Escolar Documentos
Profissional Documentos
Cultura Documentos
Automacao Seguranca Redes
Automacao Seguranca Redes
ENGENHARIA DA COMPUTAÇÃO
AVALIAÇÃO DE SEGURANÇA
EM
REDES DE AUTOMAÇÃO
Danilo de Oliveira
Felipe Bertini Martins
Ferigs Rezende
Fernando Lombardi
Marcos Antonio Lopes
Jundiaí
2007
FACULDADE POLITÉCNICA DE JUNDIAÍ
ENGENHARIA DA COMPUTAÇÃO
AVALIAÇÃO DE SEGURANÇA
EM
REDES DE AUTOMAÇÃO
Orientador:
Prof. Eberval Oliveira Castro
Orientados:
Danilo de Oliveira 0300512
Felipe Bertini Martins 0300848
Ferigs Rezende 0300581
Fernando Lombardi 0305013
Marcos Antonio Lopes 0301540
Jundiaí
2007
FACULDADE POLITÉCNICA DE JUNDIAÍ
ENGENHARIA DA COMPUTAÇÃO
AVALIAÇÃO DE SEGURANÇA
EM
REDES DE AUTOMAÇÃO
Orientados:
Danilo de Oliveira 0300512
Felipe Bertini Martins 0300848
Ferigs Rezende 0300581
Fernando Lombardi 0305013
Marcos Antonio Lopes 0301540
_______________________________________
Orientador: Prof. Eberval Oliveira Castro
Jundiaí,_____de_________________de 2007
Aos colegas de estudo e aos familiares que nos
apoiaram e incentivaram para a realização
deste trabalho.
AGRADECIMENTOS
RESUMO
Este trabalho discute sobre segurança na integração entre redes corporativas e redes de automação
industrial, no qual serão apresentados riscos, falhas e vantagens das redes, com o intuito de
conscientizar e demonstrar a importância de possuir uma rede com maior nível de segurança possível,
buscando minimizar o risco de ataques e invasões que possam causar prejuízos à empresa. Será
apresentada a parte histórica da automação industrial, definição e tipos de protocolos envolvidos nas
redes, sistemas de supervisão que permitem o gerenciamento remoto e o controle de automação na
empresa, troca de informações entre o ambiente industrial e corporativo, análises realizadas em
ambientes reais avaliando a segurança existente na rede e buscando métodos para melhorias.
A great technological revolution in the field of the industrial automation has been
presented in the last years, starting of a total isolated environment where the proprietors
systems used to dominate and the technologies were dedicated to an integrated environment
and shared by all the corporative systems. This paper is about the security in the integration
between corporative nets and industrial automation nets where risks, imperfections and
advantages of the nets will be presented. Intending to acquire knowledge and to show the
importance of having a net with the biggest level of possible security, trying to minimize the
risk of attacks and invasions that can cause harmful damages to the company. It will be
presented the historical part of the industrial automation, definition and types of involved
protocols in the nets, supervision systems that allow the remote management and the control
of automation in the company, information exchange between the industrial and corporative
environment, analyses done in real environments evaluating the existing security in the net
and searching methods for improvements. It will also be presented the main techniques used
for invasion and attacks of industrial systems.
LISTA DE FIGURAS
INTRODUÇÃO .............................................................................................................. 11
1. REFERENCIAL HISTÓRICO ................................................................................... 13
1.1 História das redes Ethernet ....................................................................................... 14
2. CLP (Controlador Lógico Programável) .................................................................... 16
2.1 Comunicação em rede .............................................................................................. 17
2.3 Funcionamento de um CLP ...................................................................................... 18
3. O QUE SÃO REDES DE AUTOMAÇÃO ................................................................ 20
3.1 Protocolos de comunicação ...................................................................................... 22
4. REDES ETHERNET EM AMBIENTE INDUSTRIAL ............................................ 25
5. SEGURANÇA EM REDES DE AUTOMAÇÃO ...................................................... 28
5.1 Novo contexto na indústria ....................................................................................... 29
5.2 Integração entre ambiente de TI e TA ...................................................................... 32
6. AMEAÇAS AO AMBIENTE DE AUTOMAÇÃO INDUSTRIAL .......................... 34
6.1 Técnicas para acesso não autorizado ........................................................................ 36
7. MEDIDAS PARA MINIMIZAR VULNERABILIDADES ...................................... 38
7.1 Normas ligadas à segurança de informações ............................................................ 39
8. IMPLEMENTAÇÃO DE SEGURANÇA EM REDES DE AUTOMAÇÃO .......... 42
CONCLUSÃO ................................................................................................................ 47
REFERÊNCIAS ............................................................................................................. 48
APÉNDICE A – Regra do Firewall................................................................................ 51
INTRODUÇÃO
Há cerca de dez anos, o ambiente de automação industrial era isolado do ambiente corporativo
de uma empresa. Com a constante evolução tecnológica, hoje é uma necessidade que esses
dois ambientes sejam interligados e compartilhem informações, pois é necessário que
sistemas inteligentes como sistemas de otimização de processo e gerenciamento de produção
sejam alimentados com essas informações.
