO Standars ISO Catalogue of 133 security controls ISO ISMS Information Security Management System (ISO27xxx) ISO Guidelines on tools and techniques for hazard identification and risk assessment NERC: Critical Infrastructure Protection CIP security controls Physical and Cyber Alarm at YELLOW level since 2004 (ES-ISAC) CEE: European Program for Critical Infrastructure Protection EPCIP Policy CIWIN Critical Infrastructure Warning Information Network EPRI: EIS Program 86: Energy Information Security. EPRI PowerSec Initiative: Cyber Security Vulnerability Assesment SANS Training courses,scada Security meetings and others 17

18 Risk Level Action 6 Required 8 threats generating the most important risks Amenaza Máx de Riesgo Suma de Riesgo Introduction of Damaging or Disruptive Software Communications Manipulation Masquerading of User Identity by Outsiders 6 81 Terrorism 6 77 Masquerading of User Identity by Insiders 6 61 Water Damage 6 58 User Error 6 40 Wilful Damage by Outsiders

19 TECHNOLOGICAL PROJECTS FROM AURA ASSESMENT AURA.PERIN Año: 2006, 2007 y Objeto: Securización perimetral redes de control y del CMDS. Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: Firewall 1 con appliances Nokia (en redundancia). Suministrador principal: SATEC. Previsión 2009: Instalación en Centrales Térmicas Carbón (CT Lada, CT Velilla y CT Pasajes). INSTALADO. Previsión 2010: Instalación en Cogeneración de Cartagena. AURA.DETIN Año: Objeto: Detección de intrusión en redes de control y del CMDS. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Tecnología empleada: NIDS y HIDS. Suministrador principal: Industrial Defender Inc. Previsión 2009: Conexión con Consola Central Corporativa (ArcSight). REALIZADO. Previsión 2010: Ajustar y depurar sistema de reporting de eventos. AURA.ARMIA Año: Objeto: Suministro armarios ignífugos. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Tecnología empleada: Armarios antimagnéticos e ignífugos. Suministrador principal: PROFINSA. Previsión 2009: Proyecto CERRADO.

20 TECHNOLOGICAL PROJECTS FROM AURA ASSESMENT AURA.SECAR Año: Objeto: Securización acceso remoto a redes de control y del CMDS con doble factor (RSA). Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: Llaves RSA OTP (On-Time Password). Suministrador principal: SATEC. Previsión 2009: Despliegue a todas las centrales (actualmente sólo dos centros en marcha). CERRADO. Previsión 2010: Incluir a las Centrales Térmicas de Carbón (CT Lada, CT Velilla y CT Pasajes). AURA.ENCRIPTA Año: Objeto: Encriptación comunicaciones entre ciclos combinados y el CMDS. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Tecnología empleada: IPSec con VPN Network-to-Network. Suministrador principal: SATEC Previsión 2009: Proyecto CERRADO (se incluyeron las centrales térmicas de carbón). AURA.CABSE Año: Objeto: Protección física cableado de red en sistemas críticos de proceso. Alcance: Todos los Ciclos Combinados de España. Tecnología empleada: Capuchones con llave en cableado RJ-45. Suministrador principal: CIVERA TECNOLOGICA. Previsión 2009: Proyecto CERRADO.

21 TECHNOLOGICAL PROJECTS FROM AURA ASSESMENT AURA.LABCON Año: 2008 y Objeto: Implantación laboratorio control DCS y Control Turbina. Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: Cabinas DCS y Mark VI TMR. Suministrador principal: INVENSYS y GENERAL ELECTRIC. Previsión 2009: Instalación Mark VI TMR. REALIZADO. Previsión 2010: Instalación PCS-7 SIEMENS. AURA.NETMON Año: 2008 y Objeto: Monitorización redes y sistemas de control y del CMDS. Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: IT Monitor de OSI Soft Inc. Suministrador principal: CIVERA TECNOLOGICA S.L. Previsión 2009: Finalizar proyecto. CERRADO (se incluyeron las centrales térmicas). AURA.ANVIR Año: 2008 y Objeto: Automatización ficheros distribución de firmas de antivirus en estaciones DCs y HMI s. Alcance: Todos los Ciclos Combinados de España y Brasil. Tecnología empleada: FTP seguro. Suministrador principal: CIVERA TECNOLOGICA. Previsión 2010: Distribución fichero en HMI s de GENERAL ELECTRIC.

22 TECHNOLOGICAL PROJECTS FROM AURA ASSESMENT AURA.BACON Año: 2008 y Objeto: Implantación sistema gestión identidades. Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: Cyber-Ark. Suministrador principal: E-ONE SECURITY. Previsión 2009: Implantación proyecto. IMPLANTADO (Ver RT AURA.DIALUP Año: Objeto: Securización acceso dial-up Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: En estudio. Suministrador principal: N/A. Previsión 2010: Migrar los accesos remotos de los sistemas medioambientales a FTP + Control PERIN

23 TECHNOLOGICAL PROJECTS RELATED UPGRADE DCS Año: 2008 y Objeto: Upgrade del HW/SW de las estaciones del DCS. Alcance: Todos los Ciclos Combinados de España. Tecnología empleada: -. Suministrador principal: INVENSYS. Previsión 2009: Implantación en sites pendientes. REALIZADO. MANTENIMIENTO RUTINA HMI s Año: 2008 y Objeto: Implantación herramientas mantenimiento rutina en HMI s (backup s, antivirus, upgrades, IDS, etc ). Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: -. Suministrador principal: GENERAL ELECTRIC. Previsión 2009: Implantación en sites pendientes. REALIZADO. GERES Año: 2007 y Objeto: Conexión High Speed securizada con General Electric para prestación Remote Services. Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS. Tecnología empleada: VPN Network-to-Network. Suministrador principal: GENERAL ELECTRIC. Previsión 2009: Proyecto CERRADO.

