Anzeige
Anzeige
Anzeige
Beitrag drucken

Industrie-Firewall schafft größere Sicherheit im Produktionsnetz

ZF Sachs, ein Automobilzulieferer für Antriebs- und Fahrwerkkomponenten mit Sitz in Schweinfurt, hat die Sicherheit seiner industriellen Netzwerke nachhaltig verbessert. Der Ansatzpunkt: eine dezentrale Sicherheitsarchitektur mit Industrie-Firewalls.

Ausgangspunkt für die stärkere Absicherung der Produktionsanlagen waren Virenprobleme im Office-Netz. Im Vergleich zum überschaubaren Schadensrisiko beim Befall von Office-Rechnern wurde das Gefährdungspotenzial für die Produktionsanlagen als wesentlich größer eingeschätzt. Um die Risiken möglicher Störungen oder gar von Produktionsausfällen durch fehlerhafte Zugriffe oder Schadsoftware zu reduzieren, wurden bei ZF Sachs zusätzliche Sicherheitsmaßnahmen beschlossen.

Dezentrale Sicherheitsphilosophie

Die Aufgabenstellung für die neue Sicherheitsarchitektur bestand darin, die Produktionsanlagen sowohl gegen unerwünschte externe und interne Zugriffe zu schützen als auch die Ausbreitung von eingedrungenen Schädigungen einzudämmen. Als geeignete Strategie wurde eine Trennung des Office-Netzes vom Produktionsnetz durch eine große Firewall und eine tiefengestaffelte Sicherheitsarchitektur (Defense in Depth) ausgewählt, mit der sich auch kritische Einzelsysteme absichern lassen. Eine Schlüsselrolle kam dabei der Kontrolle und Filterung des Netzwerkverkehrs durch Firewalls zu. Für eine dezentrale Architektur mit Firewalls sprachen der besser zu organisierende verteilte Schutz, die größere Flexibilität bei einem industrietypischen Netzwerk-Design und geringere Investitions- und Betriebskosten. Eine Segmentierung durch VLAN-fähige Switche in logisch getrennten Segmente wurde geprüft und verworfen, da Virtual-LANs aus Sicherheitssicht als zu schlecht kontrollierbar bewertet wurden.

Für die Umsetzung waren die Bereiche Automatisierungstechnik und Instandhaltung in Abstimmung mit der IT zuständig. Neben dem Einsatz von Virenscannern auch im Produktionsbereich wurde als wichtigste Maßnahme die Segmentierung des Produktionsnetzes in kleine, handhabbare Maschinennetze umgesetzt. Die Zuordnung erfolgte räumlich nach Gebäudebereichen und zusätzlich für einzelne Anlagen mit Profinet-Komponenten.

Insgesamt wurden 40 dezentrale Maschinennetze eingerichtet und jedes dieser Teilnetze durch eine mGuard Firewall von Phoenix Contact und Innominate abgesichert. „Wir haben verschiedene Firewall-Security-Produkte vor allem nach zwei Kriterien geprüft. Die Industrietauglichkeit mit z.B. einem erweiterten Temperaturbereich war uns besonders wichtig. Außerdem brauchten wir eine Lösung, die sich möglichst flexibel und mit geringem Aufwand in unser Umfeld von Automatisierungskomponenten einbinden ließ“, begründet Asmund Hey, bei ZF Sachs verantwortlich für die Automatisierungstechnik im Bereich technische Dienste, die Entscheidung für die mGuard Security-Lösung.

Die Einrichtung dezentraler Firewalls

Planungsgrundlage für die Umsetzung der dezentralen Sicherheitsarchitektur war der Netzstrukturplan. Er beschreibt die einzelnen Netzsegmente und enthält Angaben darüber, welches Gerät an welchen Port angeschlossen ist, welche IP-Adressen, MAC-Adressen, Firmwarestände und Produktkennzeichnungen vorliegen. „Damit die dezentrale Architektur mit 40 einzelnen Maschinennetzen nicht zu einer Vervielfachung des Einrichtungs- und Betriebsaufwands führt, haben wir zunächst für alle Teilnetze als Masterregelung einen Basissatz an gemeinsamen Firewall-Regeln entwickelt. Die Umsetzung war relativ einfach“, berichtet Asmund Hey.

