Cyberbezpieczeństwo - ochrona sterowników Unitronics z serii Samba i Vision

Dnia 30 listopada 2023 doszło do globalnego ataku na sterowniki PLC firmy Unitronics. Wielu klientom, którzy swoje sterowniki "wystawiali na świat" pokazał się na ekranie taki komunikat:

Jest to wgrany czysty projekt ze zmienionym adresem IP oraz jedyną grafiką widoczną na powyższym obrazku. Wystarczy tylko wgrać odpowiedni program do PLC. 

Niemniej jednak należy zabezpieczyć taki sterownik na przyszłość. Poniżej przedstawiamy propozycje od producenta Unitronics:

1. Poziom urządzeń
   
   
   a) Bądź na bieżąco dzięki stronie producenta: www.unitronicsplc.com - Unitronics rozwija i ulepsza swoje produkty przez cały cykl ich życia. Strona zawiera najbardziej aktualne wersje zarówno oprogramowania, jak i firmware'ów (OS), które mogą obejmować mogą obejmować aktualizacje w zakresie ochrony cybernetycznej.
   
   b) Uprawnienia dostępu i hasła - należy ściśle kontrolować uprawnienia dostępu sieciowego do sterownika oraz powiązanych z nim urządzeń.
   
   c) Zarządzanie zdalnym dostępem zgodnie z potrzebami systemu i użytkownika, aby zminimalizować niepotrzebne ryzyko ekspozycji systemu na świat.
   Na przykład protokół PCOM (wbudowany protokół komunikacyjny do programowania i zarządzania) umożliwia ochronę na różnych poziomach:
   - Zablokowany dostęp: Upewnij się, że sterowniki nie zezwalają na połączenie z tym protokołem, dopóki nie ma potrzeby tylko przeglądania.
   - Operator: Przeglądanie i aktualizacja danych.
   - Technik: Rozwiązywanie problemów, zmiana ustawień kontrolera i aktualizacja wersji.
   Jest to możliwe poprzez aktualizację sterownika w przynajmniej VisiLogic 9.8.96 a następnie ustawienie bitów w rejestrze systemowym SDW10:
      • bit 0 - blokada zdalnego wgrywania programu lub jego kontrolę (Start, Stop, Reset lub Init)
      • bit 1 - blokada zdalnego wciskania dowolnego przycisku na HMI
      • bit 2 - blokada zdalnej edycji dowolnej zmiennej lub wciśnięcia przycisku na ekranie HMI
      • bit 3 - blokada zdalnej zmiany dowolnych wartości w tabelach danych
      • bit 4 - blokada zdalnej zmiany dowolnej zmiennej w sterowniku (komunikacja oraz podgląd w VisiLogic)
      • bit 5 - blokada zdalnych operacji na karcie SD w sterowniku PLC.
   
   
2. Bezpieczeństwo na poziomie sieci
   
   
   a) PLC jako Client: Jeśli sterownik musi komunikować się z Internetem, należy upewnić się, że jest on klientem inicjującym komunikację.
   
   b) Podłączanie urządzeń automatyki do Internetu:
      • Upewnij się, że cały sprzęt znajduje się za zaporą sieciową (Firewall) i że nie ma żadnych reguł zapory sieciowej (Firewall Rules) narażających sieć LAN na  wejście z sieci WAN (niezależnie od tego, czy jest to router komórkowy, czy sieć przewodowa).
      • Sprawdź, czy nie ma ustawień przekierowania portów, które wystawiałyby sprzęt automatyki bezpośrednio na działanie sieci publicznej.
   
   Aby szybko i łatwo wdrożyć ochronę na poziomie sieci, zaleca się korzystanie z produktów UCR - serii routerów przemysłowych Unitronics, które zawierają wbudowaną funkcję Firewall oraz VPN.
   
   
3. Kompletne rozwiązanie, czyli bezpieczne połączenie - oparte na UniCloud
   
   
   Platforma UniCloud IIoT firmy Unitronics umożliwia bezpieczne połączenie bez potrzeby korzystania ze stałych lub publicznych adresów IP w Internecie. Do wdrożenia nie jest wymagana wcześniejsza wiedza z zakresu cyberbezpieczeństwa lub IT. Platforma zawiera wiele warstw zaawansowanego szyfrowania i ochrony, które razem zapewniają kompletne, bezpieczne rozwiązanie. rozwiązanie, które umożliwia ograniczenie dostępu poprzez poziom uprawnień i śledzenie rzeczywistych połączeń. Więcej informacji o UniCloud znajdziesz tutaj: https://info.elmark.com.pl/poznaj-unicloud.

Połączenie z Internetem zwiększa ryzyko naruszenia bezpieczeństwa, ale łączność ta jest obowiązkowym wymogiem dla wielu projektów automatyzacji. Dzięki temu procedury ochrony cybernetycznej są absolutnie niezbędne.

Łączność w chmurze, zdalny dostęp, aktualizacja receptur, tworzenie kopii zapasowych danych i zdalne sterowanie w celu konserwacji: potrzeba zewnętrznej łączności stwarza nowe wyzwania w dziedzinie bezpieczeństwa informacji, ponieważ zwiększa potencjalną ekspozycję i ryzyko przejęcia kontroli nad procesem. Odpowiedzialność za zapobieganie naruszeniom bezpieczeństwa spoczywa na osobach, które programują i podłączają sterowniki do sieci zewnętrznej.

Unitronics oferuje różnorodne rozwiązania i narzędzia, które można wykorzystać do ograniczenia ryzyka i zapobiegania naruszeniom bezpieczeństwa. Niniejszy artykuł zawiera szczegółowe informacje na temat głównych narzędzi i zaleceń mających na celu podniesienie poziomu ochrony cybernetycznej projektów automatyzacji i maszyn opartych na sterownikach Unitronics serii Samba™ i Vision™.