2010-02-19 Energibranschens Informations- & IT-säkerhetsgrupp Riktlinjer för teknisk kommunikation Inledning Denna beskrivning av trender inom informations- och IT-säkerhet bygger på officiella myndigheters information såsom, SITIC veckobrev och rapporter, säkerhetsrelaterad press, informationsmaterial från säkerhetsföretag samt rapporter från KTH, FOI och krisberedskapsmyndigheten. Informationssäkerhetsområdets komplexitet och omfattning Informationssystemen blir allt mer komplexa och beroende av varandra, både inom och mellan olika verksamheter och organisationer. Det tydligaste exemplet, enligt KBM, är det ömsesidiga beroendet mellan el-, tele-, och IT-systemen, där ett avbrott i ett av systemen får återverkningar i de andra. Den samhällsviktiga informations- infrastrukturen är samtidigt en delmängd av övrig samhällsviktig teknisk infrastruktur och påverkar alla sektorer i samhället. Process/industriell IT (SCADA-system) För att förstå problematiken kring säkerhetsaspekter hos SCADAsystem i den kritiska infrastrukturen krävs en förståelse för hur dessa verksamheter och system har utvecklats historiskt: I System för ren datainsamling och fjärrstyrning (från 1930- talet till 1980-talet) II System med processmodeller för avancerade applikationer (till 1990-talets mitt) III Öppna, integrerade system med koppling till omvärlden (dagens system). Skydd mot intrång i SCADA-system och illvilliga försök att skada systemen, eller skydd mot angripare som via SCA- DA-systemen försöker manipulera den underliggande kritiska processen, har helt eller delvis saknats. 100219 Teknisk kommunikation v1.1.doc 1 (11)
Sammanfattningsvis har det inte varit säkerhet som varit drivkraften för utvecklingen av SCADA-system. Det har snarare varit behovet av utökad funktion samt en allmän prispress som har dominerat utvecklingen. (Källa: KTH, FOI och KBM, Antagonistiska hot mot SCADAsystem i samhällsviktiga verksamheter) Definitioner Med begreppet information menas här styr- och reglersignaler för produktion och överföring av el, gas och värme, larm & larmöverföring, inställningar av reläskydd mm. Olika grader av kontroll över kommunikationslösningen Grovt förenklat kan man säga att det finns tre olika kontrollnivåer, egen kontroll, kontrollpåverkan via kontrakt och ingen kontroll. Dessa har vi då benämnt Äga, Hyra och Internet för enkelhetens skull. Äga Hyra Internet En ägd och helt kontrollerad förbindelse, t.ex eget fibernät. En förbindelse som ägs och underhålls av en tredje part vilken man har nyttjandekontrakt med. Ägaren ska ha full kontroll över hela förbindelsen vilket utesluter förbindelser över Internet. En publik förbindelse utan utpekad ägare. Risker Hoten mot verksamheten tillsammans med säkerhetshål ökar verksamhetens sårbarhet. En risk existerar även om ingen har lyckats identifiera den, och konsekvensen av risken beror inte på om den har bedömts viktig eller inte. Det är bara de åtgärder som vidtagits för att komma till rätta med risken förebyggande eller skadereducerande som motverkar att den blir ett problem. Oavsett hur risken en gång bedömts kan den ändra sin betydelse allt eftersom tiden går. Det medför också att riskanalysen som arbetssätt inte är en engångsföreteelse utan en cyklisk process som helst bör återkomma minst en gång per år eller när förändringar sker i processer eller på andra sätt. Åtgärderna reducerar riskerna och motverkar hoten. En mycket viktig del inom riskanalysområdet är att balansera kostnaden för åtgärderna mot de risker som finns. Ett skydd eller en åtgärd mot en viss risk ska alltså inte vara starkare än nödvändigt, men inte heller kosta för mycket i förhållande till vad skadan hade kostat om den faktiskt inträffat. Om verksamheten vill förenkla och standardisera besluten som måste fattas i samband med riskanalysen kan olika typer av beslutsmatriser byggas upp. Nedan 100219 Teknisk kommunikation v1.1.doc 2 (11)
