Anzeige
Anzeige
Beitrag drucken

'Defense in depth'-Strategien

Grundschutz für die Fabrikautomation

Die Absicherung von Steuer- und Regelungstechnik von industriellen Anlagen bringt ihre ganz eigenen Anforderungen an Cyber-Sicherheit mit sich, die am besten schon bei der Installation berücksichtigt werden sollen. Einen umfassenden Ansatz zum Anlagenschutz vor Sicherheitsbedrohungen stellt die 'Defense-in-depth' dar, die auch der Standard IEC 62443 beschreibt. Eine zentrale Rolle zur Absicherung kritischer Verbindungspunkte kommt dabei Firewalls und Routern mit Sicherheitsfunktionen zu.

Bild: Moxa Europe

Ein Steuer- und Regelungsnetzwerk zu installieren erfordert das Abwägen zwischen Kosten- und Risikomanagement. Angriffe durch Malware sind einfacher und kostengünstiger abzuwehren, wogegen es wiederum schwieriger ist, sich gegen Hacker abzusichern. Die meistgenutzten Maßnahmen zum Schutz von Steuer- und Regelungsnetzwerken sind die verstärkte Wachsamkeit und die Einführung von Methoden, die den Angriffsprozess so stark verkomplizieren, dass es für Hacker uninteressant wird. Diese Methoden bilden das Herz der sogenannten ‚Defense-in-depth‘-Strategie, die auch für den Einsatz in der Industrie eignet.

Industriespezifischer Standard für Cyber-Sicherheit

Das American National Standards Institute (Ansi) und die International Society of Automation (ISA) tragen den besonderen Sicherheitsanforderungen von Steuer- und Regelungsnetzwerken mit ihren Standards ANSI/ISA-99 beziehungsweise IEC 62443 Rechnung. Im Zentrum dieses Standards steht das ‚Zone and Conduit‘-Sicherheitsmodell – frei übersetzt als ‚Zone und Leitung‘, das mit einer Defense in depth-Strategie implementiert wird: Im ANSI/ISA-99 Modell werden die Geräte in Steuer- und Regelungsnetzwerken in voneinander unabhängige Zonen segmentiert, welche aus miteinander verbundenen Geräten bestehen, die zur Erfüllung einer spezifischen Funktion zusammenarbeiten. Während die Kommunikation innerhalb einer Zone weniger restriktiv gehandelt wird, gilt für die verschiedenen Zonen die Anforderung, dass sie nur durch einen einzigen Punkt, Conduit oder Leitung genannt, miteinander kommunizieren dürfen. Dieser Punkt wird üblicherweise durch einen Secure Router oder eine Firewall geschützt. Conduits sind damit so abgesichert, dass sie nur spezifische Daten, die für die Koordination von Funktionen der verschiedenen Zonen erforderlich sind, durchlassen. Jegliche Kommunikation, die für die Funktion einer bestimmten Zone irrelevant ist, wie zum Beispiel HTTP-Verkehr zu einer Modbus TCP-Zone, wird vom Secure Router blockiert.

Herausforderungen bei der Implementierung

Der kritischste Bereich des ISA-99-Sicherheitsmodells ist demnach eben der ‚Conduit‘, welcher durch einen Secure Router geschützt wird und eine Vielzahl von Verantwortlichkeiten besitzt:

