Sicurezza informatica degli impianti di generazione elettrica: l'esperienza ENEL e il Laboratorio Cybersecurity SCADA Luca Guidi ENEL SpA Divisione Ingegneria.

Presentazione sul tema: "Sicurezza informatica degli impianti di generazione elettrica: l'esperienza ENEL e il Laboratorio Cybersecurity SCADA Luca Guidi ENEL SpA Divisione Ingegneria."— Transcript della presentazione:

1 Sicurezza informatica degli impianti di generazione elettrica: l'esperienza ENEL e il Laboratorio Cybersecurity SCADA Luca Guidi ENEL SpA Divisione Ingegneria e Innovazione Area Tecnica Ricerca Roma, 9 Luglio 2009

2 Sistema Elettrico italiano
GENERAZIONE (molti produttori) Qualche migliaio di impianti di generazione (1000 termo+2000 idro) Capacità installata: MWe. Disponibile alla punta: MWe TRASMISSIONE (Terna) km di linee ad altissima ( kV) e alta tensione ( kV). 18 linee di interconnessione con l’estero DISTRIBUZIONE (Un solo distributore per Comune; dati ENEL ) Media Tensione 2.000 Cabine Primarie (AT/MT) con capacità di MVA km di linee Bassa Tensione Cabine Secondarie (MT/BT) con capacità di MVA km di linee 30 milioni di contatori elettronici

3 DIAGRAMMA DI CARICO Dicembre 2007
x MW Idro Termoelettrico Import Acqua fluente + rinnovabili

4 L’equilibrio della rete
C’è una importante differenza tra la rete elettrica e quelle gas/acqua: nella prima non c’è ACCUMULO. La rete deve essere bilanciata: produzione e carichi devono essere globalmente uguali, istante per istante. L’equilibrio della rete è demandato ai grandi impianti dispacciabili (> 10 MWe) Il giorno prima viene definito il Piano Vincolato di produzione (GME); il giorno stesso vengono inviati gli Ordini di Bilanciamento per variazioni note in anticipo. La regolazione in tempo reale, richiesta da improvvisi e imprevedibili sbilanciamenti, è a carico in prima istanza del servizio di Riserva Primaria degli impianti (power/frequency control). Un eccesso di generazione o di carico causa variazioni rapide di frequenza; automaticamente gli squilibri sono bilanciati con un rapidissimo decremento o incremento di potenza generata. I servizi di Riserva Secondaria o Terziaria consentono un ritorno all’equilibrio con dinamica più lenta

5 Fabbisogno riserva secondaria
La Riserva Riserva primaria (tutte le unità, almeno ±1,5% in 30 s); automatismo in impianto Riserva secondaria (±6% in 200 s, ±15% per idro); richiesta automatica GME Riserva terziaria (“pronta” entro 15 minuti; “fredda” entro 60 minuti); richiesta GME Fabbisogno riserva secondaria (MW) se C= MW => Rsecondaria = 500 MW se C= MW => Rsecondaria = 417 MW

6 Variazione di frequenza di rete per scatto
Fonte: TERNA S.p.A.

7 Transitorio di regolazione frequenza/potenza
Fonte: TERNA S.p.A.

8 Alcuni eventi che hanno suscitato allarme
Blackout Italia di Domenica 28 Settembre 2003 Mancano oltre MW, oltre agli impianti di generazione italiani che sono scattati. Il carico richiesto era di circa MW Carichi interrompibili 3.500 MW da pompaggio 1.000 MW utenza interrompibile 1.000 MW “alleggeritori di carico” per utenza diffusa Può un albero che cade in Svizzera mettere al buio l’Italia intera? Blackout “USA NordEst-Canada” del 14 Agosto 2003 Errore di misura sulla rete, scatto impianto, contatto albero con linee 45+10 milioni di utenti interessati (anche in questo caso un albero … ) Blackout Europa centrale e Italia Nord, 4 Novembre 2006 Due linee ad alta tensione, da Volt, in Germania, il cui cedimento ha provocato, con un effetto domino, uno squilibrio generale di produzione di elettricità in Europa Il blackout ha riguardato 10 milioni di cittadini in numerosi paesi, tra i quali Francia, Germania, Italia, Olanda, Portogallo, Spagna, Belgio e Austria

