Die Absicherung von Steuer- und Regelungstechnik von industriellen Anlagen bringt ihre ganz eigenen Anforderungen an Cyber-Sicherheit mit sich, die am besten schon bei der Installation berücksichtigt werden sollen. Einen umfassenden Ansatz zum Anlagenschutz vor Sicherheitsbedrohungen stellt die 'Defense-in-depth' dar, die auch der Standard IEC 62443 beschreibt. Eine zentrale Rolle zur Absicherung kritischer Verbindungspunkte kommt dabei Firewalls und Routern mit Sicherheitsfunktionen zu.

Bild: Moxa Europe

Ein Steuer- und Regelungsnetzwerk zu installieren erfordert das Abwägen zwischen Kosten- und Risikomanagement. Angriffe durch Malware sind einfacher und kostengünstiger abzuwehren, wogegen es wiederum schwieriger ist, sich gegen Hacker abzusichern. Die meistgenutzten Maßnahmen zum Schutz von Steuer- und Regelungsnetzwerken sind die verstärkte Wachsamkeit und die Einführung von Methoden, die den Angriffsprozess so stark verkomplizieren, dass es für Hacker uninteressant wird. Diese Methoden bilden das Herz der sogenannten ‚Defense-in-depth‘-Strategie, die auch für den Einsatz in der Industrie eignet.

ANZEIGE

Produktionsmanagement in der Cloud

Digitalisierung wird zunehmend zum Wettbewerbsfaktor. Für KMUs sind diese Themen jedoch oft noch wenig greifbar. Das muss nicht sein. Der gfos.SmartProductionManager bietet KMUs die Möglichkeit, einen wichtigen Schritt in Richtung Digitalisierung der Fertigung zu gehen.‣ weiterlesen

Industriespezifischer Standard für Cyber-Sicherheit

Das American National Standards Institute (Ansi) und die International Society of Automation (ISA) tragen den besonderen Sicherheitsanforderungen von Steuer- und Regelungsnetzwerken mit ihren Standards ANSI/ISA-99 beziehungsweise IEC 62443 Rechnung. Im Zentrum dieses Standards steht das ‚Zone and Conduit‘-Sicherheitsmodell – frei übersetzt als ‚Zone und Leitung‘, das mit einer Defense in depth-Strategie implementiert wird: Im ANSI/ISA-99 Modell werden die Geräte in Steuer- und Regelungsnetzwerken in voneinander unabhängige Zonen segmentiert, welche aus miteinander verbundenen Geräten bestehen, die zur Erfüllung einer spezifischen Funktion zusammenarbeiten. Während die Kommunikation innerhalb einer Zone weniger restriktiv gehandelt wird, gilt für die verschiedenen Zonen die Anforderung, dass sie nur durch einen einzigen Punkt, Conduit oder Leitung genannt, miteinander kommunizieren dürfen. Dieser Punkt wird üblicherweise durch einen Secure Router oder eine Firewall geschützt. Conduits sind damit so abgesichert, dass sie nur spezifische Daten, die für die Koordination von Funktionen der verschiedenen Zonen erforderlich sind, durchlassen. Jegliche Kommunikation, die für die Funktion einer bestimmten Zone irrelevant ist, wie zum Beispiel HTTP-Verkehr zu einer Modbus TCP-Zone, wird vom Secure Router blockiert.

Herausforderungen bei der Implementierung

Der kritischste Bereich des ISA-99-Sicherheitsmodells ist demnach eben der ‚Conduit‘, welcher durch einen Secure Router geschützt wird und eine Vielzahl von Verantwortlichkeiten besitzt:

ANZEIGE

Webinar:
Digitale Zwillinge – Passende Engineering-Tools finden

Wann: 26. Mai, 14:00 Uhr. Jetzt kostenfrei anmelden.

