Những cải tiến về bảo mật trong TIA Portal V17

Những cải tiến bảo mật TIA Portal V17 siemens.com/tia-portal Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Nội dung Truyền thông Secure SIMATIC PG/HMI 1.1 Cải tiến bảo mật truyền thông 1.2 Khái niệm “Security-By-Default” 1.3 Security Wizard 1.4 Tính tương thích User Management & Access Control - UMAC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Trang Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Secure SIMATIC Truyền thông PG/HMI TIA Portal V17 Trang Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thông SIMATIC PG/HMI Những cải tiến bảo mật truyền thông Cải tiến bảo mật truyền thông PG/HMI TIA Portal V17, HMIs S7-1200/1500 CPUs ▪ Mã hóa liệu truyền thơng dựa chuẩn bảo mật TLS** ▪ Mỗi PLC dùng riêng Certificate (được tạo TIA Portal) ▪ Chế độ tương thích ngược cho phép đồng thời truyền thông đến thiết bị cũ thiết bị có mã hóa TLS ▪ Bảo vệ thông tin quan trọng lúc truyền thông mã hóa ▪ Cho phép bảo vệ thơng tin cấu hình quan trọng TIA Portal PLC thơng qua mật người dùng cài đặt (tùy chọn) Lợi ích ▪ Nhận dạng PLC thơng qua Certificate riêng biệt ▪ Khả bảo vệ thông tin quan trọng mã hóa truyền thơng ▪ Bảo vệ thơng tin cấu hình mật riêng Truyền thơng PG/HMI mã hóa TLS Certificate Key riêng cho PLC Bảo mật thơng tin cấu hình quan trọng * TLS Trang Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 - Transport Layer Security Bảo mật truyền thông SIMATIC PG/HMI Những cải tiến bảo mật truyền thông Truyền thơng mã hóa TLS* Thiết lập Trusted certificates PLC Tuyền thơng PG/HMI mã hóa TLS: Tải xuống Project Certificate Certificate riêng / keys PLC PLC chưa cấu hình PLC chứa device certificate / self-signed certificate Trang Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thông SIMATIC PG/HMI Những cải tiến bảo mật truyền thông HMI PLC TIA Portal project Kết nối HMI không dùng TIA Portal HMI PLC không TIA Portal project TIA Portal TIA Portal TIA Portal / WinCC TIA Portal Export / Import Certificate PLC 2 1x Certificate dùng private key Trang Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Nội dung Truyền thông Secure SIMATIC PG/HMI 1.1 Cải tiến bảo mật truyền thông 1.2 Khái niệm “Security-By-Default” 1.3 Security Wizard 1.4 Tính tương thích User Management & Access Control - UMAC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Trang Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thông SIMATIC PG/HMI Khái niệm “Security-By-Default” Nhiều tính đặt mặc định nhằm nâng cao mức độ bảo mật cho hệ thống Cụ thể: ▪ ▪ ▪ Trang 10 Tính PLC access protection kích hoạt mặc định (Protection levels) Các thơng tin cấu hình quan trọng cần cài mật Chế độ truyền thơng Secure PG/HMI kích hoạt mặc định Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Nội dung Truyền thông Secure SIMATIC PG/HMI 1.1 Cải tiến bảo mật truyền thông 1.2 Khái niệm “Security-By-Default” 1.3 Security Wizard 1.4 Tính tương thích User Management & Access Control - UMAC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Trang 11 Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thông SIMATIC PG/HMI Security Wizard Live Demo Trang 12 Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thơng SIMATIC PG/HMI Tính tương thích Các thiết bị phần mềm có hỗ trợ tính truyền thông Secure SIMATIC PG/HMI: Server ▪ S7-1500 PLCs V2.9 ▪ S7-1200 PLCs V4.5 ▪ S7-PLCSIM Advanced ▪ Drive Controller V2.9 Clients ▪ STEP (TIA Portal) V17 ▪ HMI Basic Panels 2nd Generation, V17 ▪ HMI Mobile Panels 2nd Generation, V17 ▪ HMI Comfort Panels, V17 ▪ HMI WinCC Runtime Advanced V17 ▪ WinCC Runtime Professional V17 ▪ WinCC Unified PC V17 ▪ WinCC Unified Comfort Panels V17 ▪ SIMATIC NET (OPC UA Server) V17 Trang 16 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Bảo mật truyền thông SIMATIC PG/HMI Tính tương thích Mixed Mode Các mode PLC TIA Portal V17 Secure Mode ▪ Secure Mode: Chỉ truyền thơng với PG/HMI có mã hóa TLS ▪ Mixed Mode: Truyền thơng với PG/HMI có mã hóa TLS truyền thông theo phương thức cũ TIA Portal V17 TIA Portal < V17 S7-1500 V2.9 S7-1500 < V2.9 Tương thích ▪ Truyền thơng PLC ES / HMI < V17 phải dùng Mixed Mode ▪ Theo mặc định, truyền thông PLC từ V17 với PG/HMI phải có mã hóa TLS ▪ Có thể tùy chọn khơng dùng truyền thông TLS cần thiết Trong trường hợp này, phải dùng Mixed Mode HMI V17 Trang 17 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 HMI < V17 User Management & Access Control - UMAC TIA Portal V17 Trang 18 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Nội dung Truyền thông Secure SIMATIC PG/HMI Truyền thông Secure SIMATIC PG/HMI Trang 19 2.1 Mục đích việc quản lý người dùng ? 2.2 Các tính TIA Portal V17 2.3 User Management Component - UMC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 User Management & Access Control - UMAC Mục đích việc quản lý người dùng ? Bảo mật: bảo vệ hệ thống sản xuất Hiệu quả: quản lý tập trung ▪ ▪ ▪ ▪ Các nhân project nhiều project Các tính theo nhóm quyền Phân quyền nhân sự, nhóm nhân Thay giải pháp tạm thời “Ai truy cập“ Product Product Trang 20 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Tài khoản Mật (Mật khẩu) “Chỉ cho phép người có quyền truy cập“ Product Product Function Function Function Function x x x x x x x x x x x Role Role Role Role ▪ Quản lý truy cập theo cá nhân ▪ Ngăn chặn truy cập trái phép Nội dung Truyền thông Secure SIMATIC PG/HMI Truyền thông Secure SIMATIC PG/HMI Trang 21 2.1 Mục đích việc quản lý người dùng ? 2.2 Các tính TIA Portal V17 2.3 User Management Component - UMC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 User Management & Access Control - UMAC Các tính TIA Portal V17 Các quyền ▪ Các tính xác định quyền: ▪ General Function Rights: chỉnh sửa Library type, Đổi cấu hình phần cứng ,Import Project text, Upgrade project ▪ PLC: Download, Đổi chương trình, Chỉnh sửa chương trình Safety PLC, Giám sát, Chỉnh sửa online chương trình PLC ▪ HMI: Download, Cấu hình, Maintenance ▪ Drives: Chỉnh sửa cấu hình Drive ▪ Runtime Rights: Các quyền liên quan network Lợi ích ▪ Cách phân quyền trước phân biệt quyền truy cập đọc ghi ▪ Với cách phân quyền mới, tài khoản cấu hình theo quyền khác ▪ Điều bảo vệ dự án khỏi truy cập trái phép Trang 22 Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Quyền tài khoản Giới hạn quyền thay đổi cấu hình User Management & Access Control - UMAC Các tính TIA Portal V17 Project Lock Change User Project Lock: ▪ Một dự án thực bảo vệ chống chỉnh sửa qua tính project lock ▪ Rời khỏi máy tính làm việc - project khóa lại! Tính Project Lock kích hoạt theo chủ đích tự động theo thời gian định sẵn Change User: ▪ Có thể đổi người dùng làm việc dự án mở Lợi ích ▪ Trong trường hợp tạm thời rời máy tính dự án, tính Project Lock giúp khóa dự án ▪ Với tính Change User, người dùng tiếp tục làm việc dự án người trước làm Trang 23 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Phải có quyền cao để thực Change User! User Management & Access Control - UMAC Các tính TIA Portal V17 Single Sign-on SIMATIC Logon Single Sign-on (SSO) ▪ TIA Portal HMI Runtimes hỗ trợ tính Single Sign-on (trên máy PG) UMC Server SIMATIC Logon ▪ UMC server hỗ trợ SIMATIC Logon ▪ Hỗ trợ quản lý trập trung người dùng WinCC Runtime Advanced qua UMC SIMATIC Logon protocol … Lợi ích ▪ Single Sign-on cho phép xác thực lần dự án TIA Portal HMI Runtime máy ▪ SIMATIC Logon cho phép quản lý đăng nhập HMI Runtime khác kết nối UMC Server Trang 24 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 TIA Portal Engineering WinCC Advanced Runtime WinCC Unified Runtime SIMATIC Comfort Panels SSO Nội dung Truyền thông Secure SIMATIC PG/HMI Truyền thơng Secure SIMATIC PG/HMI Trang 25 2.1 Mục đích việc quản lý người dùng ? 2.2 Các tính TIA Portal V17 2.3 User Management Component - UMC Quản lý Certificate OPC UA cho PLC S7-1500 - GDS Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 User Management & Access Control - UMAC User Management Component - UMC Tính UMC OEM A ▪ Quản lý tập trung người dùng nhóm người dùng TIA Portal ▪ Người dùng/ Nhóm người dùng liên kết từ Microsoft Active Directory ▪ Tách biệt khỏi việc lập trình dự án ▪ Xác thực lúc chạy runtime User User OEM B User Active Directory MS AD User Lợi ích Hiệu quả: quản lý tập trung ▪ Người dùng nhiều dự án ▪ Các quyền truy cập nhiều dự án ▪ Phân quyền người dùng ▪ Thay cho phương pháp quản lý thủ công Trang 26 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Engineering Station UMC Server Project OEM A Project OEM B User User User Quản lý Certificate qua OPC UA cho PLC S7-1500 PLC Tính GDS TIA Portal V17 Trang 27 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11 Nội dung Truyền thông Secure SIMATIC PG/HMI Truyền thông Secure SIMATIC PG/HMI Quản lý Certificate qua OPC UA PLC S7-1500 – Tính GDS Trang 28 Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 Quản lý Certificate qua OPC UA S7-1500 Tính GDS Quản lý Certificate OPC UA Global Discovery Server GDS Certificate cập nhật chạy runtime ▪ Hỗ trợ danh sách Certificate thu hồi - CRLs ▪ Bảo vệ truy cập việc quản lý certificate Lợi ích ▪ Cài đặt cập nhật OPC UA server certificate runtime ▪ Hỗ trợ việc cấp quyền truy cập thời hạn làm việc Thu hồi certificate lúc chạy runtime ▪ Hạn chế quyền truy cập nhân viên cũ hệ thống bị xâm phạm Trang 29 Unrestricted | © Siemens 2021 | Ban Công Nghiệp Số | Lê Tiến Vinh | 2021-11 OPC UA GDS Server GDS Push ▪ OPC UA Server certificate S7-1500 CPU with OPC UA GDS support Trust-List Revocation List (CRL) … or TIA Portal Cảm ơn quan tâm theo dõi Quý vị! Để tìm hiểu thêm cần trợ giúp, xin vui lòng liên hệ: Anh Lê Tiến Vinh Ban Công Nghiệp Số Siemens Việt Nam Email: le-tien.vinh@siemens.com www.siemens.com.vn www.facebook.com/Siemens.Vietnam Trang 31 Unrestricted | © Siemens 2021 | Ban Cơng Nghiệp Số | Lê Tiến Vinh | 2021-11