A integração do ambiente industrial para o corporativo levanta uma série de questões de
segurança que antes eram somente do ambiente corporativo da empresa, tais como: a
exploração de falhas de programação, ataques a serviços, acessos não autorizados, vírus e
outros tipos de vulnerabilidades e ameaças. Uma questão também importante é que a maioria
dos protocolos desenvolvidos não foram projetados para atender às necessidades de segurança
das redes corporativas.
A motivação para o desenvolvimento deste trabalho é o estudo e análise de segurança na
integração entre redes industriais e corporativas, de forma a orientar e minimizar riscos e
ameaças aos ambientes.
No decorrer do trabalho foram encontradas algumas dificuldades, porém, a principal foi a
deficiência de material nacionalizado para este tipo de assunto.
Este trabalho é estruturado da seguinte forma:
No capítulo 1, é apresentado um histórico da evolução tecnológica dos sistemas de controle e
automação industrial, bem como as redes de comunicação.
No capítulo 2, é definido um controlador lógico programável e suas principais características.
No capítulo 3, são apresentadas as redes de automação e seus principais protocolos,
abordando suas principais funcionalidades.
No capítulo 4, será abordado o tema de redes Ethernet em ambiente industrial, apresentando
os tipos de redes e sua classificação.
No capítulo 5, focaremos a segurança da automação que passou a ser um tema abrangente
para todas as tecnologias que se comunicam através de redes, o papel do CLP e suas
vulnerabilidades, a interação do ambiente TI e TA, e sistemas PIMS.
No capítulo 6, veremos a exposição dos sistemas SCADA, tipos de vulnerabilidades, vírus,
worms, cavalos de tróia, tipos de ataques e acessos, como spooling, relay, negação de serviço,
ARP, e discovery.
12
O sistema possui o nome Ethernet devido a uma menção ao éter luminoso, através do
qual, os físicos do século XIX acreditavam que a radiação eletromagnética propagava-se
(TANENBAUM, 2003).
Na década de 70, na University of Hawaii, Norman Abramson e colegas queriam
conectar-se da ilha em um computador que se encontrava em Honolulu. Como solução,
usaram um rádio de ondas curtas, no qual havia duas freqüências: ascendente e descendente.
Para se comunicar com um computador, o rádio transmitia em um canal ascendente, que era
confirmado no canal descendente do computador ao qual se desejava fazer a comunicação
(TANENBAUM, 2003).
Antes da existência das redes de computadores, a troca de informações acontecia de
maneira manual, com o próprio usuário copiando as informações e as transportando de uma
máquina para outra (CONTI, 2007).
15
Antes do CLP, esse feito era realizado substituindo componentes elétricos (relés, por
exemplo) e modificando projetos com grandes grupos de painéis de controle (BERGE, 1998).
As principais vantagens de um CLP em relação a lógicas a relé são:
• Menor tamanho físico necessário;
• Ser programável (possibilitando alterações de lógicas de controle);
• Capacidade de comunicação com sistemas que gerenciam a produção.
1
17
No mínimo, todo CLP dispõe de pelo menos uma porta de comunicação serial onde o
usuário vai conectar o cabo serial programador que, normalmente, é um computador
executando um software fornecido pelo fabricante do CLP. Através desta porta, o usuário faz
todas as atividades de manutenção: verifica o status da CPU (Central Processing Unit -
Unidade Central de Processamento), dos módulos de E/S (Entrada/Saída), o tempo de ciclo do
programa aplicativo, faz a carga e leitura do programa para salvar em disco.
