Fondo:

DNP3 (Protocolo de red distribuido) es un conjunto de protocolos de comunicación utilizados entre los componentes de los sistemas SCADA. Su uso principal está en las utilidades tales como compañías eléctricas y del agua. Fue desarrollado para la comunicación entre varios tipos de adquisición de datos y equipos de control. Desempeña un papel crucial en SCADA systems, donde es utilizado por las estaciones maestras de SCADA (a.k.a. Centros de control), unidades terminales remotas y dispositivos electrónicos inteligentes.

Actualmente tenemos 5 App-IDs para DNP3 y estamos planeando extender esto a todos los códigos de función de DNP3 que llevará esto a 32 App-IDs. Dado que este es un protocolo crucial utilizado en los sistemas SCADA y ICS, nos gustaría introducir estos cambios de una manera que permita a los clientes absorber sin problemas estos cambios y no interrumpir las implementaciones existentes utilizando el DNP3 app-id.

Plan de liberación:

En la semana del 21 de agosto de 2017, Palo Alto Networks estará añadiendo 27 App-IDS para los códigos de función DNP3. La lista de App-IDS que se habilitará en la semana del 17 de agosto es la siguiente:

DNP3-confirme
DNP3-SELECT
DNP3-Direct-Operate-no-resp
DNP3-Freeze DNP3-congelar-
no-resp
DNP3-Clear
DNP3-Clear-no -resp

DNP3-congelar-en-tiempo DNP3-congelar-
en-tiempo-no-resp
DNP3-Cold-restart
DNP3-Warm-restart
DNP3-inicializar-Data
DNP3-inicializar-Application

DNP3-Inicio-aplicación
DNP3-STOP-aplicación
DNP3-guardar-configuración
DNP3-habilitar-DNP3 no solicitado
-deshabilitar-DNP3 no solicitado
-asignar-clase
DNP3-retardo-medida

DNP3-registro-actual-tiempo
DNP3-abrir-archivo
DNP3-cerrar-archivo
DNP3-eliminar-archivo
DNP3-Get-archivo-información
DNP3-autenticar-archivo
DNP3-abortar-archivo

Estos 27 App-IDS serán lanzados en dos fases: 

• Julio 2017-27 DNP3 marcador de funciones funcional App-IDs será liberado -plazo de liberación (semana del 17 de julio, 2017) 
• Agosto 2017-habilitar el 27 DNP3 funcional App-IDs-liberación marco de tiempo (semana del 21 de agosto, 2017) 

El marcador de tiempo App-IDS permite a nuestros clientes hacer los cambios de política necesarios a sus cortafuegos con anticipación.  Marcador de posición App-ID da tiempo suficiente para que los clientes a planificar y agregar el ID de App a su política de seguridad.

Preguntas frecuentes

P: ¿por qué Palo Alto Networks hizo este cambio?

A: sobre la base de nuestra interacción con muchos de nuestros clientes en el SCADA y el espacio ICS y la evolución de la amenaza de paisaje una solicitud de DNP3 predefinido App-IDS ha llegado a menudo. Siendo conscientes de ello y nuestros continuos esfuerzos para proporcionar visibilidad de las aplicaciones en el espacio SCADA hemos tomado la decisión de liberar estos 27 DNP3 App-IDS adicionales.

P: ¿qué política de cambios serán necesarios?

A: si usted es un cliente que está utilizando una política basada en app-id y el app-id llamado DNP3-base para permitir el tráfico relacionado con DNP3, se le requerirá cambiar esta directiva para "agregar" el DNP3 App-IDS requerido de esta lista de 27 App-IDS. Preste mucha atención a la palabra "Add" en la frase anterior. Le sugerimos que no elimine la DNP3-base sino que añada más DPN3 Functional App-IDS a esa política existente.

UN enfoque algo más fácil pero menos granular podría ser sólo permitir el DNP3 Container App-ID que permitirá a todos DNP3 App-IDs.

Sin embargo, para un acercamiento más granular, sugerimos que los clientes evalúen qué tipo de tráfico de DNP3 se debe permitir y sólo permiten ésos específico DNP3 código de la función App-IDS. Tenga en cuenta que la política de seguridad de abajo es sólo un ejemplo y cada configuración de clientes diferirá. Por favor use su propio juicio y conocimiento de flujos DNP3 que existen en su red para construir la política correcta. 

P: ¿Qué sucede si utilizo políticas basadas en puertos para permitir el tráfico relacionado con DNP3?

A: si utiliza directivas basadas en puertos para habilitar de forma segura el tráfico de DNP3, no se verá afectado por este cambio. Sin embargo, recomendamos encarecidamente que comience a utilizar el DNP3 app-id para permitir el tráfico de forma segura relacionado con DNP3.

P: ¿Qué sucede si DNP3-base no se sustituye por uno o más de los Dnp3 funcionales App-IDS en las directivas de seguridad?

A: en la semana del 21 de agosto de 2017, se habilitarán los 27 DNP3 funcionales App-IDS. Cualquier tráfico que se identificó anteriormente como DNP3-base ahora se identificará como uno de estos 27 App-IDS funcionales si coincide con las firmas de estos nuevos App-IDS.  Si la Directiva de seguridad existente tiene DNP3-base explícitamente permitida y hay un tráfico que coincida con uno de estos 27 DNP3 funcionales App-IDS puede ser caído.