‣ weiterlesen

• Hohe Netzwerkleistung: Als Kontaktpunkt zwischen den Netzwerkzonen muss der Secure Router die nötige Netzwerkleistung haben, um den gesamten Datenverkehr zeitgerecht filtern und liefern zu können, sodass die Netzwerkleistung nicht beeinträchtigt wird. Jedes Gerät, das Sub-Netzwerke verbindet, erfährt ein hohes Datenaufkommen. Ansi/ISA-99-Conduit-Geräte fungieren damit effektiv als Backbone-Geräte, die verschiedene Subnetzwerke verbinden. Moderne Steuer- und Regelungsnetzwerke benötigen zudem eine immer größere Bandbreite, um fortschrittliche Anwendungen, wie Video, zu unterstützen. Zusätzlich dazu erfordern manche verteilten Steuer- und Regelungsnetzwerke oder ‚Distributed Control Systems‘ (DCS) gigabitbasierte Netzwerke für die effiziente Kommunikation. Um die Netzwerkverfügbarkeit zu erhalten, muss ein Zonen-Conduit stets den notwendigen Service bieten, während er als Firewall fungiert und unpassende Daten ohne Kompromisse bei der Leistung filtert.
• Deep Packet Inspection: Als ‚Hüter der Sicherheit‘ zwischen benachbarten Zonen muss der Secure Router in der Lage sein, den Inhalt der Datenpakete von Industrieprotokollen akkurat auf Abnormitäten und Sicherheitsbedrohungen zu untersuchen. Eine herkömmliche Firewall reicht nicht für die besonderen Kommunikationsanforderungen eines Steuer- und Regelungsnetzwerks aus, da sie für die Inhalte industrieller Kommunikationsprotokolle – wie Modbus TCP – ‚blind‘ ist. Dies ist ein besonders kritisches Problem, da industrielle Kommunikationsprotokolle im Allgemeinen nur eine schlechte Sicherheit bieten: Industriegeräte antworten in der Regel einfach auf jedes Paket, das sie erhalten, einschließlich Abfragen, Ausschaltbefehlen, Firmware-Updates und Steuerbefehlen. Der Netzwerk-Conduit muss den Inhalt eines Pakets analysieren können. Nur so lassen sich sichere Pakete, wie das Lesen von Abfragen, von potenziell unsicheren Paketen, wie Ausschalt- oder Löschbefehlen, unterscheiden.
• Komplexe Installation: Die Installationsdichte von Secure Routern für gut geschützte Steuer- und Regelungsnetzwerke erfordert einen zusätzlichen Aufwand in der Wartung von Ethernet Switches für die Netzwerkinfrastruktur sowie Secure Routern für die Firewall. Die herkömmliche Art zur Installation von Cyber-Sicherheit in Steuer- und Regelungsnetzwerken ist das Hinzufügen von Secure Routern oder Firewalls, die als sichere Conduits fungieren, also ein Zusatz zur bestehenden Netzwerk-Hardware, wie zum Beispiel Layer 2-Switches. Um eine Produktionsfläche zu schützen, genügen in der Regel ein oder zwei Hochleistungs-Secure Router aus, während der Schutz aller Netzwerkzonen schnell den zehnfachen Aufwand an Router-Integration erfordern kann. Nun empfehlen viele Regelwerke zur Cyber-Sicherheit, dass die Sicherheit auf Geräte-Zellen-Ebene implementiert werden muss. Das bedeutet, dass unter Umständen hunderte von Routern oder Firewalls auf der Feldebene installiert werden müssen. Eine solche Gerätestruktur zu installieren und zu verwalten, erfordert nicht nur hohe Kosten, sondern auch einen entsprechenden personellen und zeitlichen Aufwand.

Moxa stellt zur Absicherung von industriellen Netzwerken den Router EDR 810 mit Sicherheitsfunktionen zur Verfügung. Die Hardware verfügt über eine Firewall, bietet Router- und Switchfunktionen in einem Gerät und unterstützt auch die Analyse von Datenpaketen im Formad Modbus TCP. Bild: Moxa Europe

Router mit Sicherheitsfunktionen für die Industrie

Moxa bietet vor diesem Hintergrund seine aktuelle EDR-Serie von industriellen Secure Routern an. Die Geräte wurden entwickelt, um Administratoren von Steuer- und Regelungsnetzwerken alle Werkzeuge zu bieten, welche das Fachpersonal für die Installation eines mehrschichtigen Sicherheitskonzepts benötigen, das die ANSI/ISA-99-Richtlinien erfüllt. So verfügt die Gerätefamilie etwa über Gigabit-Uplinks, außerdem wurde die Hardware darauf ausgelegt, große Datenmengen einfach und sicher verarbeiten zu können. So sollen die Systeme auch bei hohem Datenaufkommen oder eines ‚Denial-of-service‘-Angriffs (DDOS) ausreichend Durchsatz bieten, um sogar eine nahtlose Videoleistung zu gewährleisten. Zusätzlich zur Firewall-, VPN- und NAT-Funktion bietet die Baureihe EDR-810 auch eine ‚Packetguard‘-Funktion für die Deep Packet Inspection von Modbus TCP-Datenpaketen. Zum Erstellen einer sicheren Zone weisen die Geräte zudem einen integrierten Switch und unterschiedliche Sicherheitsfunktionen auf. Die Ports dieses Routers können frei der WAN- oder der LAN-Seite zugeordnet werden. Auf diese Weise erhält man ein sehr flexibles Gerät, das je nach Wunsch eher mehr als Router oder als Switch eingesetzt werden kann. Auf Basis einer solchen, integrierten Lösung, welche Router- und Switch-Funktionen in einem Gerät kombiniert, lässt sich nicht nur die erforderliche Geräte-Konnektivität erreichen, sondern auch das Schutzniveau gegen ungewollte Zugriffe oder die Übertragung von Schadsoftware aus externen Netzwerken erhöhen.