Essa porta normalmente é uma rede mestre-escravo que pode ser utilizada para outras
funções, tais como: conectar um sistema de supervisão ou uma IHM (Interface Homem
Máquina) local. No entanto, como essa porta é destinada para manutenção, se ela for utilizada
para conectar uma IHM, por exemplo, toda vez que o usuário precisar conectar o computador
para a manutenção, deverá retirar o cabo da IHM e depois de concluído o serviço, recolocá-lo.
Para evitar esse tipo de problema é desejável que a CPU tenha mais canais de
comunicação para permitir, além da conexão com IHMs locais, a conexão em rede com outros
sistemas.
1
18
O hardware do CLP é composto por três partes: uma fonte de alimentação elétrica, uma
CPU e interface de E/S.
Fonte de alimentação elétrica: transforma a energia elétrica para voltagem usada pelo
equipamento.
CPU: Segundo (MORAES e CASTRUCCI, 2001), é “responsável pela execução do
programa do usuário, atualização da memória de dados e memória-imagem das entradas e
saídas [...]”.
Interfaces de Entrada e Saída: entendem-se como teclados, monitores etc.
Na figura 3, é mostrado um exemplo de funcionamento de um CLP, sendo iniciado pela
leitura nas entradas digitais ou analógicas, após isso, o programa é executado e suas saídas
são atualizadas.
1
19
INICIAR
LER ENTRADA
PROGRAMA
ATUALIZA
SAÍDA
Os processamentos feitos pelo CLP através dos dados de entrada são programáveis por
lógicas combinacionais, seqüenciais ou pelas duas.
Segundo Natale (2000), “Automatizar um sistema significa fazer uso de funções
lógicas, representadas, por sua vez, por portas lógicas que podem ser implementadas [...]”
O CLP faz uso da lógica de programação ladder.
Possui as seguintes representações:
-| |- Contato aberto;
-|/|- Contato fechado;
-( )- Bobina;
-(|)- Bobina inversa;
-(S)- Bobina set;
-(R)- Bobina reset;
-(M)- Bobina Memória;
3 O QUE SÃO REDES DE AUTOMAÇÃO
também temos uma interface homem-máquina para controle local dos processos e um sistema
de supervisão SCADA para supervisionar e coletar todos os dados para estudo e análise do
processo.
“Pode-se concluir que as tecnologias de redes industriais estão em contínua evolução, uma
vez que as empresas buscam definir padrões com perfis de redes mais seguras e de alto
desempenho [...]” (WATANABE, 2006).
Redes industriais são sistemas distribuídos, que representam diversos dispositivos
trabalhando simultaneamente de modo a supervisionar e controlar um determinado processo.
Esses dispositivos, por exemplo, sensores, atuadores, CLPs, PCs; estão interligados e trocam
informações de forma rápida e precisa. Um ambiente industrial é, geralmente, hostil, de modo
que os dispositivos ligados à rede industrial devem ser confiáveis, rápidos e robustos
(OLIVEIRA, 2005).
Para se implementar um sistema de controle distribuído, baseado em redes, tem-se a
necessidade de vários estudos detalhados sobre o processo a ser controlado, buscando o
sistema que melhor se enquadre para as necessidades do usuário (OGATA, 2003).
As redes industriais têm como padrão três níveis hierárquicos, sendo eles responsáveis
pela conexão de diferentes tipos de equipamentos.
O nível mais alto é o que interliga os equipamentos usados para o planejamento da
produção, controle de estoque, estatísticas da qualidade, previsões de vendas. Geralmente é
implementado usando-se programas gerenciais, por exemplo, sistemas SAP, Arena etc. O
protocolo TCP/IP, com padrão Ethernet é o mais utilizado nesse nível (DECOTIGNIE, 2001,
apud SILVA, CRUZ e ROSADO, 2006).
No nível intermediário, encontramos os CLPs, nos quais trafegam, principalmente,
informações de controle de máquina, aquelas informações a respeito do status de
equipamentos como robôs, máquinas ferramentas, transportadores etc. (OLIVEIRA, 2005).
