Security- und Konfigurations-Baukasten

Jos Zenner, Produktmanager, Welotec

IoT, IIoT, M2M oder Industrie 4.0 sind derzeit in aller Munde – kein Wunder, schließlich eröffnet die zunehmende Vernetzung von Maschinen viele neue Möglichkeiten und erschließt neue Märkte. So lassen sich in der Energiewirtschaft durch Fernwartung und Remote- Monitoring Prozesse verschlanken oder einsparen: Wenn periphere Anlagen über Kabel, Daten- oder Mobilfunk an zentrale Stationen angebunden sind, werden Einsätze zur Zustandsüberwachung oder zum Auslesen von Zählern hinfällig. Durch vorausschauende Wartung können Störungen vermieden und Kosten gesenkt werden.

Die Vernetzung erlaubt es Unternehmen, aus der Ferne zu schalten und zu überwachen. Zählten Analysten von Ovum 2015 noch 224.000.000 mobile IoT-Verbindungen, so werden es Schätzung der GSMA zufolge bis 2020 bereits 2.000.000.000 sein. Durch die weltweite Vernetzung ergeben sich bezüglich der IT-Sicherheit Herausforderungen, die lange Zeit unterschätzt wurden. Wie prekär die Lage ist, lässt sich im Selbstversuch herausfinden: Eine unsichere Verbindung über einen Router wird bereits innerhalb weniger Sekunden oder Minuten zu Attacken führen.

Große Hacker-Angriffe haben auch in den Medien das Problem vor Augen geführt. Entsprechend rückten die Regierung, Verbände und Unternehmen das Thema IT-Sicherheit in den Vordergrund. So engagiert sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) verstärkt für die Sicherheit von vernetzten Geräten. Im Bereich der kritischen Infrastrukturen sind bereits Gesetzes-Vorgaben in Kraft: Um möglichen Angriffen vorzubeugen und für eine stärkere Bedrohungslage gerüstet zu sein, müssen Unternehmen aus dieser Branche ein unternehmensweites ISMS einführen, das sich in Deutschland an der Norm für IT-Sicherheitsverfahren ISO 27001 orientiert.

Solche sichere Prozesse lassen sich aber nicht über Nacht implementieren. Gerade Mittelständler sind damit oft überfordert. Welotec hat deshalb zusammen mit Unternehmen aus der Energie- und Wasserwirtschaft einen Baukasten für eine ISMS-konforme Datenanbindung entwickelt, mit denen sich die gesetzlichen Anforderungen einfach erfüllen lassen. Im Bereich der kritischen Infrastrukturen gab es beispielsweise für das Firmware-Management keine adäquate Lösung am Markt. Aufgrund der langjährigen Tätigkeit als Value-Added-Distributor für Kommunikations- und Automationslösungen verfügt Welotec über weitreichende Erfahrung mit dem Thema Sicherheit. Basierend auf der Expertise hat das Unternehmen einen Sicherheits-Baukasten entwickelt. Die Welotec Security Suite umfasst neben den sicheren Routern der TK800-Serie sowohl eine Lösung für den sicheren Verbindungsaufbau über VPN (IGNIS Firewall und VPN Konzentrator) als auch ein funkbasiertes Router-Management-System (DS800 Deployment Server).

Die Router-Serie TK800 gewährleisten Sicherheit und Verfügbarkeit beim Zugriff auf Anlagen oder Geräte. Die Router unterstützen IPv6 und erreichen eine höhere Verfügbarkeit durch Dual-SIM, d.h. alle Geräte können mit SIM-Karten verschiedener Provider betrieben werden. Tritt ein Netzausfall oder eine Störung bei einem Provider auf, wechselt der Router automatisch in ein anderes Netz. Außerdem sind alle Geräte im Mobilfunkstandard abwärtskompatibel. So unterstützt die 4G-LTE-Variante auch 3G.

Bei der Datenübertragung steht die Sicherheit selbstverständlich im Vordergrund. Die TK800-Serie ist mit einer integrierten Firewall ausgestattet. Die statischen und dynamischen VPN-Protokolle IPsec IKEv2, OpenVPN, DMVPN, L2TP und GRE ermöglichen eine sichere Vernetzung. Ein intelligentes AAA-Management (Authentication, Authorization, Accounting) sorgt außerdem für Sicherheit. Die Geräte sind in der Lage, lokale und serverbasierte AAA-Lösungen wie TACAS+, RADIUS und mehr zur Authentifizierung zu nutzen. Das Routing erfolgt statisch oder dynamisch mit RIP oder OSPF.

Ein weiteres Modul im Security-Baukasten bilden die IGNIS-Firewall und der VPN Konzentrator. Die integrierte Firewall dient der Absicherung von Unternehmens-, Anwendungs- oder Router-Netzwerken. Sie lässt sich auch als VPN-Gegenstelle von Routern im Feld nutzen. Die Security-Engine ist als Network-Security-Appliance (für Welotec Hard- und Software) oder als virtuelle Maschine (Software zur Eigeninstallation) erhältlich. Die besonders ausfallsichere Lösung unterstützt Stateful Packet Inspection, IPsec IKEv2 und OpenVPN-Management mit Next Generation Encryption. Sie wehrt zuverlässig Angreifer ab (Intrusion Detection) – gleichzeitig wird über die Funktion Traffic Shaper sichergestellt, dass während des Angriffs die geeignete Bandbreite für die eigentliche Anwendung zur Verfügung steht. Für eine hohe IT-Verfügbarkeit sorgt der sogenannte Hardware Failover: Sollte ein Gerät ausfallen, übernimmt ein anderes die Arbeit. Nicht zuletzt benachrichtigt die Lösung den Anwender bei abnormalen Vorgängen – zum Beispiel, wenn ein Prozessor ausfällt. Dank regelmäßiger Backups lässt sich die Konfiguration der Firewall sichern und – falls es zu einem Ausfall kommt – wiederherstellen.

Der dritte Baustein in der Security Suite ist der DS800 Deployment Server. Die Lösung ermöglicht unter anderem Softwareaktualisierungen und Neukonfigurationen der Router ganz einfach über die jeweilige Datenverbindung. Gerade bei großen Projekten spart das Zeit und Geld. Die Lösung ermöglicht nicht nur die Verwaltung der Geräte selbst, sondern auch das das Management der Router-Konfiguration – inklusive automatischer Validierung. Auch Firmware-Updates lassen sich schnell und einfach durchführen.

Der DS800 Deployment-Server ist das Ergebnis der Kooperation von Welotec mit großen Energieversorgern: In einem Projekt sollten Zehntausende der TK800-Router implementiert werden. Um diese Mammut-Aufgabe möglichst effizient abwickeln zu können, entwickelte Welotec eine eigene, neuartige Management-Software. Damit gestaltete sich der Roll-Out des Systems vergleichsweise einfach: Die Router wurden vorkonfiguriert und mit einer SIM-Karte ausgestattet. Nach dem Einbau bauten die Router automatisch die Verbindung zum DS800 Deployment Server auf, über den sie anschließend eine neue Konfiguration erhielten und sich so in das hochsichere Netzwerk des Energieversorgers verbinden konnten. Dieses Management-Tool ermöglicht die sichere und schnelle Abwicklung auch von extrem großen Projekten. Insofern ist der DS800 Deployment Server ein unverzichtbarer Baustein unserer Security Suite. ge