  • Hohe Netzwerkleistung: Als Kontaktpunkt zwischen den Netzwerkzonen muss der Secure Router die nötige Netzwerkleistung haben, um den gesamten Datenverkehr zeitgerecht filtern und liefern zu können, sodass die Netzwerkleistung nicht beeinträchtigt wird. Jedes Gerät, das Sub-Netzwerke verbindet, erfährt ein hohes Datenaufkommen. Ansi/ISA-99-Conduit-Geräte fungieren damit effektiv als Backbone-Geräte, die verschiedene Subnetzwerke verbinden. Moderne Steuer- und Regelungsnetzwerke benötigen zudem eine immer größere Bandbreite, um fortschrittliche Anwendungen, wie Video, zu unterstützen. Zusätzlich dazu erfordern manche verteilten Steuer- und Regelungsnetzwerke oder ‚Distributed Control Systems‘ (DCS) gigabitbasierte Netzwerke für die effiziente Kommunikation. Um die Netzwerkverfügbarkeit zu erhalten, muss ein Zonen-Conduit stets den notwendigen Service bieten, während er als Firewall fungiert und unpassende Daten ohne Kompromisse bei der Leistung filtert.
  • Deep Packet Inspection: Als ‚Hüter der Sicherheit‘ zwischen benachbarten Zonen muss der Secure Router in der Lage sein, den Inhalt der Datenpakete von Industrieprotokollen akkurat auf Abnormitäten und Sicherheitsbedrohungen zu untersuchen. Eine herkömmliche Firewall reicht nicht für die besonderen Kommunikationsanforderungen eines Steuer- und Regelungsnetzwerks aus, da sie für die Inhalte industrieller Kommunikationsprotokolle – wie Modbus TCP – ‚blind‘ ist. Dies ist ein besonders kritisches Problem, da industrielle Kommunikationsprotokolle im Allgemeinen nur eine schlechte Sicherheit bieten: Industriegeräte antworten in der Regel einfach auf jedes Paket, das sie erhalten, einschließlich Abfragen, Ausschaltbefehlen, Firmware-Updates und Steuerbefehlen. Der Netzwerk-Conduit muss den Inhalt eines Pakets analysieren können. Nur so lassen sich sichere Pakete, wie das Lesen von Abfragen, von potenziell unsicheren Paketen, wie Ausschalt- oder Löschbefehlen, unterscheiden.
  • Komplexe Installation: Die Installationsdichte von Secure Routern für gut geschützte Steuer- und Regelungsnetzwerke erfordert einen zusätzlichen Aufwand in der Wartung von Ethernet Switches für die Netzwerkinfrastruktur sowie Secure Routern für die Firewall. Die herkömmliche Art zur Installation von Cyber-Sicherheit in Steuer- und Regelungsnetzwerken ist das Hinzufügen von Secure Routern oder Firewalls, die als sichere Conduits fungieren, also ein Zusatz zur bestehenden Netzwerk-Hardware, wie zum Beispiel Layer 2-Switches. Um eine Produktionsfläche zu schützen, genügen in der Regel ein oder zwei Hochleistungs-Secure Router aus, während der Schutz aller Netzwerkzonen schnell den zehnfachen Aufwand an Router-Integration erfordern kann. Nun empfehlen viele Regelwerke zur Cyber-Sicherheit, dass die Sicherheit auf Geräte-Zellen-Ebene implementiert werden muss. Das bedeutet, dass unter Umständen hunderte von Routern oder Firewalls auf der Feldebene installiert werden müssen. Eine solche Gerätestruktur zu installieren und zu verwalten, erfordert nicht nur hohe Kosten, sondern auch einen entsprechenden personellen und zeitlichen Aufwand.


Moxa stellt zur Absicherung von industriellen Netzwerken den Router EDR 810 mit Sicherheitsfunktionen zur Verfügung. Die Hardware verfügt über eine Firewall, bietet Router- und Switchfunktionen in einem Gerät und unterstützt auch die Analyse von Datenpaketen im Formad Modbus TCP. Bild: Moxa Europe

Router mit Sicherheitsfunktionen für die Industrie

Moxa bietet vor diesem Hintergrund seine aktuelle EDR-Serie von industriellen Secure Routern an. Die Geräte wurden entwickelt, um Administratoren von Steuer- und Regelungsnetzwerken alle Werkzeuge zu bieten, welche das Fachpersonal für die Installation eines mehrschichtigen Sicherheitskonzepts benötigen, das die ANSI/ISA-99-Richtlinien erfüllt. So verfügt die Gerätefamilie etwa über Gigabit-Uplinks, außerdem wurde die Hardware darauf ausgelegt, große Datenmengen einfach und sicher verarbeiten zu können. So sollen die Systeme auch bei hohem Datenaufkommen oder eines ‚Denial-of-service‘-Angriffs (DDOS) ausreichend Durchsatz bieten, um sogar eine nahtlose Videoleistung zu gewährleisten. Zusätzlich zur Firewall-, VPN- und NAT-Funktion bietet die Baureihe EDR-810 auch eine ‚Packetguard‘-Funktion für die Deep Packet Inspection von Modbus TCP-Datenpaketen. Zum Erstellen einer sicheren Zone weisen die Geräte zudem einen integrierten Switch und unterschiedliche Sicherheitsfunktionen auf. Die Ports dieses Routers können frei der WAN- oder der LAN-Seite zugeordnet werden. Auf diese Weise erhält man ein sehr flexibles Gerät, das je nach Wunsch eher mehr als Router oder als Switch eingesetzt werden kann. Auf Basis einer solchen, integrierten Lösung, welche Router- und Switch-Funktionen in einem Gerät kombiniert, lässt sich nicht nur die erforderliche Geräte-Konnektivität erreichen, sondern auch das Schutzniveau gegen ungewollte Zugriffe oder die Übertragung von Schadsoftware aus externen Netzwerken erhöhen.