O terceiro nível é o que se diz referência para a parte física da rede, onde se encontra os
sensores, atuadores, contadores etc.
A classificação das redes industriais:
2
27
A segurança deixou de ser um tema centrado nas redes de computadores e passou a ser
um tema abrangente para todas as tecnologias que se comunicam através de redes.
Segundo Souza (2002),
A maioria dos sistemas operacionais e equipamentos de comunicação de dados
fabricados hoje possuem interfaces para comunicação com redes TCP/IP, ou seja,
são capazes de se comunicar com outros equipamentos e redes que também utilizam
o padrão TCP/IP [...]
A tecnologia atual permite que qualquer circuito eletrônico que possua rede Ethernet
integrada em seu sistema possa se comunicar com computadores interligados por rede. Essa
facilidade faz com que dados sejam coletados mais rapidamente e mais facilmente, porém
deixa o circuito vulnerável à rede de computadores.
A vulnerabilidade do circuito acontece se na implementação dos protocolos não houve
nenhuma preocupação com a segurança dos dados, ou seja, se o hardware deixará alguma
possível falha para que outras pessoas possam acessar seus dados e modificá-los sem
autorização.
O CLP é um circuito eletrônico que possui rede integrada e comunica-se com outras
redes utilizando diversos protocolos, podendo também ser interligado em redes de
computadores.
Podemos visualizar melhor o papel do CLP em uma rede através da figura 6, onde o
CLP comunica-se com duas redes distintas, sendo uma rede dos equipamentos da automação
e uma rede para controle da IHM e interligação com a rede corporativa de computadores.
A segurança é um item indispensável para redes que possuem mais de um usuário e são
abertas a redes externas. O índice que mede estatísticas de segurança está crescendo muito
conforme mostrado na figura 7, ou seja, muitos usuários e empresas estão sendo vítimas de
hacker e vírus em suas redes. Com base no gráfico, nota-se que em 2006 houve um grande
aumento em relação aos anos anteriores. De 1999 a 2005, a média foi de 24.174 incidentes
registrados. Em 2006 o número registrado foi de 197.892 incidentes, ou seja, mais de 800%
comparado aos últimos oito anos. Neste ano, já foram registrados 94.809 incidentes até o mês
de junho. Em relação a 2006 houve um aumento de 18%.
3
30
210000 197892
180000
Total de Incidentes
150000
120000
90000 75722
68000
54607
60000
25092
30000 12301
3107 5997
0
1999 2000 2001 2002 2003 2004 2005 2006
Ano (1999 a junho de 2006)
Junto com toda a evolução tecnológica da automação industrial surgiram muitas outras
questões que necessitam de uma atenção especial das pessoas ligadas à área.
“Até a década de 90 o ambiente de automação industrial era totalmente à parte do
ambiente corporativo de uma indústria [...]” (BARBOSA, 2006), no qual redes de
computadores corporativas baseadas no padrão IEEE 802.3 (Ethernet) não eram interligadas
às redes existentes de automação e os equipamentos de automação possuíam sistemas
dedicados e computadores industriais exclusivos.
Redes de automação que se comunicam através do protocolo TCP/IP e estão
interligadas a uma rede corporativa também estão sujeitas a incidentes de segurança, pois
podem ser acessadas facilmente através de seu endereço IP na rede. A figura 8 ilustra um
exemplo de rede com computadores e CLP na mesma rede com informações individuais,
sendo assim, o nome, IP e máscara de rede são fixos.
3
31
Muitas empresas estão criando métodos e normas internas para tentar combater e
prevenir a falta de segurança, porém, é muito importante que haja uma interação entre a
equipe de TI (Tecnologia da Informação) com a equipe de TA (Tecnologia da Automação)
para que a rede possa ser projetada da melhor forma possível, unindo velocidade e segurança.
Atualmente, temos no mercado equipamentos e softwares para automação que são
abertos a todos os tipos de sistemas operacionais e que podem ser interligados às redes
corporativas das empresas, onde seus protocolos de comunicação possuem encapsulamento
em pacotes TCP (RODRIGUEZ, 2007).
