Compreendendo o RTI Connext DDS Secure

Nosso produto Connext DDS Secure está gerando um interesse sem precedentes. Raramente vemos tanta demanda e curiosidade sobre um produto. É especialmente incomum porque o produto ainda está em Beta, mas os clientes estão planejando enviá-lo o mais rápido possível. Pensei em responder a algumas das perguntas mais comuns.

Primeiro, o novo padrão de segurança DDS especifica uma arquitetura e um modelo de segurança. O padrão Beta foi adotado em março pela OMG. Nós (RTI) presidimos o comitê de finalização; deve ser final no próximo ano. RTI é o primeiro com suporte para o novo padrão. Tenho certeza de que outros fornecedores de DDS também irão implementá-lo, mas ninguém mais tem um produto ainda.

A segurança DDS é única no espaço de middleware por vários motivos. Primeiro, ele aborda a segurança de forma mais completa do que outros padrões. A especificação cobre autenticação, controle de acesso, confidencialidade, integridade, não repúdio e registro. Em segundo lugar, ele tem um design "plug-in". A especificação define um conjunto de componentes de plug-in padrão e uma especificação de fio interoperável. Porém, você pode definir seus próprios algoritmos para os plug-ins. Finalmente, ele protege os "tópicos" do DDS, não nós ou conexões. Portanto, ele oferece controle de baixa granularidade e pode se adaptar aos requisitos exclusivos da Internet das Coisas (IIoT) Industrial. É o primeiro padrão de segurança voltado para redes IIoT dispositivo a dispositivo e dispositivo para nuvem, em vez de arquiteturas centradas em humanos ou servidor.

Talvez um exemplo torne isso mais claro. Considere este sistema (muito) simples:

Segurança DDS

Aqui, "PMU" representa um sensor (uma unidade de medição de fase, comum no controle de potência). O componente de análise "CBM" (manutenção baseada na condição) está monitorando o sistema e procurando por problemas de integridade do sistema. A operação simples deste sistema:o sensor PMU escreve o estado, o controle lê esse estado e escreve um ponto de ajuste. O CBM lê o estado e grava alarmes. O operador pode monitorar o sistema.

No DDS, este sistema é facilmente configurado como fluxo de dados entre tópicos. Obviamente, o DDS especifica taxas de dados, requisitos de confiabilidade e muito mais.

Para proteger este sistema com o Connext DDS Secure, você criaria um arquivo de configuração que transmitisse isso:

 PMU:Estado (w) CBM:Estado (r); Alarmes (w) Controle:State (r), SetPoint (w) Operador:* (r), Setpoint (w) 

Isso diz, simplesmente, que PMU só pode escrever Estado. O controle só pode ler Estado e gravar SetPoint. CBM só pode ler o estado e definir alarmes. E o operador pode ler qualquer coisa e escrever no SetPoint (talvez para desligar o sistema). O Connext DDS Secure impõe diretamente essas restrições lógicas do sistema.

É realmente conceitualmente simples. Claro, você ainda precisa distribuir certificados e o arquivo de configuração. Porém, essa segurança "baseada em tópicos" é muito mais intuitiva para sistemas IIoT do que projetos baseados em protocolos de bloqueio ou isolamento de nós ou restrição de acesso com base em funções de usuário. O Connext DDS Secure atua no próprio fluxo de dados, de forma direta e simples.

É importante ressaltar que nosso produto Connext DDS Secure também não requer nenhuma alteração no código do aplicativo. Você o configura e vai. O Connext DDS Secure oferece proteção prática e intuitiva para os sistemas existentes.

Claro, nenhuma proteção de segurança é infalível. Portanto, a maioria dos sistemas de segurança práticos combinam proteção (impedindo coisas ruins) com detecção (localizando e isolando violações). Esta é a razão, por exemplo, que seu laptop possui um firewall (proteção) e um antivírus (detecção). Juntas, proteção e detecção fornecem sistemas muito mais seguros.

O DDS, sendo um software "DataBus", também permite fácil monitoramento. Usamos isso com o PNNL para implementar um teste de segurança "retrofit" para a rede elétrica, substituindo uma linha DNP3 antiga por uma linha DDS segura, implementando assim a proteção. Aproveitando o tráfego do DataBus e o fluxo de meta-tráfego, poderíamos adicionar um recurso de script (temos um componente Lua elegante). Scripts simples podem então detectar muitos ataques potenciais, incluindo sistemas comprometidos, ataques man-in-the-middle, etc.

Construiu um sistema de controle industrial seguro com Connext DDS »

Portanto, o DDS permite combinar proteção (o padrão) com detecção (por meio do DataBus). Ambos são relativamente simples de implementar.

Nosso produto está atualmente em versão de acesso antecipado. No entanto, já está em teste de incêndio. Aqui está uma atividade de teste muito extensa:

O teste de segurança cibernética USS SECURE é uma colaboração entre a National Security Agency, Departamento de Defesa Information Assurance Range Quantico, Combat Systems Direction Activity Dam Neck, NSWCDD, NSWC Carderock / Filadélfia, Office of Naval Research, Johns Hopkins University Applied Physics Lab e Real Time Innovations Inc. O banco de testes do USS SECURE determina a melhor combinação de tecnologias de defesa cibernética para proteger um combatente naval sem afetar os requisitos de desempenho agendados para prazos em tempo real.

Como você pode ver, nosso produto de segurança espera alguns clientes realmente exigentes. Não podemos dizer muito sobre esses testes por razões óbvias. No entanto, posso dizer que estou muito orgulhoso de nosso produto Connext DDS Secure. Neste e em muitos outros sites, está se mostrando extremamente eficaz.

RTI Connext DDS Secure estará disponível no próximo ano. Se você tiver dúvidas, pergunte ao seu representante local ...