24 MANAGEMENT PROJECTS FROM AURA ASSESMENT AURA.ANVUL Año: Objeto: Análisis de vulnerabilidades (Hacking ético) Alcance: Todos los Ciclos Combinados de España, Brasil, Letonia y el CMDS (análisis realizado en CICAS y CMDS). Suministrador principal: Industrial Defender Inc. AURA.DOCU Año: Objeto: Documentación unificada de redes de control de ciclos combinados y del CMDS. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Suministrador principal: CIVERA TECNOLOGICA. AURA.DAPLI Año: Objeto: Documentación de aplicaciones y flujos de datos. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Suministrador principal: CIVERA TECNOLOGICA. AURA.c-FoxSec y AURA.c-MarkSec Año: Objeto: Creación grupos de trabajo de ciberseguridad con suministradores principales del sistema de control. Alcance: Todos los Ciclos Combinados de España, Brasil y el CMDS. Suministrador principal: INVENSYS y GENERAL ELECTRIC.

25 MANAGEMENT PROJECTS RELATED GESTIÓN PARCHES EN DCS Año: Objeto: Procedimiento para la gestión de parches de sistema operativo en el DCS. Alcance: Todos los Ciclos Combinados de España. GESTIÓN CLAVES EN SISTEMA DE CONTROL Año: Objeto: Procedimiento para la gestión de contraseñas en equipos críticos. Alcance: Todos los Ciclos Combinados de España. CALCO Año: 2007 y Objeto: Automatización de la generación de los lógicos de control del DCS. Alcance: Todos los Ciclos Combinados de España. Suministrador principal: CONTROMATION.

26 MANAGEMENT PROJECTS RELATED GESTIÓN PARCHES EN DCS Año: Objeto: Procedimiento para la gestión de parches de sistema operativo en el DCS. Alcance: Todos los Ciclos Combinados de España. GESTIÓN CLAVES EN SISTEMA DE CONTROL Año: Objeto: Procedimiento para la gestión de contraseñas en equipos críticos. Alcance: Todos los Ciclos Combinados de España. CALCO Año: 2007 y Objeto: Automatización de la generación de los lógicos de control del DCS. Alcance: Todos los Ciclos Combinados de España. Suministrador principal: CONTROMATION.

27 D N B T P W V ADH Contramedidas Punto Acceso #2: NINGUNA GT ST UDH/ ArcNet GE Atlanta OSM HMI HMI PDH Contramedidas Punto Acceso #6: NINGUNA WAN DCG PDA VIB PI AW AW NODE BUS RTU Router Contramedidas Punto Acceso #3: NINGUNA IT-MONITOR Contramedidas Punto Acceso #1: Firewall s WAN IBERDROLA INTERNET Otras Redes Contramedidas Punto Acceso #5: VPN s CP CP CP PLC CEMS PC-PLC PC-PLC MEDIOAMBIENTE Fabricante Contramedidas Punto Acceso #4: NINGUNA Casetas Gobierno Host

28 D N B T P W V AURA.ANVIR AURA.CABSE AURA.NETMON ADH Contramedidas Punto Acceso #2: Migrar a conexión Red a Red GT ST UDH/ ArcNet GERES-RT134 OSM HMI HMI PDH Contramedidas Punto Acceso #6: A estudiar PDTE. WAN DCG PDA VIB PI AW AW NODE BUS RTU Router? Fabricante IT-MONITOR Contramedidas Punto Acceso #1: Firewall s + Doble Factor + WAN Encriptación + IBERDROLA Detección Intrusión Host Contramedidas INTERNET Punto Acceso #5: VPN s + Doble Factor Otras Redes CP CP AURA.PERIN AURA.DETIN AURA.SECAR/GESUR AURA.ENCRIPTA AURA.SECAR/GESUR CP PLC CEMS PC-PLC PC-PLC RAS AURA.DIALUP Casetas Gobierno MEDIOAMBIENTE Contramedidas Punto Acceso #3 y #4: RAS con CHAP

29 DCS MKVI de GE Turbogrup DCS I/A Invensys BOP & Boiler PLC S7400 Siemens Real Sensors LAB Field Points - National Instruments Real PROCESS (Combined Cycels, Coal, Cogen, etc) LAB PC with Models using Labview 29

30 NI models + PC LabView with Models PC I/O marshalling Invensys FBM 200 Cards 30

31 MARS Monitorizacion Avanzada de Redes y Sistemas (Note: Nothing to do with Cisco MARS)

32 What is MARS? A hollistic approach to Security Monitoring and Response Why MARS? Because threats are complex, resources are scarce, and response time is critical How is MARS different from standard approaches? We use both the standard and the most advanced Security Strategies and Technologies and highly integrate and automate them so they can work together efficiently

33 MARS makes use of: Availability Monitoring NIDS - Network Based Intrusion Detection Advanced Network Traffic Monitoring & Analysis Honeypots SIEM: Log Aggregation, Correlation, Alerting, Reporting & Data Mining Incident Response & Forensic Capabilities

34 MARS adds a layer of integration and automation: Technology Integration Process Coordination Automated Investigation of Alerts Advanced Detection and Response Process Automation Automated and Integrated Reporting (real time/daily/weekly)

35 Take your time!!!. Holistic approach is required. Focus on your risks!!!. Each business is different. You have to assume some risks (vendor restrictions) Recovery Disaster procedures very important (be ready for the impact). Forensics tools and procedures. Testing facilities is a must. There is not a super product. Integration is required. Working close to your control system vendors Open Source helps do not miss it!!!.

36 Thank you!! Miguel Chavero CISSP #122240