A partir deste cenário, surgiram os sistemas historiadores de processo ou PIMS (“Plant
Information Management Systems”), que são capazes de obterem dados e gravar em um banco
de dados temporal, e usados em softwares de controle corporativo (BARBOSA, 2006).
A integração do ambiente industrial e corporativo é um fato, porém, possuem
características individuais. O ambiente industrial tem como prioridade a produção e a
segurança humana, já o ambiente corporativo prioriza o desempenho e a integridade dos
dados (BARBOSA, 2006). Pode-se visualizar melhor as prioridades de cada ambiente na
figura 9.
3
32
Em alguns sistemas onde os processos são críticos, a disponibilidade dos dados é feita
através da redundância de informações, nos quais existe um CLP primário que coleta os
dados, processa e os envia para a rede. Caso este CLP primário tenha algum problema, existe
um CLP secundário que assumirá o controle instantaneamente.
Para haver a redundância é necessária uma arquitetura de rede diferenciada, O conceito
é simples: quando um equipamento entra em estado de defeito, o outro assume
imediatamente, garantindo a disponibilidade e a segurança física do sistema.
Ambiente TI: Prioriza a confidencialidade dos dados na rede, protegendo contra acessos
não autorizados, prioriza também a integridade e a disponibilidade (MORA, 2007).
Ambiente de TA: Sua maior prioridade é a disponibilidade, pois não pode tolerar
pequenas interrupções podendo causar grandes perdas, sejam elas de produção ou danos ao
equipamento. Seguindo a ordem de prioridades vem a integridade e a confidencialidade dos
dados, protegendo e garantindo que os dados não sejam danificados ou acessados por pessoas
não autorizadas (MORA, 2007).
O hardware para equipamentos de TI é projetado para ficar em ambientes não
agressivos e livres de interferência eletromagnéticas, já os equipamentos de automação são
projetados para ambientes de chão de fábrica, mais agressivos e com muita interferência e
ruídos.
Enquanto sistemas de TI (hardware e software) têm estimativa de vida na média de 5
anos, os sistemas de TA devem permanecer operando por no mínimo 10 anos (MORA, 2007).
6 AMEAÇAS AO AMBIENTE DE AUTOMAÇÃO INDUSTRIAL
Os acessos não autorizados às redes podem ser qualificados de dois modos: maliciosos e
os não maliciosos. Os maliciosos são realizados por pessoas que têm o propósito de roubarem
dados ou danificar o sistema, já os não maliciosos são feitos por pessoas que não possuem
treinamento sobre o sistema operacional e acabam cometendo erros ao utilizar o sistema.
Atualmente, existem muitas formas para acessar redes que utilizam protocolo TCP/IP
sem possuir autorização devida.
A forma mais comum é através do compartilhamento de pastas, arquivos e serviços que
o próprio usuário disponibiliza na rede. Muitos usuários por não saberem utilizar
corretamente o sistema operacional, acabam compartilhando pastas e arquivos sem ter
conhecimento de que os mesmos poderão ser acessados e modificados por todos que
acessarem sua rede.
No caso de uma rede de automação, alguns CLPs disponibilizam portas de acesso para
serviços como: programação, visualização de processo, modificação de variáveis e
diagnósticos. Se as portas de acesso para estes serviços não estiverem sendo monitoradas por
um Firewall interno, o CLP pode estar vulnerável a acessos não autorizados.
Segundo Rodriguez (2007), partindo da hipótese de que a ameaça seja originada por
alguém com acesso não monitorado e não autorizado na rede, temos algumas das principais
técnicas de acesso:
Spoofing: Consegue monitorar e introduzir pacotes de comunicação na rede
modificados. O remetente envia pacotes para um endereço de rede qualquer, se passando por
um computador da rede, ou seja, em uma rede onde não existem restrições para os usuários da
rede interna, essa técnica se encaixa perfeitamente. O único problema para o atacante é que
este é um ataque cego, pois ele não recebe mensagens de confirmação de seus pacotes.
3
37
Apesar de não ser um assunto muito divulgado, as empresas estão se preocupando com
a segurança em seus sistemas de automação industrial e adotando algumas medidas para
minimizar as possíveis falhas e vulnerabilidades dos sistemas. Com esse fim, foi criada a
norma ISA 99 (ENTERPRISE, 2004) que trata, especificamente, sobre segurança em
ambientes de automação industrial (BARBOSA, 2006).