9 Il nuovo contesto per l’Automazione
Evoluzione del Sistema di Automazione in Centrale, basato su elaboratori tradizionali (PC): modulare, distribuito, integrato. Sala Manovra informatizzata Anche sul fronte del “campo” uso di dispositivi “intelligenti” e segnali digitali (Bus di Campo) Eliminazione del dualismo SRC (Regolazione e Controllo) - SdS (Supervisione). Ora SCP (Sistema di Controllo Principale) che integra le parti regolazione, controllo e supervisione. Possibilità di implementare funzioni evolute (di automazione e diagnostica) a livello utente A sua volta, la rete di processo si integra nella Intranet aziendale e con i sistemi gestionali Centrali sempre più informatizzate e sempre più integrate nella “Corporate Network”

10 Una vecchia Sala Manovra

11 Il nuovo Sistema Sala Manovra

12 Fine anni ’90: la diffusione dati d’impianto
Integrare le reti di processo delle Centrali Termoelettriche nella Intranet Aziendale Rendere visibili, dagli uffici e da remoto, i dati di esercizio in tempo reale, organizzati e personalizzati per diverse categorie di utenti Sviluppare applicazioni speciali per monitoraggio e diagnostica. Proteggere i Sistemi Digitali di Processo (Regolazione, Supervisione, Monitoraggio e Diagnostica) da intrusioni non desiderate Proteggere i dati “sensibili” di ENEL Produzione Garantire il corretto funzionamento dei SDP, supportando i protocolli esistenti (SCC) e gestendo la transizione verso i nuovi (OPC)

13 Architettura Sistema Diffusione Dati d’Impianto
INTRANET Router Wind Firewall Hub Data Server Server WWW SDP1 SDP2 SDP3 PC Rete di Processo Rete Demilitarizzata Rete degli Uffici

14 Architettura del nuovo Sistema di Monitoraggio e Diagnostica

15 Pericoli in aumento Cambia la natura delle minacce
Cyber attacks, virus Furto d’identità: frodi ai consumatori (casi di phishing) Crimine organizzato: carte di credito (miliardi di Euro) Source: CERT/CC CERT(1) ha stimato che almeno l’80% degli incidenti non viene riportato per vari motivi, tra cui: l’organizzazione non è in grado di riconoscere che il proprio sistema è stato violato l’organizzazione è riluttante ad ammetterlo

16 Dal 2001 shift verso le cause esterne.
Prima e dopo il 2000 Minacce interne: accidentali vendette di dipendenti Solo il 30% cause esterne Dal 2001 shift verso le cause esterne.

17 Sorgenti di attacchi/incidenti
La Business network (Intranet) è la prima fonte di incidenti Anche l’accesso diretto è importante Internet è la prima fonte di incidenti Numerose altre modalità

18 Diminuisce il know-how richiesto per gli attacchi
Source: PlantData Technologies

19 Criticità delle reti di processo e degli SCADA in ENEL
Interconnessione tra le reti di processo delle Centrali e l’Intranet Aziendale, a sua volta connessa a Internet Continua evoluzione delle connessioni, sia hardware che software Dimensioni e complessità della rete ENEL Uso di diverse tecnologie Diffusione dei sistemi Microsoft Windows per l’automazione e controllo Inizialmente, assenza di antivirus sui sistemi SCADA Prevedibile diffusione di connessioni wireless Presenza di connessioni modem Carenza di stringenti procedure di security negli impianti …….

20 Cybersecurity SCADA in ENEL
Obiettivo: Proteggere i Sistemi di Automazione e Controllo degli impianti di produzione da attacchi informatici. Modello di gestione rischi operativi Protezione delle infrastrutture critiche nella lotta contro il terrorismo Direttiva EPCIP COM (2004) 702 Attività di ENEL–Ricerca, ICT e SECURITY Individuazione di nuove tecnologie volte a incrementare la sicurezza della infrastruttura dedicata all’automazione degli impianti di generazione Realizzazione del Laboratorio di Cybersecurity CA- ESCORT (Coordinating Action coordinata da CEN)

