Moderne Automatisierungslösungen setzen zunehmend offene und vernetzte Systemarchitekturen und Komponenten der Standard-IT ein. Automatisierungstechnik ist somit auch den aus der Standard-IT bekannten Bedrohungen und Risiken ausgesetzt. Das IT-Sicherheitsgesetz, das seit Mitte 2015 in Kraft ist, trägt dieser Situation Rechnung und richtet sich an die Betreiber kritischer Infrastrukturen mit dem Ziel, ein angemessenes Schutzniveau zu erreichen. Dadurch ergeben sich auch ganz neue Herausforderungen für die Hersteller von Automatisierungsgeräten. Welche das konkret sind und welche Maßnahmen die PFC100/200-Controller-Familie von Wago dafür bietet, erläuterte Marc-Andree Paul während einer Fachtagung Ende August bei Wago in Minden.
Die IT-Grundschutzkataloge des BSI (Bundesamt für Sicherheit in der Informationstechnik) definieren Szenarien und Schutzmaßnahmen basierend auf der ISO 27002 und orientieren sich dabei am Stand der Technik. Darauf aufbauend wurden branchenspezifische Richtlinien und Empfehlungen verfasst. Dementsprechend ist es erforderlich, bestimmte organisatorische und technische Maßnahmen zu ergreifen, die die Verfügbarkeit, Vertraulichkeit, Integrität sowie Authentizität von Systemen und Daten gewährleisten. Eine praxisgerechte Lösung erfordert das Zusammenspiel von Betreiber, Hersteller und Komponentenlieferant hinsichtlich der Prozesse und technischen Anforderungen über den gesamten Lebenszyklus hinweg – beginnend mit dem Anlagendesign, über die Inbetriebnahme und den Service bis zur Außertriebsetzung. Allen Bemühungen voran stehen eine genaue Analyse der Assets und die Identifikation der damit verbundenen potenziellen Bedrohungen. Erst danach können die Schutzziele und Maßnahmen definiert und umgesetzt werden. IT-Security-Konzepte müssen dabei integraler Bestandteil der automationstechnischen Komponenten werden, um die Technik beherrschbar zu halten.
Wachsende Bedeutung für die Industrie
Die durch das IoT (Internet of Things) angestrebte Produktivitätssteigerung wird unter anderem erst durch einen transparenten Zugriff auf die Produktionsdaten ermöglicht. Zudem können Wartung, Service und gesetzliche Dokumentationspflicht komplexer Systeme oft nicht durch Personal vor Ort geleistet werden. Dadurch wird ein Fernzugriff notwendig. Auch die Vernetzung funktionaler Einheiten resultiert in gesteigerten Sicherheitsanforderungen. Das gilt für räumlich begrenzte Industrieanlagen und insbesondere für verteilte Anlagen der Prozess- und Energietechnik.
Um eine sichere Systemarchitektur aufzubauen, gilt es daher drei verschiedene grundlegende Prinzipien zu beachten. Das Defense-in-Depth-Konzept beruht beispielsweise darauf, Sicherheitslösungen zu staffeln oder zu schichten, sodass im Fall der Umgehung einer Schicht eine andere weiterhin Schutz gewährleistet. Durch das „Minimal-Need-To-Know-Prinzip“ werden Anwendern und Prozessen nur die maximal erforderlichen Rechte zugewiesen. Das Redundanzprinzip setzt auf Technologien, die sicherstellen sollen, dass der Ausfall einzelner Komponenten nicht die Sicherheitsfunktionen beeinträchtigt. Auch sollen die Auswirkungen eines uneingeschränkten Anforderns von Systemressourcen minimiert werden. Konkrete technische sowie organisatorische Maßnahmen sind dabei unter anderem die dauerhafte Grundsicherung und Systemhärtung mittels Patch-Management (Updatefähigkeit) sowie die Langzeitverfügbarkeit der Betriebssysteme. Die Verschlüsselung sensibler Daten (SSL/TLS) bei Speicherung und Übertragung ist ebenso Voraussetzung wie eine entsprechende Netzwerkkonzeption (Segmentierung/Firewall/VPN). Eine sichere Standardkonfiguration und Benutzerauthentifizierung sowie die Vergabe von Benutzerrollen sind ebenfalls Bestandteil des Anforderungskatalogs. Diese Maßnahmen und Prozesse werden typischerweise regelmäßig in Audits überprüft.