Das könnte Sie auch interessieren:

MES-Software als Werkerassistenz-System
Weil Menschen keine OPC-Schnittstelle haben

In ihrer Beschaffenheit sind Manufacturing Execution Systems die wohl beste Plattform, um auch die Handmontage digital abzubilden. Doch wie sehen Lösungskonzepte aus, die neben Fertigungsanlagen, Maschinen und Robotern auch Menschen miteinbeziehen?‣ weiterlesen

3D-Messtechnik
Zeiss übernimmt Capture 3D

Zeiss übernimmt das US-Unternehmen Capture 3D und baut die Kompetenz im Bereich 3D-Mess- und Inspektionslösungen aus.‣ weiterlesen

Tio 2 Connect von Attenio
Kollaborations- und Datenplattform zur Produktionsvorbereitung

Viele Unternehmen organisieren ihre Produktionsvorbereitung analog und ohne Zugang zur 3D-Konstruktion. Neue Anwendungen könnten diese Schritte zwischen Design und Fertigung künftig erleichtern, indem sie 3D-Modelle von Produkten samt zugehöriger Daten und etwaige Designänderungen laufend zur Verfügung stellen.‣ weiterlesen

Partnerschaft
Valantic und Systema arbeiten zusammen

Das IT-Beratungs- und Softwarehaus Valantic partnert künftig mit Systema, einem eigentümergeführten Systemintegrator, der sich auf Softwarelösungen und Dienstleistungen zur MES-Integration, Fertigungsautomatisierung und Produktionsoptimierung spezialisiert hat.‣ weiterlesen

Cloudbasierte Infrastruktur bei Škoda Auto
Innen transparent, außen gehärtet

Wenn Lieferzahlen und Produktvarianz steigen, wächst auch das Kommunikationsaufkommen in den Netzwerken. Um solchen Flaschenhälsen vorzubeugen, hat Škoda auf eine cloudbasierte Netzwerklösung umgerüstet.‣ weiterlesen

Software-Dokumentation automatisch erstellen
Programmcode in kurzer Zeit gut dokumentiert

Dokumentation ist ein wesentlicher Bestandteil jeder nachhaltigen Datenarchitektur. Entwickler-Teams vernachlässigen das oft aus praktischen Gründen, denn sie stehen unter enormen Termindruck und werden eher nach dem Code beurteilt, als danach, wie gut sie ihn dokumentieren.‣ weiterlesen

Ablöse für die Heuristik?
Technologiesprung in der Produktionsplanung

Künstliche Intelligenz auf Werksebene dient meist der Optimierung oder der Analyse komplexer Zusammenhänge. In der Produktionsplanung zum Beispiel können bessere Algorithmen, getragen von mehr Rechenleistung, heuristische Ansätze im Ergebnis deutlich übertreffen.‣ weiterlesen

Ifo Produktionserwartungen
Industrie will mehr produzieren

Die Deutschen Industrieunternehmen wollen ihre Produktion ausweiten. Die gesteigerten Erwartungen verhelfen dem entsprechenden Indikator des Ifo Instituts zum höchsten Stand seit 1991.‣ weiterlesen

Resilienz-Studie von Sopra Steria
Mehrheit der Industrieunternehmen geht gestärkt aus der Krise

57 Prozent der Unternehmen aus der verarbeitenden Industrie gehen davon aus, gestärkt aus der Coronakrise hervorzugehen. Das geht aus einer Studie von Sopra Steria und dem F.A.Z.-Institut hervor. Um diese Position auch künftig behaupten zu können, wollen die Betriebe laut Studie die eigene Widerstandsfähigkeit als strategisches Thema verankern.‣ weiterlesen

Software-Development
Agile Methoden liegen im Trend

Das sogenannte Wasserfall-Prinzip in der Software-Entwicklung kommt immer seltener zum Einsatz. Häufiger sind agile Methoden wie die ’Continuous Integration’, bei denen Software in kleinen Einheiten kontinuierlich erweitert und verbessert wird. Welche Vorteile dies für die Nutzer bringt, zeigt das Softwareunternehmen Sage.‣ weiterlesen

Neues Mitglied
PSI Automotive & Industry tritt MES D.A.CH Verband bei

Neues Mitglied im MES D.A.CH: Der MES-Anbieter PSI Automotive & Industry ist dem Verband beigetreten.‣ weiterlesen