Muitas medidas podem ser tomadas para reforçar a segurança em redes de automação,
porém, é preciso analisar as vulnerabilidades do sistema para conhecer melhor as decisões a
serem tomadas. Abaixo segue uma relação de algumas das principais iniciativas (BARBOSA,
2006):
• Desenvolvimento e implementação de políticas de segurança baseadas nos sistemas
de automação;
• Instalação em locais estratégicos de Firewall e outros mecanismos contra softwares
maliciosos;
• Controle dos serviços de acesso remoto, permitindo sessões criptografadas;
• Planejamento de atualizações de softwares como sistema operacional, antivírus,
Firewall e outros softwares específicos;
• Realização de treinamentos para que todos os usuários da rede possam saber de suas
responsabilidades e deveres perante a rede corporativa;
• Manutenção do tempo de sincronismo dos equipamentos da rede;
• Criação de políticas de backup;
• Segmentação física e lógica da rede;
• Deixar somente os serviços necessários rodando no equipamento, desabilitando
outros serviços que podem servir de porta de entrada para vírus e acesso de pessoas
não autorizadas;
• Utilização de tecnologias capazes de certificar os usuários da rede;
• Utilização de sistemas capazes de detectar a presença de usuários não autorizados na
rede;
• Criação de uma equipe de análise e auditoria dos dados trafegados na rede que
possam tornar o processo de segurança sempre atualizado.
3
39
Normas e padrões internacionais são utilizados nos mais variados casos para se facilitar
à implementação e normalização de soluções que contribuem para a sociedade. No ano 2000,
a ISO (International Organization for Standardization) lançou a norma ISO/IEC 17799:2000,
disponível no Brasil através da norma NBR-ISO 17999:2000. Essa norma evoluiu e se tornou
a atual ISO/IEC27001: 2005 abrangendo gestões de segurança das informações, baseada na
4
40
Para uma análise e demonstração efetiva de como proteger redes de automação, será
demonstrado neste capítulo, uma implementação real, na qual teremos duas redes distintas
representando as redes industrial e corporativa.
Na figura 10, é possível visualizar a topologia usada para esta análise, sendo dividida
em duas redes, do lado direito, a rede industrial e do lado esquerdo, a rede corporativa. Para
realização do experimento, foram utilizados os seguintes equipamentos:
• CLP-01: CLP linha Twido da Schneider Electric, com 16 entradas digitais e 16
saídas a relé, possui porta de comunicação Ethernet para comunicação externa de
dados, protocolo utilizado é Modbus TCP/IP. Para este equipamento foi definido o IP
192.168.11.54, máscara de sub-rede 255.255.255.0 e Gateway padrão
192.168.11.100.
• Firewall: Computador responsável pela separação das redes, cujo sistema
operacional é Linux, distribuição CentOS, padrão RedHat. A distribuição contém um
sistema de filtro, o Iptables, que controla tráfego de pacotes e permite a configuração
de regras, deixando assim a configuração ajustável conforme a necessidade. Para
essa divisão das redes, foram instaladas nesse computador, duas placas de rede (Eth0
e Eth1), sendo Eth0 responsável pelo tráfego de pacotes da rede corporativa e Eth1
pelo tráfego de dados da rede industrial. Através da identificação das placas que
serão filtrados os pacotes vindos da rede corporativa. Para a placa da rede
corporativa (Eth0), foi definido o IP 192.168.10.100 e para a placa da rede industrial
(Eth1), o IP 192.168.11.100.
• Supervisão: Computador pessoal com sistema operacional Windows XP
Professional, utilizando software E3 versão 2.5 desenvolvido pela Elipse Software.
Esta versão de Windows possui um Firewall interno que tem o intuito de filtrar
pacotes, possíveis acessos externos e arquivos suspeitos. Não serão necessárias
configurações adicionais para esse computador, pois o mesmo apenas irá ler e gravar
informações do CLP. Para este equipamento foi definido o IP 192.168.10.50.