följer ett exempel på hur en sådan matris skulle kunna vara uppbyggd. Riktighet Skydd av information så att den är och förblir korrekt och fullständig. Det som är väsentligt för denna typ av information är att den inte förvanskas i kommunikationsledet. Tillgänglighet Säkerställande av att information är tillgänglig när den behövs. Process/Industri IT är tidskritisk information. Administrativ IT är traditionellt inte lika kritisk när man talar om tillgänglighet. Allmänna råd och tips Syftet med råd och tips är att EBITS vill belysa problemområden i samband med olika kommunikationsalternativ. Ge hjälp att välja rätt leverantör av kommunikationslösningar och hjälp att ställa rätt frågor och krav. Koppla inte ihop processnät med administrativt nät utan att använda en FW (brandvägg) och ett DMZ (avlämningsnät). Se till att ha redundanta förbindelser hela vägen samt nyttja oberoende reservkraft. Säkerställ att de redundanta förbindelserna inte går i samma fysiska utrustning. Välj gärna förbindelser med olika media. Övrigt Frågor kan ställas till EBITS via e-post ebits-box@svenskenergi.se 100219 Teknisk kommunikation v1.1.doc 3 (11)
Media och kommunikationsteknik Dedikerade förbindelser Hyra/äga o Äga o Hyra Plus Garanterat endast egen trafik på förbindelsen. Ägaren kan sätta exakt önskad säkerhetsnivå, alltså krav på tillgänglighet, riktighet och sekretess. Minus Dyrt, då man måste investera i hårdvara, övervakning och driftsorganisation. Måste ha egen eller inhyrd kompetens. Det egna nätet är kanske inte byggt med tillräcklig redundans. Att blanda trafik från produktions, administrativa, privata eller publika nät. Att alla noder på nätet inte är fysiskt och logiskt säkrade. Betänk att man blir en ISP (Internet Service Provider) om man kopplar in privata och/eller publika nät i sitt bredband. Se till att tillgänglighet och redundans byggs in i nätet från första början. Behöver man utnyttja nätet för annan trafik måste det separeras logiskt mha t.ex. VPN-teknik. Placera bredbandsnoder i fysiskt säkrade utrymmen. Plus Låg investerings- och etableringskostnad. Möjlighet att avtala om kapacitet, tillgänglighet och kvalitet. Möjlighet att ta reda på och avtala om vilken väg kommunikationen faktiskt tar. Minus Kostnad för hyra av förbindelsen. Högre kostnad för en dedikerad förbindelse än då flera kunder använder samma förbindelse. Det är svårt att skriva ett tillräckligt specificerat avtal avseende kapacitet, tillgänglighet och kvalitet. 100219 Teknisk kommunikation v1.1.doc 4 (11)
Det största problemet är att veta vilken faktisk väg informationen egentligen tar. Bredbandsleverantörer äger inte alltid egna förbindelser (s.k. svartfiber) utan hyr in sig på andra leverantörers fibrer. Detta kan resultera i att om du beställer två redundanta förbindelser av olika leverantörer så kan du ändå få trafiken i samma fysiska fiber eller kabel. Du kan lösa redundansen antingen genom att se till att dina leverantörer har egen fiber eller använda ett annat media som alternativ. Kontrollera med jämna mellanrum att redundansen fungerar, se till att detta finns med i avtalet. Olika tekniker o Bredband Trådbundet Benämningen bredband associeras med hög överföringskapacitet, och bredbandsnät blir då en benämning på höghastighetsanslutningar till datornätverk. Bredband är en fast uppkoppling oavsett om det är trådbundet eller ej, d v s den som använder bredband är hela tiden uppkopplad. Detta i kontrast till modem där uppkoppling sker när samtalet till ett annat modem kopplats fram. Dels kan ett bredbandsnät vara byggt dedikerat för datakommunikation t.ex. fiber eller så utnyttjar