Das könnte Sie auch interessieren:

Ab und zu fehlte ein Schlüssel im Kloster der Franziskanerinnen der ewigen Anbetung von Schwäbisch Gmünd. Beim letzten Mal gab das den Impuls, anstatt neue mechanische Zylinder in die rund 220 Türen des Komplexes einzubauen, die alte Technik durch das Bluesmart-System von Winkhaus zu ersetzen.‣ weiterlesen

Mit 100,5 Punkten hält sich das IAB-Arbeitsmarktbarometer im November stabil und liegt weiter im leicht über der neutralen Marke. Auf europäischer Ebene sank der Frühindikator allerdings erneut.‣ weiterlesen

In einer neuen Expertise des Forschungsbeirats Industrie 4.0 untersuchen das FIR an der RWTH Aachen und das Industrie 4.0 Maturity Center den Status-quo und die aktuellen Herausforderungen der deutschen Industrie bei der Nutzung und wirtschaftlichen Verwertung von industriellen Daten und geben Handlungsempfehlungen für Unternehmen, Verbände, Politik und Wissenschaft.‣ weiterlesen

Im Forschungsprojekt FabOS soll eine KI-Bin-Picking-Anwendung entstehen, die ein verbessertes Erkennen, Greifen und definiertes Ablegen von Blechteilen in der Produktion ermöglicht.‣ weiterlesen

Die Digitalisierung des Qualitätsmanagements stellt Unternehmen vor Herausforderungen. Daher haben das Fraunhofer IPT und die FH Südwestfalen im Forschungsvorhaben 'Qbility - Quality 4.0 Capability Determination Model' ein datengetriebenes Reifegradmodell entwickelt, das die Anforderungen eines digitalisierten Qualitätsmanagements bei KMU adressiert.‣ weiterlesen

Im Gegensatz zu anderen Cyberangriffen bieten Attacken mit Ransomware auf den ersten Blick einen einfachen Ausweg: die Zahlung des geforderten Lösegelds.‣ weiterlesen

Nach 84,5 Punkten im Oktober kletterte der Ifo-Geschäftsklimaindex im November auf 86,3 Punkte. Die Unternehmen blicken demnach weniger pessimistisch auf die nächsten Monate.‣ weiterlesen

In Kombination mit einer Augmented-Reality-Brille bietet eine neue Software des Fraunhofer IGD digitale Unterstützung von Absortiervorgängen. Zusammengehörige Bauteile werden direkt im Sichtfeld der Beschäftigten an der Produktionslinie farblich überlagert. Anwender im Automotive-Bereich können so etwa durch beschleunigte Prozesse und eine minimierte Fehleranfälligkeit Kosten reduzieren.‣ weiterlesen

Edge Management, Digital Twin und Data Spaces bilden die Schwerpunkte einer Zusammenarbeit zwischen der Open Industry 4.0 Alliance und dem Labs Network Industrie 4.0.‣ weiterlesen

Wer im öffentlichen Sektor der USA künftig Software vermarktet, muss eine Software Bill of Materials (SBOM) über die verwendeten Komponenten mitliefern. Ist diese Executive Order 14028 der US-Regierung auch für deutsche Firmen relevant? Die IT-Sicherheitschefin von MongoDB, Lena Smart, ordnet das ein - und verweist dabei auf das IT-Sicherheitsgesetz 2.0.‣ weiterlesen

Das Angebot an cloudbasierter Infrastruktur für SAP Hana wächst rasant. Zudem haben sich durch die weitere Option auf die Software-as-a-Service-Version S/4Hana Cloud die Rahmenbedingungen für den Umstieg auf S/4Hana signifikant verändert. Doch insbesondere deutsche Unternehmen zögern laut einer Untersuchung des Marktforschungsunternehmens ISG weiterhin, auf die Cloud umzusteigen.‣ weiterlesen