Für den Roll-out wurden die Masterregeln bei der Inbetriebnahme aus einem Speicherchip ausgelesen und auf das Teilnetz angewendet. Damit waren bereits die meisten Anforderungen abgedeckt. Es mussten nur noch individuelle Regeln für spezielle Ausnahmefälle ergänzt werden, wie etwa für den Zugriff einer Steuerung auf Office-Servershares. Nach der Inbetriebnahme folgte eine dreimonatige Einführungs- und Lernphase, um nicht berücksichtigte Zugriffe oder Ports nachzubessern. „Dabei haben wir festgestellt, wie wichtig ein sorgfältiger Netzwerkstrukturplan ist. Je mehr Zeit hier investiert wird, umso geringer ist der spätere Korrekturaufwand. Außerdem haben wir die Vorteile eines zentralen Geräte-Managements erkannt“, benennt Asmund Hey die wichtigsten Erfahrungen aus der Inbetriebnahme.


Das könnte Sie auch interessieren:

Dokumentation ist ein wesentlicher Bestandteil jeder nachhaltigen Datenarchitektur. Entwickler-Teams vernachlässigen das oft aus praktischen Gründen, denn sie stehen unter enormen Termindruck und werden eher nach dem Code beurteilt, als danach, wie gut sie ihn dokumentieren.‣ weiterlesen

Künstliche Intelligenz auf Werksebene dient meist der Optimierung oder der Analyse komplexer Zusammenhänge. In der Produktionsplanung zum Beispiel können bessere Algorithmen, getragen von mehr Rechenleistung, heuristische Ansätze im Ergebnis deutlich übertreffen.‣ weiterlesen

Die Deutschen Industrieunternehmen wollen ihre Produktion ausweiten. Die gesteigerten Erwartungen verhelfen dem entsprechenden Indikator des Ifo Instituts zum höchsten Stand seit 1991.‣ weiterlesen

57 Prozent der Unternehmen aus der verarbeitenden Industrie gehen davon aus, gestärkt aus der Coronakrise hervorzugehen. Das geht aus einer Studie von Sopra Steria und dem F.A.Z.-Institut hervor. Um diese Position auch künftig behaupten zu können, wollen die Betriebe laut Studie die eigene Widerstandsfähigkeit als strategisches Thema verankern.‣ weiterlesen

Das sogenannte Wasserfall-Prinzip in der Software-Entwicklung kommt immer seltener zum Einsatz. Häufiger sind agile Methoden wie die ’Continuous Integration’, bei denen Software in kleinen Einheiten kontinuierlich erweitert und verbessert wird. Welche Vorteile dies für die Nutzer bringt, zeigt das Softwareunternehmen Sage.‣ weiterlesen

Neues Mitglied im MES D.A.CH: Der MES-Anbieter PSI Automotive & Industry ist dem Verband beigetreten.‣ weiterlesen

Edge Computing leistet in der Industrie so gute Dienste, dass es Fachleuten zufolge den Einsatz von Cloud Computing innerhalb eines Jahrzehnts übertreffen könnte. Ein Grund ist die Vielseitigkeit der Geräte. Passend konzipiert können sie in beinahe jeder Situation Rechenressourcen bereitstellen - in fast jedem erdenklichen Formfaktor.‣ weiterlesen

Siemens beendet das erste Halbjahr des laufenden Geschäftsjahres mit positiven Neuigkeiten. Umsatzerlöse und Gewinn legen kräftig zu.‣ weiterlesen

Insgesamt 8,2Mrd.€ hat der Maschinen- und Anlagenbau im Jahr 2019 für Forschung und Entwicklung ausgegeben. Auch in der Pandemie behalten F&E-Ausgaben einen hohen Stellenwert.‣ weiterlesen

Seit rund 100 Jahren steht die Automobilindustrie wie keine andere für die Fabrikarbeit am Fließband. Doch jetzt deutet sich eine Technologiewende an. Künftig könnten Fahrerlose Transportfahrzeuge Karosserien, Material und ganze Fahrzeuge durch die Fabrik bewegen. In mehreren Modellfabriken fahren die Automaten bereits durchs Werk.‣ weiterlesen

Immer mehr Anlagen sollen Betriebsdaten im IoT zur Bearbeitung bereitstellen. Mit dem Susietec-Portfolio will Kontron insbesondere den Aufbau von IoT-Lösungen für bestehende Anlagen unterstützen. Der Anbieter von IoT- und Embedded-Computing-Technologie rechnet für 2021 mit mehr als 50 Prozent Wachstum in diesem Geschäftsfeld.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige