'Defense in depth'-Strategien

Grundschutz für die Fabrikautomation

Die Absicherung von Steuer- und Regelungstechnik von industriellen Anlagen bringt ihre ganz eigenen Anforderungen an Cyber-Sicherheit mit sich, die am besten schon bei der Installation berücksichtigt werden sollen. Einen umfassenden Ansatz zum Anlagenschutz vor Sicherheitsbedrohungen stellt die 'Defense-in-depth' dar, die auch der Standard IEC 62443 beschreibt. Eine zentrale Rolle zur Absicherung kritischer Verbindungspunkte kommt dabei Firewalls und Routern mit Sicherheitsfunktionen zu.

Bild: Moxa Europe

Ein Steuer- und Regelungsnetzwerk zu installieren erfordert das Abwägen zwischen Kosten- und Risikomanagement. Angriffe durch Malware sind einfacher und kostengünstiger abzuwehren, wogegen es wiederum schwieriger ist, sich gegen Hacker abzusichern. Die meistgenutzten Maßnahmen zum Schutz von Steuer- und Regelungsnetzwerken sind die verstärkte Wachsamkeit und die Einführung von Methoden, die den Angriffsprozess so stark verkomplizieren, dass es für Hacker uninteressant wird. Diese Methoden bilden das Herz der sogenannten ‚Defense-in-depth‘-Strategie, die auch für den Einsatz in der Industrie eignet.

Industriespezifischer Standard für Cyber-Sicherheit

Das American National Standards Institute (Ansi) und die International Society of Automation (ISA) tragen den besonderen Sicherheitsanforderungen von Steuer- und Regelungsnetzwerken mit ihren Standards ANSI/ISA-99 beziehungsweise IEC 62443 Rechnung. Im Zentrum dieses Standards steht das ‚Zone and Conduit‘-Sicherheitsmodell – frei übersetzt als ‚Zone und Leitung‘, das mit einer Defense in depth-Strategie implementiert wird: Im ANSI/ISA-99 Modell werden die Geräte in Steuer- und Regelungsnetzwerken in voneinander unabhängige Zonen segmentiert, welche aus miteinander verbundenen Geräten bestehen, die zur Erfüllung einer spezifischen Funktion zusammenarbeiten. Während die Kommunikation innerhalb einer Zone weniger restriktiv gehandelt wird, gilt für die verschiedenen Zonen die Anforderung, dass sie nur durch einen einzigen Punkt, Conduit oder Leitung genannt, miteinander kommunizieren dürfen. Dieser Punkt wird üblicherweise durch einen Secure Router oder eine Firewall geschützt. Conduits sind damit so abgesichert, dass sie nur spezifische Daten, die für die Koordination von Funktionen der verschiedenen Zonen erforderlich sind, durchlassen. Jegliche Kommunikation, die für die Funktion einer bestimmten Zone irrelevant ist, wie zum Beispiel HTTP-Verkehr zu einer Modbus TCP-Zone, wird vom Secure Router blockiert.

CRM Reifegrad im Vertrieb

In 9 Stufen vom CRM zur Kundendaten-DNA? Welche Stufen das CRM-Reifegradmodell charakterisieren und wie andere Unternehmen diese ausgestalten, lesen Sie im aktuellen Whitepaper der T-Systems MMS.‣ weiterlesen

Herausforderungen bei der Implementierung

Der kritischste Bereich des ISA-99-Sicherheitsmodells ist demnach eben der ‚Conduit‘, welcher durch einen Secure Router geschützt wird und eine Vielzahl von Verantwortlichkeiten besitzt:

Hohe Netzwerkleistung: Als Kontaktpunkt zwischen den Netzwerkzonen muss der Secure Router die nötige Netzwerkleistung haben, um den gesamten Datenverkehr zeitgerecht filtern und liefern zu können, sodass die Netzwerkleistung nicht beeinträchtigt wird. Jedes Gerät, das Sub-Netzwerke verbindet, erfährt ein hohes Datenaufkommen. Ansi/ISA-99-Conduit-Geräte fungieren damit effektiv als Backbone-Geräte, die verschiedene Subnetzwerke verbinden. Moderne Steuer- und Regelungsnetzwerke benötigen zudem eine immer größere Bandbreite, um fortschrittliche Anwendungen, wie Video, zu unterstützen. Zusätzlich dazu erfordern manche verteilten Steuer- und Regelungsnetzwerke oder ‚Distributed Control Systems‘ (DCS) gigabitbasierte Netzwerke für die effiziente Kommunikation. Um die Netzwerkverfügbarkeit zu erhalten, muss ein Zonen-Conduit stets den notwendigen Service bieten, während er als Firewall fungiert und unpassende Daten ohne Kompromisse bei der Leistung filtert.
Deep Packet Inspection: Als ‚Hüter der Sicherheit‘ zwischen benachbarten Zonen muss der Secure Router in der Lage sein, den Inhalt der Datenpakete von Industrieprotokollen akkurat auf Abnormitäten und Sicherheitsbedrohungen zu untersuchen. Eine herkömmliche Firewall reicht nicht für die besonderen Kommunikationsanforderungen eines Steuer- und Regelungsnetzwerks aus, da sie für die Inhalte industrieller Kommunikationsprotokolle – wie Modbus TCP – ‚blind‘ ist. Dies ist ein besonders kritisches Problem, da industrielle Kommunikationsprotokolle im Allgemeinen nur eine schlechte Sicherheit bieten: Industriegeräte antworten in der Regel einfach auf jedes Paket, das sie erhalten, einschließlich Abfragen, Ausschaltbefehlen, Firmware-Updates und Steuerbefehlen. Der Netzwerk-Conduit muss den Inhalt eines Pakets analysieren können. Nur so lassen sich sichere Pakete, wie das Lesen von Abfragen, von potenziell unsicheren Paketen, wie Ausschalt- oder Löschbefehlen, unterscheiden.
Komplexe Installation: Die Installationsdichte von Secure Routern für gut geschützte Steuer- und Regelungsnetzwerke erfordert einen zusätzlichen Aufwand in der Wartung von Ethernet Switches für die Netzwerkinfrastruktur sowie Secure Routern für die Firewall. Die herkömmliche Art zur Installation von Cyber-Sicherheit in Steuer- und Regelungsnetzwerken ist das Hinzufügen von Secure Routern oder Firewalls, die als sichere Conduits fungieren, also ein Zusatz zur bestehenden Netzwerk-Hardware, wie zum Beispiel Layer 2-Switches. Um eine Produktionsfläche zu schützen, genügen in der Regel ein oder zwei Hochleistungs-Secure Router aus, während der Schutz aller Netzwerkzonen schnell den zehnfachen Aufwand an Router-Integration erfordern kann. Nun empfehlen viele Regelwerke zur Cyber-Sicherheit, dass die Sicherheit auf Geräte-Zellen-Ebene implementiert werden muss. Das bedeutet, dass unter Umständen hunderte von Routern oder Firewalls auf der Feldebene installiert werden müssen. Eine solche Gerätestruktur zu installieren und zu verwalten, erfordert nicht nur hohe Kosten, sondern auch einen entsprechenden personellen und zeitlichen Aufwand.

Moxa stellt zur Absicherung von industriellen Netzwerken den Router EDR 810 mit Sicherheitsfunktionen zur Verfügung. Die Hardware verfügt über eine Firewall, bietet Router- und Switchfunktionen in einem Gerät und unterstützt auch die Analyse von Datenpaketen im Formad Modbus TCP. Bild: Moxa Europe

Router mit Sicherheitsfunktionen für die Industrie

Moxa bietet vor diesem Hintergrund seine aktuelle EDR-Serie von industriellen Secure Routern an. Die Geräte wurden entwickelt, um Administratoren von Steuer- und Regelungsnetzwerken alle Werkzeuge zu bieten, welche das Fachpersonal für die Installation eines mehrschichtigen Sicherheitskonzepts benötigen, das die ANSI/ISA-99-Richtlinien erfüllt. So verfügt die Gerätefamilie etwa über Gigabit-Uplinks, außerdem wurde die Hardware darauf ausgelegt, große Datenmengen einfach und sicher verarbeiten zu können. So sollen die Systeme auch bei hohem Datenaufkommen oder eines ‚Denial-of-service‘-Angriffs (DDOS) ausreichend Durchsatz bieten, um sogar eine nahtlose Videoleistung zu gewährleisten. Zusätzlich zur Firewall-, VPN- und NAT-Funktion bietet die Baureihe EDR-810 auch eine ‚Packetguard‘-Funktion für die Deep Packet Inspection von Modbus TCP-Datenpaketen. Zum Erstellen einer sicheren Zone weisen die Geräte zudem einen integrierten Switch und unterschiedliche Sicherheitsfunktionen auf. Die Ports dieses Routers können frei der WAN- oder der LAN-Seite zugeordnet werden. Auf diese Weise erhält man ein sehr flexibles Gerät, das je nach Wunsch eher mehr als Router oder als Switch eingesetzt werden kann. Auf Basis einer solchen, integrierten Lösung, welche Router- und Switch-Funktionen in einem Gerät kombiniert, lässt sich nicht nur die erforderliche Geräte-Konnektivität erreichen, sondern auch das Schutzniveau gegen ungewollte Zugriffe oder die Übertragung von Schadsoftware aus externen Netzwerken erhöhen.