21 Interesse per l’ENEL L’obiettivo dell’EPCIP non è quello di “proteggere” le Aziende da possibili danni economici dovuti ad attacchi esterni, bensì quello di proteggere la comunità dalle conseguenze catastrofiche di tali attacchi. Tuttavia è sicuro che vi saranno obblighi stringenti per le Aziende. In questo contesto risulta di importanza strategica la partecipazione attiva all’EPCIP fin dalle fasi preliminari al fine di: conoscere in anticipo le direttive in modo da essere già conformi alle stesse all’entrata in vigore della normativa indirizzare la normativa europea per coprire tutte le aree di interesse per ENEL Uno scatto di un impianto a carbone può comportare perdite economiche dell’ordine del M€!! Non c’è un simile “business case” per un attacco alla rete Business/Office

22 Visione SCADA/Process cybersecurity
La cybersecurity e la certificazione degli SCADA è necessaria (ruolo fornitori) ma non sufficiente Lo SCADA è un pezzo del mosaico La Rete di Processo è il nostro target. In un impianto a carbone ci sono più di 50 sistemi SCADA (un solo Sistema di Controllo Principale che integra tutto). Integrazione, connessione con la Intranet (Business/Office), direct dial-up, altro E’ necessaria una visione globale del “sistema” che vogliamo proteggere. Il fine ultimo: non vogliamo uno SCADA “sicuro”; vogliamo un processo “sicuro”. Aggiornamento e costi operativi continui Questo “processo” richiede una organizzazione dedicata all’interno dell’Azienda: molte competenze, diversi punti di vista (tradeoff?) da gestire con una visione unitaria e con un forte commitment dal vertice aziendale

23 La Ricerca in ENEL Pisa Marghera Livorno Sesta S. Gilla Brindisi
Catania Livorno S. Gilla Marghera

24 Modellistica matematica Stazioni sperimentali
L’approccio della Ricerca Modellistica matematica Analisi Sviluppo Dimostrazione Applicazione Laboratori Stazioni sperimentali Prototipi Sperimentazione

25 Metodologia JRC (17799/CC) Assessment Data Sources Corporate
Assets Vulnerabilities Threats Loss Attacks Corporate Security Policy (7799) Target / Protection Profile (CC) Security Failures Assessment System Architecture Security Objectives & Requirements Procurement Preliminary design & requirements Service contracts (QoS), Insurance [1] IEC TR “Power system control and associated communications – Data and communication security” IEC TC57 (WG15) Technical Report, First edition [2] “Guide to ISO/BS Risk assessment and risk management”, BSI, PD 3002:2002. [3] Common Criteria for Information Technology Security Evaluation. CC version 2.1, August 1999 (aligned with ISO 15408:1999). Common Criteria project Sponsoring Organisations.

26 La Ricerca in ENEL: l’Area di Livorno
16000 m2 12 operatori 18 impianti sperimentali spesa annua 1,3 M€

27 Rete Dati e Telecontrollo
Il punto di partenza: infrastruttura tipica di centrale Diffusione dati aziendali via WEB RAS/VPN accessi ext Antivirus GRTN SCP Rete Dati e Telecontrollo FIREWALL Rete Intranet ENEL Rete Dati operativi HUB ROUTER WIND FIREWALL Rete Uffici SWITCH Rete Telecontrollo Rete di Processo SWITCH Rete DMZ SWITCH RTU HUB HUB HUB Pagina 8/10

28 Demilitarized Network (4) Switch rete controllori TG
ABB Internet (8) Server Radius Enel fw Stazione Remota Enel fw Siemens Intranet Enel (7) GRTN Rete Dati Enel Parent Server Enel fw Rete Siemens di centrale Rete Regolaz.Sec. Sec.Reg. Network (5) Rete Dati Data Network (6) Rete DMZi Demilitarized Network (4) Rete Uffici WINTS Router isdn RTU router Stazione remota router Srv PI Switch rete Siemens Switch rete dati Switch rete uffici Switch dmz GTDS SMAV Gw opc-pi Srv ATTPIA Srv ASC firewall Srv SCP Clt SCP Switch rete processo servizi comuni Rete di Processo Process Network (3) Switch firewall Switch rete processo unità X Gw XU Switch rete controllori TG Rete controllori Control Network (2) SCTG PLC PLC PLC PLC sensori e attuatori del Turbogas ProtocollI RS-232/485, MODBUS trasduttore attuatore trasduttore attuatore sensori e attuatori del ciclo vapore Protocollo profibus Rete campo Field Network (1)

