Un PAC M580 exécute un programme utilisateur qui traite les entrées et met à jour les sorties.

Un PAC M580 peut lire des entrées locales et écrire des sorties locales. Ces entrées/sorties, qui peuvent être numériques ou analogiques, permettent au PAC M580 de contrôler et commander le processus industriel.

Un PAC M580 peut communiquer avec un système SCADA pour recevoir des commandes et transmettre des données de processus via le protocole Modbus.

Un PAC M580 intègre des fonctions administratives, fournies dans Control Expert , à des fins de configuration et de programmation.

Un PAC M580 prend en charge la définition d'une stratégie de consignation à distance ; il peut consigner des événements de sécurité et d'administration.

Cette CPU respecte les règles de sécurité décrites dans les documents de sécurité (voir les hypothèses).

Ce module Ethernet gère les communications chiffrées avec la couche supérieure (logiciel de supervision et d'ingénierie Control Expert ).

Aucune modification d'application n'est autorisée.

Seules l'exécution de l'application et la modification de paramètres sont activées.

Toutes les fonctions sont activées.

Toutes les recommandations contenues dans la documentation (guides d’utilisation, livres blancs, etc.) sont appliquées avant l'évaluation.

Les administrateurs système sont compétents, formés et dignes de confiance.

L'accès à l'emplacement du PAC est réservé aux personnes dignes de confiance. En particulier, un utilisateur malveillant n'a pas accès aux ports physiques des PAC. Comme des produits identiques sont en vente libre, l'utilisateur malveillant peut s'en procurer un et rechercher des vulnérabilités par tous les moyens possibles.

Les services ne répondant pas aux impératifs de sécurité sont désactivés dans la configuration ou par un programme utilisateur (comme indiqué dans la documentation de sécurité).

L'administrateur contrôle l'intégrité de l'application Control Expert avant son chargement dans le PAC.

La fonction de consignation est opérationnelle et les journaux ne sont pas endommagés.

Les administrateurs système vérifient régulièrement les journaux locaux et distants.

La configuration initiale est chargée dans le PAC via l'interface USB, et le PAC est déconnecté du réseau.

Le micrologiciel est mis à niveau à l'aide de l'interface USB, et le PAC est déconnecté du réseau.

Les administrateurs système utilisent des mots de passe renforcés, qui combinent des majuscules, des minuscules, des chiffres et des caractères spéciaux.

Modicon M580 - Module de communication Ethernet BMENOC0301/0311 - Guide de l'utilisateur

Configuration des services de sécurité

Configuration des services de sécurité

Consignation d'événements de DTM et de module dans le serveur Syslog

Modicon M580 - Matériel - Manuel de référence

Protection mémoire

Protection d'un projet dans Control Expert

EcoStruxure™ Control Expert, Modes de fonctionnement

Protection du micrologiciel

Protection de sections et de sous-routines

Le PAC contrôle et commande un processus industriel en lisant des entrées et en envoyant des commandes à des actionneurs. La disponibilité de ces actions fait l'objet d'une protection.

L'intégrité, la confidentialité et l'authenticité des flux entre le PAC et le poste de travail d'ingénierie sont protégées.

X

L'intégrité et l'authenticité du micrologiciel sont protégées.

La mémoire du PAC contient la configuration du PAC et un programme chargé par l'utilisateur. Son intégrité et son authenticité sont protégées pendant l'exécution.

L'intégrité et l'authenticité du mode d'exécution du PAC sont protégées.

Les utilisateurs concernés ne divulguent pas les mots de passe qu'ils utilisent pour s'authentifier.

X

X

X

C, I

Di : disponibilité

I : intégrité

C : confidentialité

Au : authenticité

L'attaquant arrive à générer un refus de service sur le PAC en effectuant une action inattendue ou en explorant une vulnérabilité (envoi d'une requête mal formée, utilisation d'un fichier de configuration corrompu...). Ce refus de service affecte l'ensemble du PAC ou seulement certaines de ses fonctions.

L'attaquant parvient à injecter et exécuter un micrologiciel corrompu sur le PAC. L'injection de code peut être temporaire ou permanente et elle ne comprend aucune exécution de code inattendu ou non autorisé. Un utilisateur peut tenter d'installer cette mise à jour sur le PAC par des moyens légitimes. Au final, l'attaquant arrive à modifier la version du micrologiciel installée sur le PAC sans en avoir le droit.

L'attaquant parvient à modifier le mode d'exécution du PAC sans y être autorisé (commande stop par exemple).

L'attaquant parvient à modifier (temporairement ou de façon permanente) le programme utilisateur ou la configuration qui s'exécute dans la mémoire du PAC.

L'attaquant parvient à altérer les échanges entre le PAC et un composant externe sans être détecté. Il peut effectuer des attaques telles que le vol des informations d'identification, la violation du contrôle d'accès ou la mitigation du contrôle du processus industriel.

X

X

X

Le PAC a été développé pour gérer correctement les entrées mal formées, notamment le trafic réseau mal formé.

Le PAC a été développé pour gérer correctement les entrées mal formées, notamment le trafic réseau mal formé.

• PSK utilisé pour monter le tunnel IPsec

• Mot de passe d'application utilisé pour lire le fichier Control Expert .STU et connecter ce fichier au PAC

• Mots de passe d'autres services (comme FTP)

Les jetons de session sont protégés contre le piratage et la relecture ; ils ont une durée de vie brève. L'identité et les droits du compte utilisateur sont vérifiés systématiquement avant toute action nécessitant un privilège. Un mot de passe d'application est défini dans chaque configuration pour éviter toute modification du PAC par un utilisateur non authentique.

La stratégie de contrôle d'accès permet de garantir l'authenticité des opérations nécessitant des privilèges, à savoir les opérations qui peuvent modifier des équipements critiques identifiés. La liste de contrôle d'accès (ACL) est activée dans chaque configuration et seules les adresses IP identifiées peuvent se connecter au PAC.

Lors de chaque mise à jour de micrologiciel, l'intégrité et l'authenticité du nouveau micrologiciel sont vérifiées avant le lancement de la mise à jour.

La fonction de protection de la mémoire est activée dans chaque configuration, ce qui permet d'empêcher la modification du programme en cours d'exécution en l'absence d'action dans des entrées ou des sorties spécifiques. Si aucun module d'entrée/sortie n'est installé, l'interface de programmation est bloquée. Le PAC se charge d'assurer l'intégrité et l'authenticité du programme utilisateur, de sorte que ce dernier ne peut être modifié que par des utilisateurs autorisés.

La protection de la mémoire permet également de garantir la protection de la configuration, ce qui implique plusieurs paramètres de sécurité :

• Stratégie de contrôle d'accès.

• RUN/STOP par entrée uniquement activé.

• Protection de la mémoire activée.

• Services activés/désactivés (FTP, TFTP, HTTP, DHCP, SNMP, EIP, NTP).

• Paramètres IPsec.

• Paramètres Syslog.

Le PAC se charge d'assurer que le mode d'exécution ne peut être modifié que par des utilisateurs autorisés et authentifiés. La fonctionnalité RUN/STOP par entrée uniquement est activée, ce qui permet d'éliminer la possibilité de modification d'état RUN/STOP via l'interface Ethernet.

Le PAC prend en charge la communication chiffrée, protégée en termes d'intégrité, de confidentialité et d'authenticité (IPsec chiffré avec ESP). Le protocole FTP est désactivé et IPsec permet de sécuriser la communication Modbus via le module BMENOC0301/0311.