Datum:19. Mai 2014

Autoren:

Themen: Hardware und Infrastruktur, Industrielle IT

Schlagwörter: Infrastruktur und Hardware, Netzwerksicherheit, Netzwerktechnik

Webseite: www.moxa.com

Das könnte Sie auch interessieren:

SBOM - die Stückliste für Software
„Unverzichtbar für Softwaresicherheit und Risikomanagement“

Wer im öffentlichen Sektor der USA künftig Software vermarktet, muss eine Software Bill of Materials (SBOM) über die verwendeten Komponenten mitliefern. Ist diese Executive Order 14028 der US-Regierung auch für deutsche Firmen relevant? Die IT-Sicherheitschefin von MongoDB, Lena Smart, ordnet das ein - und verweist dabei auf das IT-Sicherheitsgesetz 2.0.‣ weiterlesen

ISG-Studie
SAP S/4Hana-Umstieg in Deutschland weiter zögerlich

Das Angebot an cloudbasierter Infrastruktur für SAP Hana wächst rasant. Zudem haben sich durch die weitere Option auf die Software-as-a-Service-Version S/4Hana Cloud die Rahmenbedingungen für den Umstieg auf S/4Hana signifikant verändert. Doch insbesondere deutsche Unternehmen zögern laut einer Untersuchung des Marktforschungsunternehmens ISG weiterhin, auf die Cloud umzusteigen.‣ weiterlesen

Reihe Wissen Kompakt

KI Künstliche Intelligenz

Immer mehr Anbieter von Maschinen, Automatisierungstechnik und Industriesoftware integrieren künstliche Intelligenz in ihre Produkte. Das ganze Potenzial spielen selbstlernende Systeme aber erst aus, wenn sie passgenau auf ihren Einsatz in Fertigung und Büro zugeschnitten wurden. Über beide Möglichkeiten, als Fertiger die Vorzüge von industrieller KI zu nutzen, geht es im regelmäßig aktualisierten Themenheft Künstliche Intelligenz.
IIoT Industrial Internet of Things

Das Internet of Things verändert Produktwelten und die Vernetzung in der Fertigung gleichermaßen. Entstehende Ökosysteme laden zur einer neuen Form der Zusammenarbeit ein. Die Spezialausgabe IoT Wissen Kompakt informiert über die Technologie, Projektierung und Anbieter für die eigene Applikation, in- und außerhalb der Fabrik.
MES Manufacturing Execution Systems

Um alle Potenziale eines MES umfassend ausnutzen zu können, beleuchten unsere Autoren in der Serie von MES Wissen Kompakt die erfolgskritischen Faktoren, um Fertigungsunternehmen präventiv zu steuern. Darüber hinaus präsentiert MES Wissen Kompakt ein breites Spektrum an Firmenportraits, Produkt- neuheiten und Dienst- leistungen im MES-Umfeld.
ERP und CRM

Ein Unternehmen, das sich mit der Auswahl eines ERP- Systems befasst, muss sich gleichsam mit einem viel- schichtigen Software-Markt und unklaren Interessen- lagen an interne Abwick- lungsprozesse auseinander- setzen. Guter Rat bei der Investitionsentscheidung ist teuer. ERP/CRM Wissen Kompakt unterstützt Sie bei der gezielten Investition in die IT-Infrastruktur.

Partner-Netzwerke

Microsoft-Partner

Mittelständische Unternehmen investieren selbst in schwierigen Zeiten in Microsoft-Technologien, weil sie überzeugt sind, dass ihre Mitarbeiterproduktivität steigt und sich ihre Kostenstruktur bessert. Microsoft hat mit dem Microsoft-Partner-Network ein Netzwerk aufgebaut, das ein Forum für den Aufbau von Partnerschaften, Zugang zu Ressourcen und einen Rahmen für Dialoge und Kooperationen bietet. Für unsere Leser gibt die Microsoft-Partnerübersicht in Ausgabe Juli/August der IT&Production Tipps für die Suche nach einer geeigneten Branchen- oder Speziallösung im Bereich des produzierenden Gewerbes.
SAP-Partner

Auf der Suche nach Innovation, nach neuen Lösungen und der Abgrenzung zum Mitbewerb vernetzen sich zunehmend mehr Unternehmen mit externen Experten und Partnern. SAP hat mit dem SAP-Ecosystem ein Netzwerk aufgebaut, das ein Forum für den Aufbau von Partnerschaften, Zugang zu Ressourcen und einen Rahmen für Dialoge und Kooperationen bietet. In der Maiausgabe der Fachzeitschrift IT&Production erhalten unsere Leser einen aktuellen Überblick zum SAP-Ecosystem im Bereich des produzierenden Gewerbes.