Die Sicherheit einer Anwendung muss als Prozess betrachtet werden Safety ohne Security geht nicht - KEM

Die Sicherheit einer Anwendung muss als Prozess betrachtet werden

Safety ohne Security geht nicht

Anzeige
Das Thema Safety und die funktionale Sicherheit haben im Maschinen- und Anlagenbau inzwischen einen hohen Stellenwert. Dieser Sachverhalt ist sicherlich auch mitverantwortlich für den beachtlichen Exporterfolg deutscher Produkte und deren guten Ruf. Etwas anders sieht es noch immer mit der Security aus. Da werden komplette Anlagen mit dem Internet verbunden und die Fernzugriffsschnittstelle lediglich mit einem Benutzernamen und einem Passwort geschützt. Lösungen für mehr Sicherheit bietet SSV Embedded.

Klaus-Dieter Walter, Geschäftsführer SSV Software Systems

Dass man mit der Benutzername-Passwort-Kombination heute keine Angreifer fernhalten kann, musste vor einiger Zeit ein führender deutscher Hersteller von Hightech-Heizungen erfahren, der die Steuerungen eines namhaften Schweizer Anbieters einsetzt. Da viele betroffene Anlagen über die Angriffsziel-Suchmaschine Shodan zu finden waren, wurde in diesem Fall sogar das BSI (Bundesamt für Sicherheit in der Informationstechnik) eingeschaltet. Über den Vorfall wurde in den Medien ausgiebig berichtet. Vor kurzem waren in großem Stil Router, Security-Kameras und andere IoT-Geräte betroffen. Viele dieser Baugruppen waren und sind zum Teil immer noch lediglich mit einem werkseitig voreingestellten Benutzernamen/Passwort vor unerlaubten Zugriffen aus dem Internet geschützt.
Eigentlich haben die Unternehmen in Deutschland das Potenzial, auch bei der Security für Maschinen und Anlagen ganz vorne mitzuspielen. Dazu muss lediglich dafür gesorgt werden, dass die erforderlichen Security-Baugruppen und Funktionen – ähnlich wie Kfz-Sicherheitsgurte in den 70er Jahren – nicht erst vom Betreiber nachträglich selbst beschafft und hinzugefügt werden müssen, sondern gleich zur Standardausstattung gehören.
SSV Software Systems hat inzwischen eine hochentwickelte und praxiserprobte Security-Plattform mit zahlreichen Bausteinen für Maschinen- und Anlagenbauer zu bieten, mit der nicht nur der betroffene Hightech-Heizungshersteller die aktuellen Fernzugriffsprobleme lösen konnte und die auch erfolgreich einem umfangreichen Sicherheitscheck durch einen Prüfdienstleister unterzogen wurde.
Architekturbedingte Schwachstellen
Eigentlich ist es schon mehr als verwunderlich, dass unzählige Steuerungen und MSR-Baugruppen heute zwar überwiegend mit IP-fähigen Schnittstellen und entsprechenden Softwarefunktionen (wie Webserver) ausgestattet sind, aber meistens ohne spezielle bzw. geeignete Schutzmaßnahmen gegen externe und interne Angriffe betrieben werden. Dabei zeigt schon ein Blick auf die typische Regelschleife einer MSR-Anwendung, dass es aus Sicht der IT-Security mit der HMI- und Fernzugriffs- bzw. Wartungsschnittstelle zwei architekturbedingte Schwachstellen für Angreifer gibt. Über diese Schnittstellen lassen sich MSR-Systeme mit überschaubarem Aufwand manipulieren und nachhaltig stören.
Die meisten Steuerungen und Regelungen benötigen eine Bedienerschnittstelle, um zum Beispiel Sollwerte einzustellen und aktuelle Prozessdaten zu visualisieren. Solche HMI-Lösungen werden entweder als dedizierte Systeme oder aber als Baustein auf einer PC-Plattform realisiert, die häufig in andere Netzwerke, zum Beispiel ein Corporate-LAN, eingebunden ist. Durch eine solche Office-IT-Verbindung besteht aber oftmals ein risikobehafteter (indirekter) Link zum weltweiten Internet. Dieser Sachverhalt ist vielen MSR-Technikern und Anlagenverantwortlichen häufig noch nicht einmal bekannt – sie meinen nach wie vor, ihre Anlage bzw. MSR-Lösung hat überhaupt keine Verbindung zum Internet.
Um die Verfügbarkeit einer Lösung zu steigern und im Störungsfall möglichst schnell reagieren zu können, haben viele Hersteller ihre Produkte und Lösungen mit einer internetbasierten Fernwartungsschnittstelle ausgestattet. Welches Gefahrenpotenzial sich hinter einem solchen Zugang verbirgt, kann man dem BSI-Dokument ‚Industrial Control System Security – Top 10 Bedrohungen und Gegenmaßnahmen‘ entnehmen. Die ‚Unberechtigte Nutzung von Fernwartungszugängen‘ findet man dort auf dem ersten Platz der Top 10.
