An End-to-End defense mechanism for industrial real-time networks

Abstract

Real-time Ethernet protocols are commonly used in control task industrial applications. Some of these applications are safety-critical, business-critical and/or confidential. A disruption in the well-functioning of the industrial plant can cause serious damage in terms of lives and costs. There are vulnerabilities caused by the clear-text communications of I/O data between the entities in the industrial (SCADA) network, which can be exploited once an attacker gains access to the network. It is imperative to ensure secure communications between all the entities to prevent unwanted attacks and leakage of confidential information. This work studies the viability of using an authenticated encryption algorithm by proposing the use of a security mechanism along with metrics to evaluate its performance. The proposed mechanism is easily deployable at a very low cost, preventing an attacker from tampering with input/output (I/O) data and preventing control information leakage. The usage of authenticated encryption as a defense mechanism in this kind of scenario had not been addressed so far. The solution can be used to implement scalable secure I/O communication that can be used alongside a secure fieldbus protocol to achieve a secure zone, according to IEC 62443. Furthermore, the solution can be used to implement a security mechanism that encompasses communications between one or more programmable logic controllers (PLCs) and the supervisory control and data acquisition (SCADA) system. Experiments have been conducted in two parts using a testbed comprised of industrial equipment as a proof of concept. The first part involves assessing the viability of the proposed security mechanism in the communications between PLCs and I/O stations, while the second part involves assessing the viability of the proposed mechanism in the communications between PLCs and the supervisory system. The experiments were designed based on the amount of I/O points of a moderate-sized application. The results show that this a viable solution to the problem in both cases, presenting scalability in terms of I/O points with processing time growing linearly and a small increase without spikes in the latency.

Protocolos de tempo real baseados em Ethernet são frequentemente usados em tarefas de controle em aplicações industriais. Algumas dessas aplicações são críticas em termos de segurança, críticas para os negócios e/ou confidenciais. Uma interrupção no bom funcionamento da planta industrial pode causar sérios danos em termos de vidas e custos. Existem vulnerabilidades causadas pelas comunicações em texto não criptografado dos dados de entrada/saída (E/S) entre as entidades da rede industrial, que podem ser exploradas quando um invasor obtém acesso à rede. É imperativo garantir a existência de uma comunicação segura entre todas as entidades para evitar ataques indesejados e vazamento de informações confidenciais. Este trabalho estuda a viabilidade do uso de um algoritmo de criptografia autenticado, propondo o uso de um mecanismo de segurança junto com métricas para avaliar seu desempenho. O mecanismo proposto é facilmente implantável a um custo muito baixo, impedindo que um invasor adultere os dados de E/S e impedindo o vazamento de informações de controle. O uso da criptografia autenticada como mecanismo de defesa nesse tipo de cenário não havia sido abordado até o momento. A solução pode ser usada para implementar uma comunicação de E/S segura escalável que pode ser usada juntamente com um protocolo de secure fieldbus para se obter uma zona segura, de acordo com o padrão IEC 62443. Além disso, a solução pode ser usada para implementar um mecanismo de segurança que engloba as comunicações entre um ou mais controladores lógicos programáveis (CLPs) e o sistema de supervisão (sistema SCADA). Os experimentos foram conduzidos em duas partes, usando uma plataforma de teste composta de equipamentos industriais como prova de conceito. A primeira parte envolve a avaliação da viabilidade do mecanismo de segurança proposto nas comunicações entre CLPs e estações de E/S, enquanto a segunda parte envolve a avaliação da viabilidade do mecanismo proposto nas comunicações entre CLPs e o sistema SCADA. Os experimentos foram projetados com base na quantidade de pontos de E/S de uma aplicação de tamanho moderado. Os resultados mostram que essa é uma solução viável para o problema nos dois casos, apresentando escalabilidade em termos de pontos de E/S, com o tempo de processamento crescendo linearmente e um pequeno aumento sem picos na latência.