• Estação de Trabalho: Computador pessoal com sistema operacional Windows XP
Professional, será utilizado para simular acessos e teste de segurança sobre as regras
inseridas no Firewall. Para este equipamento foi definido o IP 192.168.10.51.
4
43
O protocolo usado nesta análise foi o TCP/IP para a rede corporativa e o Modbus
TCP/IP para a rede de automação.
A comunicação entre os equipamentos da rede deve seguir os seguintes parâmetros e
requisitos de segurança:
• O único equipamento que acessa os dados do CLP é o que possui instalado o sistema
de supervisão, podendo requisitar e gravar dados livremente através da porta TCP
502, disponibilizada pelo CLP para comunicação de dados.
• O único equipamento que pode acessar a rede corporativa vindo da rede de
automação é o CLP-01, utilizando apenas a porta TCP 502, eliminando assim, o
tráfego de dados desnecessários e possíveis ataques oriundos de outros pontos da
rede.
• O sistema de supervisão acessa livremente a rede corporativa, podendo trafegar
dados sem restrição.
• A estação de trabalho acessa livremente a rede corporativa, porém não tem nenhum
tipo de acesso para a rede de automação.
Para que os parâmetros acima sejam cumpridos e efetivamente implementados é
necessário a configuração do Firewall. Foi implementado o seguinte trecho de código para o
IPTables:
4
44
1 # Limpando as regras
2 iptables -F -t nat
3 iptables -F -t filter
4 iptables -X -t nat
5 iptables -X -t filter
6
7 # 1. - Permitindo o encaminhamento de ip
8 echo 1 > /proc/sys/net/ipv4/ip_forward
9
10
11 # 2. - Liberando IP do supervisório para acesso ao CLP
12 /sbin/iptables -A FORWARD -i eth0 -s 192.168.10.50 -d 192.168.11.54
13 -j ACCEPT
14
15
16 # 3. - Bloqueando acesso as demais máquinas
17 /sbin/iptables -A FORWARD -i eth0 -s 192.168.10.0/24 -d
18 192.168.11.0/24 -j DROP
19
20
21 # 4. - Liberando acesso ao supervisório para a porta 502
22 iptables -A FORWARD -d 192.168.10.50 -p tcp --sport 502 -j ACCEPT
23
24
25 # 5. - Bloqueando acesso aos outros micros da rede para a porta 502
iptables -A FORWARD -d 192.168.10.0/24 -p tcp --sport 502 -j DROP
26
Para uma análise comparativa, na figura 12, temos um computador da rede corporativa
verificando a disponibilidade do CLP. Para isso, utilizamos a mesma topologia de rede,
porém, sem o Firewall e sem as regras de segurança descritas anteriormente neste capítulo,
podemos observar que os pacotes de dados na rede trafegam sem nenhum tipo de bloqueio.
4
46
Para finalizar a análise podemos observar que uma rede que não for bem planejada e
que não levar em consideração requisitos básicos de segurança pode tornar-se vulnerável a
qualquer tipo ações originadas de usuários ou vírus.
O uso de Firewall para bloqueio de pacotes de dados é indispensável em qualquer
topologia de rede que possua duas redes interligadas e que exija um grau de segurança
elevado.
CONCLUSÃO
BERGE, Jonas. Fieldbuses for Process Control: Engineering, Operation and Maintenance.
Apostila do curso ministrado no CEETPES - E.T.E. Professor Armando Bayeux da Silva , no
ano de 1998 no Curso CLP – Básico, por Pedro Luis Antonelli.
PIRES, Paulo Sérgio Motta; OLIVEIRA, Luiz Affonso Guedes de; BARROS, Diogo
Nascimento. Aspectos de segurança em sistemas SCADA uma visão geral, 4º Congresso
Internacional de Automação, Sistemas e Instrumentação. São Paulo, 2004.
SOUSA, Lindeberg Barros de. TCP/IP Básico & Conectividade em Redes. 2 ed. São Paulo,
2002.
#!/bin/sh
# Regras do firewall
# Limpando as regras
iptables -F -t nat
iptables -F -t filter
iptables -X -t nat
iptables -X -t filter
# 1. - Permitindo o encaminhamento de ip
echo 1 > /proc/sys/net/ipv4/ip_forward
exit