29 G Intranet rete processo firewall Steam HRSG Turbine Turbogas
comandi dati controllo allarmi - blocchi supervisione monitoraggio diagnostica SCTG SCP switch 1 switch 2 controllore bus di campo Camera di combustione generatore di vapore a recupero TG vibrazioni server area servizi comuni gateway opc- pi firewall switch ASC switch rete DMZ switch rete Dati data server PI switch rete Uffici router Wind Rete dati stazione di lavoro aria gas fumi acqua vapore Turbogas HRSG rete processo protocollo teleperm allarmi – dati controllo tipo di scambio dati attuatori / trasduttori turbina G Steam Turbine Compr. diagnostica di 2° livello archiviazione diffusione dati d’impianto OPC protocollo OPC

30 LAN del Laboratorio Switch L3 Wireless LAN 192.168.3.0/24
Firewall Observer Terminal / /24 Switch L2 Power Context Simulator /24 Centro Stella /24 Switch L2 Firewall Firewall Switch L2 Horizontal Services /24 Testbed M. Administrator /24 Switch L3 Switch L2 Firewall Firewall Switch L2 Threat and Attack Simulator /24 Vulner.Contr.Repository Tools /24 Switch L2 Firewall Firewall Switch L2 Scada System Firewall Switch L2 DMZ /24 Switch L2 Dati /24 Processo /24 PI Parent Server, RTU Switch L2 Switch L2 Rete campo Firewall SCADA, ASC, GW OPC/PI Switch L2 Simulatore

31 Area Scada System dorsale Laboratorio 192.168.0.0/24 Dati
/24 parent server RTU Client RTU Firewall Switch L2 DMZ /24 server PI Switch L2 Processo /24 Switch L2 server DCS client scada ASC gw opc/pi staz.config. controllori Switch L2 rete campo Firewall Switch L2 Simulatore simul. impianto server scada server DCS staz.config. controllori Switch L2 Idrolab controllore scada controllore scada Strumentazione e attuatori di Idrolab Switch Rete Idrolab ( /24)

32 AREA LAVORO AREA LABORATORIO AREA APPARATI 1 2 3 2 6 5 4 7 1 3 8 1
patch panel 24 rj45 2 patch panel 24 rj45 3 1 Horizontal service Testbed Master Administrator Threat and attack simulator finestra porta B/N AREA LAVORO Col. AREA LABORATORIO Vulnerabilty and countermeasures repository and tools Scada system Power context simulator Observer terminal corridoio B/N finestra 2 patch panel 24 rj45 patch panel 24 rj45 6 5 4 7 sedia scaffale parete a vetri con porta scorrevole dispositivo sicurezza patch panel 96 rj45 armadio basso 80x50x73 B/N PC e Firewall stampanti armadio switch armadio alto 80x50x200 armadio switch 80x60x200 video armadio switch AREA APPARATI tavolo medio 105x2100 tastiera dispositivo switch tavolo lungo 105x2800 patch panel 96 rj45 1 4 prese rete gestionale 3 8 porta

33 Il Laboratorio

34 IDROLAB (Area Sperimentale Livorno)

35 Idrolab

36 Programma Sperimentale
Utilizzo del Laboratorio Librerie di vulnerabilità e minacce Sistemi di attacco Test Vulnerabilità Verifica Standards Test Manutenzione Comparazione architetture Sistema di gestione del laboratorio Sistemi di osservazione Test Security Policies Test Contromisure Test Attacchi Graph under test vs attack impact Sistema Industriale da testare Analizzatore dei risultati

37 2 1 Primi Risultati Zero Day Virus Malware Attacks
Denial of Service contro Internet Gateway DOS da Intranet contro rete di Processo Trojan Horse PI Spoofing DNS Poisoning Zero Day Virus Malware Attacks Caso 1: Infezione con accesso fisico Caso 2: Infezione da remoto Estremamente critico: Meccanismo applicabile a tutti i servizi di centrale Consente di catturare le credenziali di accesso ai sistemi interessati Semplicemente risolvibile Attacco difficilmente contrastabile Danni potenziali altissimi Realizzato con successo in laboratorio Esperimento realizzato con successo utilizzando 6 PCs Effetti potenziali: Impossibilita’ per menutentori remoti, ABB, Siemens, di accedere al sistema. Critico nell’ ottica futura: es. Mercato dell’Energia Caso 1: attacco a basso impatto Caso 2: attacco critico. Impatto sui sistemi scada, sui controllori. Gli effetti potenziali possono essere molto rilevanti 2 1