IIC Endpoint Security Best Practices

For nylig har Industrial Industrial Consortium frigivet et interessant papir med deres anbefalede sikkerhedspraksis til slutpunktet.

Barbara IoT er altid begejstret med denne form for initiativer, da vi er overbevist om, at der er meget arbejde at gøre i IoT-sikkerhed, og enheden er sandsynligvis det svageste led, der i øjeblikket findes i IoT-værdikæden. Og som vi ved, er kæden lige så stærk som det svageste led, så sikring af enheder ville være et must (hvis det ikke allerede er det).

Denne artikel gennemgår det grundlæggende i IIC-anbefalingerne og kortlægger dem mod Barbara Software Platform, en sikker løsning til IoT-enheds livscyklus. Følgende tabel opsummerer overensstemmelsesmatrixen:

Men lad os komme ind på detaljerne ...

Sikkerhedsniveauer:

IIC definerer tre sikkerhedsniveauer, Security Level Basic (SLB), Security Level Enhanced (SLE) og Security Level Critical (SLC), svarende til sikkerhedsniveauer 2, 3 og 4 som defineret i IEC 62443 3–3. Grundlæggende niveau beskytter mod "forsætlig overtrædelse ved hjælp af enkle midler med lave ressourcer". Forbedret niveau beskytter vores system mod "sofistikerede midler med moderate ressourcer". Kritisk niveau øger beskyttelsen af ​​"sofistikerede midler med udvidede ressourcer". Afhængigt af applikationen og omstændighederne, skal du beskytte dit slutpunkt med det passende sikkerhedsniveau.

Baseret på dette sikkerhedsniveauer foreslår IIC tre forskellige arkitekturer, der skal være baseret på åbne standarder og skal være interoperable mellem multi-leverandør, multiplatformsendepunkter, der skal betragtes som sikre.

IIC foreslog arkitekturer

Lad os gå dybere ind i hver enkelt af disse komponenter, beskrive dem mere detaljeret og opdage, hvordan Barbara Software Platform overholder IIC-retningslinjerne.

Root of Trust:

Root of Trust (RoT) udgør grundlaget for enhver slutpunktsikkerhed og leverer funktioner som endepunktidentitet og attestering af software og hardwareidentitet og integritet. Som du kan forestille dig, vil slutpunktet være lige så stærkt som Root of Trust, så en sikker implementering af Root of Trust er obligatorisk.

Specifikt hævder IIC, at Root of Trust til forbedrede og kritiske sikkerhedsniveauer skal implementeres baseret på hardware. For at overholde IIC-anbefalinger kan det være nødvendigt at vi har en specifik hardware-sikkerhedschip (eller lignende) med manipulationsmodstand.

Hvad angår Root of Trust, sammensætter Barbara Software Platform alle sikkerhedsfunktioner til styrkelse af Root of Trust. Vores softwarestack bruger en privatejet PKI (Public Key Infrastructure baseret på Public Key Cryptography Standards) og leverer de tilsvarende kroge for at tillade lette integrationer med Trusted Platform Modules efter kundens valg.

Endpoint Identity:

Endpoint-identitet er en grundlæggende komponent til at opbygge det meste af sikkerhedsfunktioner. I henhold til IIC-anbefalinger er PKI-støtte (Public Key Infrastructure) obligatorisk til at dække grundlæggende, forbedrede og kritiske niveauer. Det anbefales også at implementere en åben standard certificeringsadministrationsprotokol til udstedelse og styring af certifikater fra en intern eller ekstern CA (certifikatmyndighed).

Som kommenteret før Barbara Software Platform inkluderer sin egen PKI baseret på PKCS (Freeipa, www.freeipa.org/). FreeIPA er en integreret identitets- og autentificeringsløsning, der giver centraliseret godkendelse, autorisation og kontooplysninger. Som anmodet af IIC er FreeIPA bygget oven på velkendte Open Source-komponenter og standardprotokoller.

Sikker start:

Et pålideligt Secure Boot-system, som kryptografisk beskytter slutpunktet, er igen et krav til grundlæggende, forbedrede og kritiske niveauer. I henhold til IIC's bedste praksis kan dette implementeres kryptografiske hashser baseret på PKCS (Public Key Cryptography Standards). Hvis vi gør det, kan vi være sikre på, at software uden de rette nøgler ville være i stand til at starte enheden op. Barbara Software Platform kan overføres til hardwareplader, der understøtter sikker opstart inden for en rimelig indsats.

Kryptografiske tjenester og sikker kommunikation:

Brug af kryptografi under datatransport (i bevægelse), til datalagring (i hvile) og applikationer (i brug) er et klart krav til de tre ovennævnte sikkerhedsniveauer (Basic, Enhanced, Critical). Funktionerne, der er nødvendige for at yde en sådan beskyttelse, er:

  • Kryptografiske algoritmer baseret på standarder, der er valideret af NIST / FIPS.
  • Asymmetriske og symmetriske chiffer suiter, hashingfunktioner og tilfældigt antal. generatorer, der er stærke nok og baseret på PKCS (Public Key Cryptography Standards)
  • I feltopdateringsevne til kryptografiske algoritmer for at kunne dække mulige sårbarheder.
  • Politikbaseret kontrol af applikationernes brug af kryptografiske funktioner, og man undgår brugen af ​​ikke-sikker kryptografi.
  • Interoperabilitet af kryptotaster og -certifikater på tværs af systemer med flere leverandører.

Barbara Software Platform implementerer flere funktioner, der garanterer kvaliteten af ​​de kryptografiske tjenester. Det bruger LUKS som standard, som er standarden for LINUX harddiskkryptering. LUKS er åben, så det er let at høre, og det er baseret på PKCS som anbefalet.

På datatransportsiden indeholder Barbara OS de krævede biblioteker til kommunikation ved hjælp af IoT-standardapplikationsprotokoller over krypteret transport (TLS og DTLS).

Derudover kræves en sikker kommunikationstak fra ende til ende til de tre definerede niveauer. Denne kommunikationsstabel skal omfatte understøttelse af godkendelse, beskyttet forbindelse, endepunkt firewall og inkludering af sikre transportprotokoller (TLS, DTLS, SSH ...). Alle disse funktioner er inkluderet i Barbara Software Platform, så ALLE Barbara-kommunikation er godkendt og krypteret.

Endpoint Configuration and Management

Og skalerbart system til at opdatere operativsystemet, applikationer og / eller konfiguration af enheden er nødvendigt for at overholde Forbedrede og kritiske niveauer under hensyntagen til, at det kan være nødvendigt at udføre sådanne opdateringer over millioner af endepunkter på samme tid. Selvfølgelig skal alle disse operationer udføres i et sikkert miljø inklusive certifikatbaseret validering mellem den enhed, der serverer opdateringen og slutpunktet, der modtager den.

I denne forbindelse inkluderer Barbara Software Platform Barbara-panelet. Barbara Panel er serversides løsningen til at styre alle endepunkter for en IoT-installation. Det giver en enkel og centraliseret konsol til OTA (Over The Air) opdateringsstyring, enhedsovervågning og konfigurationsstyring. Alle disse funktioner tilbydes i det bedste klassesikkerhedsmiljø.

Kontinuerlig overvågning

I realtid overvågning af slutpunktet er et krav for kritisk sikkerhedsniveau ifølge IIC. Dette vil give brugeren mulighed for at kontrollere og forhindre uautoriserede ændringer i konfigurationen og have kontrol på applikationsniveau til at registrere og forhindre uautoriserede aktiviteter som brug af usikre cifre, der kan kompromittere systemet

Barbara Panel inkluderer og Alert-system, der giver brugeren mulighed for at modtage foruddefinerede sikkerhedsadvarsler og at definere hendes egne alarmer og skubbe dem til slutpunkterne.

Politik- og aktivitetspanel

For at overholde kritisk niveau kræves det evnen til at styre slutpunkter eksternt. Systemadministrator skal være i stand til at skubbe og udføre politikker på en måde, der garanterer den rigtige distribution af politikker over netværket og fungerer på den måde som en effektiv sikkerhedsramme.

Barbara Panel tillader implementeringschefer at overvåge slutpointaktiviteter og definere og skubbe sikkerhedspolitikker baseret på den erhvervede information. Som et eksempel kan nye politikker implementere nye regler i den førnævnte firewall, når der opdages mistænkelige kommunikationsmønstre.

Systeminformation og begivenhedsstyring

Koblet til det foregående afsnit er evnen til at fange begivenhedslogfiler og definere og distribuere politikker baseret på informationen fra logfilerne også et krav på kritisk niveau. Det anbefales, at disse administrationshandlinger udføres ved hjælp af datamodeller eller udvidelige formater som REST API eller JSON.

Barbara Software Platform-loggingsystem giver systemadministratorer store mængder information, der vil blive brugt til generering af sikkerhedspolitikker.

Konklusion

Barbara IoT gør en enorm indsats for at opbygge et sikkert produkt. Et produkt, der kan bruges i de mest krævende scenarier med hensyn til industriel sikkerhed. Ligesom IIC, tror vi, at denne form for initiativer kan hjælpe hele industriens økosystem ved at fremme tillid og styrke alle aktører i økosystemet.

Referencer:

  • http://www.iiconsortium.org/
  • IIC Endpoint Security Best Practices; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Hvad brugere skal vide om Fuld disk kryptering baseret på LUKS, Simone Bossi og Andrea Visconti; Cryptography and Coding Laboratory (CLUB), Institut for Computer Science, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Dette indlæg blev oprindeligt offentliggjort på barbaraiot.com den 6. juni 2018. Hvis du kan lide det og vil modtage lignende indhold, kan du abonnere på vores nyhedsbrev