Durch zukünftige Industrie-4.0-Anwendungen wird noch mindestens eine weitere unsichere Schnittstelle hinzukommen. Neben dem Fernwartungs-Interface wird dann auch eine spezielle Interoperabilitätsschnittstelle existieren, um die einzelnen Steuerungs- und IT-Anwendungen verschiedener Standorte miteinander zu verbinden. Ohne entsprechende Sicherheitsvorkehrungen können Angreifer dann nicht nur die IT- und Automatisierungssysteme eines einzelnen Unternehmens, sondern sogar einer vollständigen Lieferkette attackieren.
Firewalls und VPNs nutzen
HMI-Schnittstellen sind in der Regel völlig ungeschützte Zugänge, um einer Visualisierungsbaugruppe oder Software den Schreib-/Lesezugriff auf die Daten einer Steuerung zu ermöglichen. Ein typisches Beispiel wäre der Zugriff einer Scada-Software auf die Modbus-Schnittstelle einer SPS, um Parametervorgaben zu schreiben und Prozessdaten zu lesen. Zwischen der IP-Schnittstelle einer Steuerung und einem HMI-System sollte aus Sicherheitsgründen ein geeigneter Paketfilter als Firewall betrieben werden.
Viele Wartungszugänge haben lediglich einen Passwortschutz. Zur wirkungsvollen Absicherung einer Fernzugriffs- und Wartungsschnittstelle empfiehlt sich der Einsatz eines Virtual Private Networks (VPN). Dafür wird zwischen Steuerung bzw. MSR-Baugruppe und Internet ein VPN-Gateway geschaltet, das den Endpunkt eines speziellen Sicherheitstunnels bildet.
Am anderen Tunnelende befindet sich in der Regel ein Servicerechner für den Fernzugriff mit einer entsprechenden VPN-Software. Die Tunnelverbindung durch das Internet wird mit Hilfe einer aufwändigen Datenverschlüsselung und Signierung abgesichert. Um die Sicherheit zu optimieren, wird der Schlüssel (Session Key) für den Tunnel alle paar Stunden automatisch geändert. Vor dem Aufbau des VPN-Tunnels müssen sich die Kommunikationspartner beidseitig mit Hilfe sogenannter X.509-Zertifikate authentifizieren. Da der Verbindungsaufbau zwischen VPN-Gateway und Servicerechner nicht direkt, sondern über einen Fernwartungs-Infrastrukturserver (z. B. der Security Server SSR/525) erfolgt, lässt sich durch das Ausstellen und Sperren einzelner Zertifikate die Zugriffsberechtigung für alle Systeme verwalten.
Gesamtlösung prüfen und testen
Hinsichtlich der Security ist jede Lösung ein individuelles System mit unterschiedlichen Anforderungen und Gegebenheiten. Insofern kann es für eine bestimmte MSR-Anwendung auch keine Security-Lösung von der Stange geben, die einmal eingebaut und dann vergessen wird. Die Sicherheit einer Anwendung muss als Prozess behandelt werden. Insofern ist das Ergebnis auch immer wieder durch Audits zu überprüfen. Dazu gehören auch Penetrationstests nach den jeweils neuesten Gesichtspunkten, um einen optimalen Schutz für die HMI- und Fernzugriffsschnittstellen zu gewährleisten. ge
Anzeige

Aktuelles Whitepaper

Modellierung leicht gemacht!

Aktuelle Ausgabe

Newsletter

Unsere Dosis Wissensvorsprung für Sie. Jetzt kostenlos abonnieren!

Kalender

Aktuelle Termine für Konstrukteure

Webinare & Webcasts

Technisches Wissen aus erster Hand

Whitepaper

Hier finden Sie aktuelle Whitepaper
Anzeige

Industrie.de Infoservice

Vielen Dank für Ihre Bestellung!
Sie erhalten in Kürze eine Bestätigung per E-Mail.
Von Ihnen ausgesucht:
Weitere Informationen gewünscht?
Einfach neue Dokumente auswählen
und zuletzt Adresse eingeben.
Wie funktioniert der Industrie.de Infoservice?
Zur Hilfeseite »
Ihre Adresse:














Die Konradin Verlag Robert Kohlhammer GmbH erhebt, verarbeitet und nutzt die Daten, die der Nutzer bei der Registrierung zum Industrie.de Infoservice freiwillig zur Verfügung stellt, zum Zwecke der Erfüllung dieses Nutzungsverhältnisses. Der Nutzer erhält damit Zugang zu den Dokumenten des Industrie.de Infoservice.
AGB
datenschutz-online@konradin.de