man en befintlig ledning för el, tele eller kabel-tv, t.ex. ADSL i telenätet. MPLS Multi Protocol Label Switching (MPLS) är en teknik för att prioritera data i datanät och garantera en viss kvalitet. Detta är alltså en teknik för att operatörerna ska kunna optimera sitt nät och styra trafiken. Observera att MPLS inte innebär att informationen är skyddad för obehörig insyn då förbindelsen inte är krypterad. Även om leverantören påstår att MPLS använder sig av VPN-teknik så är det inte en krypterad tunnel utan informationen får endast en etikett. Du har ingen kontroll på var din information skickas och den kan passera andra länder innan den når dig. 100219 Teknisk kommunikation v1.1.doc 5 (11)
Tillgängligheten är en avtalsfråga och operatören kan även garantera en viss bandbredd. Dock måste man för att skydda sin information kryptera informationen i ett MPLSnät. T.ex. kan man använda riktig VPN-teknik, för vidare information angående VPN-teknik se EBITS dokument Säkerhetsfrågor för VPN-trafik. BF Bärfrekvens och PLC Power Line Communication BF och PLC är tekniker för att använda befintliga elledningar för datakommunikation. Ur ett tillgänglighetsperspektiv är detta inte en tillförlitlig teknik. Tekniken är känslig för högfrekventa störningar exempelvis så kan hissar, magnetfällt störa datakommunikationen. Dataöverföringskapaciteten är relativt sett låg jämförbart med andra tekniker. Det kan finnas externa störningskällor som man inte har kontroll över vilket kan försvåra installation och konfiguration. Den här tekniken används främst när inget annat alternativ är tillgängligt eller som ett reservalternativ till ordinarie förbindelse. Används t.ex. för kommunikation till elmätare. Telefonmodem Ett modem är en hårdvaruprodukt som används för att ansluta digital utrustning till en analog förbindelse, till exempel radio, telefonnätet eller kabel-tv-nätet. Normalt används ordet modem för utrustning avsedd för telefonnätet, övriga modem bruka benämnas efter användningsområde eller teknik, till exempel radiomodem, kabelmodem eller ADSL-modem. Inom energibranschen används modem ofta som serviceingång till olika system och funktioner samt som reserv för fjärrkontrollkommunikation till anläggningar. Till att börja med så går trafiken över det publika telenätet vilket gör att avlyssning och avtappning är enkelt. Modem har ett vanligt telefonnummer som genom skanning av telenätet enkelt kan hittas av obehöriga. Detta gör det möjligt att obehörig kan störa ut kommunikationen på olika sätt. Om modemet är påslaget är det även möjligt för obehöriga att ansluta till systemet i anläggningen. 100219 Teknisk kommunikation v1.1.doc 6 (11)
Försök att använda ett annat kommunikationsalternativ, men om du måste så gör enligt följande: Se till att modemet är avstängt när det inte används. Antingen stänger man av modemet fysisk på plats eller använder sig av tidur för strömförsörjningen alternativt via fjärrstyrning. Konfigurera modemet så att det endast svarar på förkonfigurerade telefonnummer. Se till att man måste logga in på modemet innan förbindelsen till systemet öppnas. Observera att avlyssningsrisken inte går att åtgärda med kryptering på grund av den begränsade kapaciteten. o Bredband Trådlöst Trådlösa bredband använder sig av radiovågor i stället för dragna kablar. Detta används främst inom begränsade geografiska områden. Trådlösa bredband är t.ex. WLAN, 3G/GPRS och WIMAX. WLAN / Wimax Wireless Local Area Network, vilket är ett lokalt nätverk som bygger på trådlös överföring av nätverkssignaler. Används vanligast i administrativa nät och har en begränsad räckvidd, rundstrålande, typ Hotspots. För vidare information ang WLAN se EBITS dokument Trådlös kommunikation. Default installeras ett WLAN utan kryptering, detta innebär att alla som har en trådlös mottagare kan koppla in sig på nätet. De största riskerna är avlyssning, obehörigt intrång, manipulering av information samt störning. Många har uppfattningen att ett WLAN är säkert på grund av den begränsade räckvidden. Man måste beakta att signalen kan fångas upp av obehöriga flera kilometer från sändaren med en enkel antenn oavsett vilken sändareffekt man använder. Det är enkelt att både avsiktligt och oavsiktligt störa ut WLAN-kommunikationen. WLAN är inte lämpligt att använda för styrning och övervakning av anläggningar. Om man ändå tänker använda sig av WLAN ska man veta att tillgängligheten aldrig kan garanteras och att konfigurering av WLAN bör ske enligt EBITS rekommendationer avseende WLAN. Extra externa skyddsåtgärder krävs utöver det som levereras med tradi- 100219 Teknisk kommunikation v1.1.doc 7 (11)
tionell WLAN utrustning. Observera att kryptering alltid ska ske. Radiolänk Radiolänk består av riktade radiosignaler som med hjälp av mottagaren och sändaren utgör ett trådlöst överföringsmedium, som är ett bra komplement till exempel optisk fiber. Den vanligaste utformningen av radiolänkens mottagare och sändare är som parabolantenner placerade i master eller hus. Radiolänkarna använder vanligtvis mikrovågor och måste därför ha fri sikt mellan de två antennerna. Radiolänk syftar ofta på ett arrangemang som överför information i båda riktningarna. För en sådan krävs två sändare och två mottagare men de är normalt sammanbyggda i en enhet. Det finns även rundstrålande sändare. Radiokommunikation är lätt att avlyssna och radiovågornas utbredning är omöjlig att begränsa. Viss störningskänslighet föreligger, dock inte så känsligt som WLAN. Utrustningen som sådan är iögonfallande vilket kan öka risken för sabotage eller skadegörelse. Däremot är radiokommunikation väderkänsligt, vilket innebär att vissa vädertyper som snö, dimma och regn kan påverka förbindelsen negativt. Känslig information måste skyddas med kryptering. Är det en verksamhetskritisk förbindelse bör man överväga valet av denna kommunikationsform på grund av den stora risken för sabotage och/eller skadegörelse. Om denna lösning är den enda valmöjligheten säkerställ det fysiska skyddet för utrustningen. Utrustningens väderkänslighet bör vidare beaktas. Satellitkommunikation Kommunikation via satellit är att överföra signaler för telekommunikation mellan stationer på marken, via en kommunikationssatellit. Dessa satelliter används för många kommunikationstjänster av många olika kunder. Såväl television som telefoni utnyttjar satellitkommunikation. Inom energibranschen används satellitkommunikation för styrning och övervakning av anläggningar. Det finns flera sätt att göra detta på. Det kan ske från egen utrustning i övervakningsobjektet och övervakningscentralen sända och ta emot signalen eller 100219 Teknisk kommunikation v1.1.doc 8 (11)
att ha egen utrustning endast i den ena änden och via satellit motta/sända signalen över annat publikt media. Kommunikationssatelliterna används även av elbranschen för telefonkommunikation. Man blir mycket beroende av att satelliten fungerar. Avbrotten kan bli mycket långa om fel uppstår i satelliten. Det är mycket lätt att kommunikationen störs och samtidigt är det svårt att skydda själva markantennerna. Kommunikationen kan avlyssnas och störas av obehöriga. Använder man kommunikation över annat publikt media måste säkerhetsriskerna i dessa media även beaktas. Ta hänsyn till och ha beredskap för att hantera ovanstående risker. Driften av anläggningen ska inte vara helt beroende av att satelliten fungerar, utan använd även annan förbindelse för redundant kommunikation. I viss terräng kan det tyvärr vara det enda möjliga alternativet. 3G GPRS NMT.net Dessa är plattformar för datanätverkstjänster i mobila nätverk. GPRS, 3G och NMT.net innebär att man kan överföra data till mobiltelefoner (och andra handhållna apparater) och att telefonen kan vara ständigt uppkopplad mot Internet. Eftersom informationen skickas i "paket" när den behövs, precis som på Internet, behöver man inte hålla en linje öppen. Man kan istället vara uppkopplad hela tiden och betala för överförd datamängd, det vill säga för det antal datapaket som sänts. Störningar i de olika näten kan innebära att tillgängligheten minskar eller helt uteblir hos den kontrakterade operatören. Signalen i sig kan lokalt lätt störas med enkla medel. En utbredd missuppfattning är att kommunikationen alltid är krypterad i denna typ av nät, så är inte alltid fallet. Operatören kan välja att stänga av krypteringsfunktionen bl.a. på grund av driftsrelaterade skäl utan att användaren får vetskap om det. Krypteringsnyckeln bestäms av operatören och trafiken kan också avlyssnas av densamme. Krypteringen är inte av samma kvalitet som man normalt använder vid datakryptering, dessutom krypteras inte trafiken hela vägen. 100219 Teknisk kommunikation v1.1.doc 9 (11)
Tillgänglighetsproblematiken bör beaktas vid användning för att styra och övervaka anläggningar. Man måste använda egen kryptering för att säkra kommunikationen. Tänk på att operatörer inte alltid äger sina egna nät utan köper kapacitet av varandra, därför är det olämpligt att som redundans för en kommunikationslösning välja en motsvarande tekniklösning hos en annan operatör. Mobitex Mobitex är system för trådlös mobil dataöverföring av text. Inom Energibranschen används Mobitex för trådlös övervakning och styrning av teknisk utrustning som elmätare, larm och processutrustning. Ytterligare ett användningsområde är mobila larmlösningar för personsäkerhet. Till 99 % överensstämmer funktionalitet etc. med övriga luftburna system, kvarstående % är försvarsmaktsunikt, kryptering, färdiga mallar och statusrapportering (sjuktransportfunktion). I Sverige ägs Mobitexnätet av ett privat företag. Samma riskbild som för 3G - GPRS - NMT.net Samma råd och tips som för 3G - GPRS - NMT.net Publikt Internet Internet Globalt publikt datanät som saknar skydd för information. Det finns ingen legal ägare till Internet, vilket omöjliggör varje form av utfästelse och garantier avseende tillgänglighet, riktighet och sekretess. Plus Minimal investeringskostnad och snabb etablering. Många leverantörer som säljer anslutningar till Internet Minus Det finns ingen motpart att skriva avtal för kapacitet, tillgänglighet och kvalitet med för Internet, endast för anslutningspunkten. Detta gör att ingen garanti finns för att din kommunikationsförbindelse fungerar efter anslutningspunkten. Ingen vetskap om vilken väg kommunikationen faktiskt tar. 100219 Teknisk kommunikation v1.1.doc 10 (11)
Här finns alla risker du kan tänka dig. Hotbilden drabbar alla som är anslutna till Internet, t.ex. spam, virus, överbelastningsattacker. Attacker behöver inte vara riktad mot dig som företag utan du drabbas av allmänna attacker och problem på Internet vilket gör att din riskbild blir mycket större än med andra media. Använd INTE detta för kommunikation till, från och inom processnät. Om du accepterar den större risken eller blir tvungen att använda dig av Internet ska du använda dig av VPN för att kommunicera i en krypterad tunnel. Avtals omfattning Anslutnings punkter Avtals omfattning Internet INGET AVTAL!! Referensdokument För mer information se vidare i nedanstående EBITS-dokument: Samtrafik i gemensam utrustning (under framtagning) Kommunikation inne i station (under framtagning) Standarder och kommunikationsprotokoll (under framtagning) 100219 Teknisk kommunikation v1.1.doc 11 (11)