Unautorisierten Zugang verhindern
Auch Verschlüsselungsstandard nach TLS1.2 (SSH, FTPS, HTPS, etc.) werden unterstützt. Die Controller PFC100/200 bieten On-board-VPN-Funktionalität basierend auf dem sogenannten Strongswan Package, einer sicheren Kommunikationslösung für Linux-Betriebssysteme. Bei der Kommunikation mit einem Controller PFC100/200 wird eine verschlüsselte LAN/WAN-Verbindung aufgebaut, deren Inhalt nur die beiden Endpunkte verstehen können. Verbindungen werden nur nach erfolgter Authentifizierung aufgebaut. Mit Pre-Shared-Key kommt ein Verschlüsselungsverfahren zum Einsatz, bei dem die Schlüssel vor der Kommunikation beiden Teilnehmern bekannt sein müssen. Dieses Verfahren hat den Vorteil, dass es einfach zu realisieren ist. Alternativ ist das x509-Zertifikat verfügbar; ein Verfahren für eine Public-Key-Infrastruktur zum Erstellen digitaler Zertifikate. Der Aufbau einer VPN-Verbindung erfolgt nach den Standards openVPN und IPsec. Während IPsec auf Betriebssystemebene beziehungsweise Layer 3 verschlüsselt, sorgt OpenVPN auf der Anwendungsebene (Layer 5) für Datenintegrität. So entstehen abhör- und manipulationssichere Kommunikationsverbindungen zwischen den Controllern und den Netz-Zugangspunkten.
Sicherstellung der Verfügbarkeit
Die Controller der PFC100/200-Familie enthalten einen integrierten Managed Switch, mit dem sich Linien oder redundante Ethernet-Verbindungen realisieren lassen. Sie ermöglichen außerdem eine Bandbreitenbegrenzung direkt im Switch. Eine durchgängige Integration in Ringstrukturen beziehungsweise eine redundante Ankopplung an die Netzwerkinfrastruktur ist somit möglich. Wago bietet verschiedene externe Managed Switches an, die Technologien wie ARP Inspection, DHCP Snooping und StormControl sowie eine Vielzahl von performanten Ringprotokollen unterstützen.
Eine Nutzerverwaltung sowie die Zugriffsprotokolle wie HTTPS, FTPS, SNMPV3 und SSH sind ebenfalls integriert. Abschaltbare Ports, MAC-Whitelisting sowie Firewalls erhöhen die Sicherheit zusätzlich. Externe Managed Switches bieten darüber hinaus den Layer 3 Access Control (Port Security) oder die IEEE-802.1X-Port-Authentifikation. Die Switche sind somit eine hervorragende Ergänzung zu den Controllern der PFC100/200-Familie. Eine hohe Aufmerksamkeit sollte der Dokumentation aller Vorgänge im Netz und auf der Steuerung gewidmet werden. Das Betriebssystem der Controller erzeugt dazu verschiedene System- bzw. anwendungsspezifische Logfiles. Es protokolliert alle Zugriffe, Aktionen und Ereignisse. Datenträger werden beim Einsatz verschlüsselt. Protokollierung und sichere Datenspeicherung erfolgen direkt auf dem System.
Sicherer Betrieb der Controller
Die Controller der PFC100/200-Familie von Wago zeichnen sich durch ein plattformübergreifendes Realtime-Linux aus, das als Open-Source-Betriebssystem langzeitverfügbar, skalierbar und updatefähig ist und Tools wie Rsync, Fail2Ban sowie Virenscanner unterstützt. Natürlich gibt es je nach Einsatz und Risikoanalyse unterschiedlich hohe Anforderungen an das Niveau einer Sicherheitslösung. Die PFC100/200-Familie ist in jedem Fall für die Umsetzung der aktuell höchsten Sicherheitsanforderungen nach ISO 27002 aufgestellt. Grundsätzlich sollte man auch in weniger kritischen Anwendungen einige einfache Vorkehrungen treffen: Unsichere Protokolle wie Telnet, http, ftp oder SNMP sind möglichst zu vermeiden und verschlüsselte Protokolle zu bevorzugen. Nicht benötigte Ports (Protokolle) sind bestenfalls zu deaktivieren. Default-Passwörter sollten selbstverständlich immer geändert und Benutzerrollen zugewiesen werden. Nach der Inbetriebnahme eines Controllers können auch der Codesys- und Wago-Service-Port deaktiviert werden.
Der Autor:
Marc-Andree Paul ist Leiter Business Development Automation bei Wago Kontakttechnik
Kontakt
info
Wago Kontakttechnik GmbH & Co. KG
Minden
Tel. +49 571/887-0
Weitere Informationen zum Thema:
Teilen:
