Anzeige
Anzeige
Anzeige
Beitrag drucken

IT-Sicherheit per Appliance

Modbus und OPC sicher nebeneinander

Modbus TCP und OPC Classic werden in zahlreichen industriellen Applikationen verwendet. Da die zugrunde liegende COM/DCOM-Technologie vor mehr als zehn Jahren abgekündigt wurde, lassen sich Aspekte der IT-Security oft nur unzureichend umsetzen. Mit seinen Geräten der Produktfamilie FL Mguard will Hersteller Phoenix Contact dennoch den abgesicherten Systembetrieb ermöglichen.



Bild: Phoenix Contact Deutschland GmbH

Neben der Prozess- und Fertigungsautomation setzen viele weitere Industriebereiche OPC Classic (OLE for Process Control) ein. Das Protokoll zählt mit über 20.000 OPC-Produkten von mehr als 3.500 Herstellern zu einem der international erfolgreichsten Standards für den interoperablen Datenaustausch zwischen den Anwendungen unterschiedlicher Anbieter. Bei Modbus, und hier speziell der Version Modbus TCP, handelt es sich um eine Client/Server-Architektur, in der jeder Teilnehmer den Bus zur Kommunikation nutzen darf. Die Übertragung wird typischerweise über einen Master initiiert und moduliert. In sämtlichen Phasen der Weiterentwicklung von Modbus sind der grundsätzliche Aufbau der Datenbereiche sowie die Adressierungsmechanismen unverändert beibehalten worden. Diese rückwärtskompatible Vorgehensweise hat zu einer hohen Akzeptanz des Protokolls bei den Anwendern geführt.

Abkündigung des COM/DCOM-Protokolls

Durch die Implementierung von OPC Classic und Modbus TCP auf Steuerungen und Feldgeräte lassen sich die Unterschiede zwischen den einzelnen Automatisierungskomponenten überwinden. Außerdem können Daten über die Grenzen verschiedener Systeme weitergeleitet werden. Die beiden Standards fungieren somit als Kommunikationsstrang zur Datenerfassung, Prozessvisualisierung sowie für das Datenmanagement. Über sie werden Parametersätze, Steuerungssequenzen, Programme und Produktionsdaten ausgetauscht. Zur Datenübertragung zwischen dem OPC-Server und -Client dient das COM/DCOM-Protokoll von Microsoft, das allerdings 2002 zugunsten des .NET-Frameworks abgekündigt wurde. Derzeit unterstützen jedoch alle aktuellen und vermutlich auch zukünftigen Betriebssysteme COM/DCOM. Microsoft entwickelt die Basistechnologie aber nicht weiter, sodass sie insbesondere im Hinblick auf Security-Aspekte unweigerlich veraltet.

Schutz ausgehebelt

OPC/Modbus-Server verhalten sich transparent. Das bedeutet, dass sich der Zugriff auf lokale Kommunikationsdaten nicht von dem auf entfernte Daten unterscheidet. Dabei erweisen sich die Sicherheitseinstellungen des DCOM-Protokolls als kompliziert. Darüber hinaus haben sich Inkompatibilitäten zwischen den Produkten unterschiedlicher Hersteller gebildet. Deshalb sind weitreichende Zugriffsrechte erforderlich, um den Datenaustausch überhaupt zu ermöglichen. Diese hebeln allerdings die vorhandenen Schutzmechanismen aus. Beim Einsatz von DCOM gibt es also kein durchgängiges und belastbares Security-Konzept zur Absicherung der Kommunikation. Nutzt der Anwender OPC, kommt erschwerend hinzu, dass dieses Protokoll zahlreiche Kommunikationsports benötigt. Dazu gehören Ports beispielsweise für die Initiierung der Datenübertragung, die Authentisierung sowie das Senden der Daten. Im Gegensatz zu HTTP, das stets über Port 80 kommuniziert, oder FTP auf Port 21, sind die zu verwendenden Ports nicht festgelegt, sondern werden zufällig von OPC definiert. Steht ein Port nicht zur Verfügung, wählt das Protokoll automatisch einen anderen aus. Firewall müssen somit zahlreiche Ports offenhalten und büßen an Wirksamkeit ein. Denn aus Security-Sicht stellt jeder offene Port einen potenziellen Angriffsvektor dar. Diese Vektoren werden gezielt von Angreifern und Hackern gesucht, zum Beispiel über Port-Scans, um über sie in das Zielsystem einzudringen. Hinzu kommt, dass sich unter Einsatz des OPC-Standards keine Vorteile einer Network Address Translation-Applikation (NAT) nutzen lassen.



Conditional Firewall zur situationsgerechten Umschaltung; gezeigt werden zwei unterschiedliche Einstellungen der Firewall. Bild: Phoenix Contact Deutschland GmbH


Security Appliances

Durch den Einsatz der Security Appliances der Produktfamilie FL Mguard von Phoenix Contact mit dem kürzlich vorgestellten OPC/Modbus-Inspector sollen sich die genannten Herausforderungen lösen lassen. Die Deep Packet Inspection für OPC Classic/Modbus analysiert die übermittelten Pakete und nimmt gegebenenfalls Anpassungen an ihnen vor. Durch die Konfiguration kann der Anwender festlegen, dass über den OPC Classic-Port 135 ausschließlich OPC-Pakete versendet werden dürfen. Die Deep Packet Inspection erkennt die TCP-Ports, die die Teilnehmer während der ersten geöffneten Verbindung untereinander aushandeln. Im Anschluss werden genau diese Ports durch die Firewall geöffnet und für die OPC-Kommunikation freigegeben. Findet innerhalb des einstellbaren Timeouts kein Versand von OPC-Paketen statt, schließen sich die Ports wieder.

Segmentierung des Netzes

Angreifer nutzen verschiedene Wege, um Zugang zu den Produktionsanlagen zu erlangen. Der Computerwurm Stuxnet hat beispielsweise gezeigt, dass Angriffe mittels kompromittierter USB-Sticks selbst aus dem Inneren von Anlagen möglich sind. In diesem Umfeld schafft die Anwendung des auf dem ISA 99-Standard basierenden ‘Defense in Depth’-Konzepts Abhilfe. Der Ansatz setzt auf die netzwerktechnische Segmentierung von Anlagen und die dezentrale Absicherung der so entstehenden Teilbereiche. Mit dem OPC Inspector soll sich Defense in Depth nun ebenfalls in Applikationen umsetzen lassen, in denen OPC Classic eingesetzt wird. Zur Segmentierung von OPC-basierenden Netzen unterstützt die Deep Packet Inspection des FL Mguard zudem die Nutzung von NAT-Verfahren wie Masquerading oder 1:1-NAT.

Flexibles Firewall-Regelwerk

Außerdem verfügen die Security-Appliances über eine Conditional Firewall. Sie ermöglicht eine situationsbasierte definierte Umschaltung des Firewall-Regelwerks. So kann der Anwender die Festlegungen seiner Firewall durch Ereignisse an unterschiedliche Betriebszustände adaptieren. Beispielsweise lässt sich der gesamte Datenverkehr vom oder in das überlagerte Netzwerk automatisch blockieren, wenn eine Schaltschranktür geöffnet wird. Damit ist der Service-Techniker, der vor Ort am System arbeitet, einfach und wirkungsvoll vom überlagerten Netzwerk abgeschnitten.

Sichere Automatisierung

Die Appliances ermöglichen mit ihrem dreistufigen Security-Konzept bestehend aus Conditional Firewall, Demilitarized Zone und CIFS Integrity Monitoring (CIM) beherrschbare Sicherheitsarchitekturen, um Automatisierungs- und Fernwartungslösungen verlässlich zu betreiben.


Das könnte Sie auch interessieren:

Siemens beendet das erste Halbjahr des laufenden Geschäftsjahres mit positiven Neuigkeiten. Umsatzerlöse und Gewinn legen kräftig zu.‣ weiterlesen

Insgesamt 8,2Mrd.€ hat der Maschinen- und Anlagenbau im Jahr 2019 für Forschung und Entwicklung ausgegeben. Auch in der Pandemie behalten F&E-Ausgaben einen hohen Stellenwert.‣ weiterlesen

Seit rund 100 Jahren steht die Automobilindustrie wie keine andere für die Fabrikarbeit am Fließband. Doch jetzt deutet sich eine Technologiewende an. Künftig könnten Fahrerlose Transportfahrzeuge Karosserien, Material und ganze Fahrzeuge durch die Fabrik bewegen. In mehreren Modellfabriken fahren die Automaten bereits durchs Werk.‣ weiterlesen

Immer mehr Anlagen sollen Betriebsdaten im IoT zur Bearbeitung bereitstellen. Mit dem Susietec-Portfolio will Kontron insbesondere den Aufbau von IoT-Lösungen für bestehende Anlagen unterstützen. Der Anbieter von IoT- und Embedded-Computing-Technologie rechnet für 2021 mit mehr als 50 Prozent Wachstum in diesem Geschäftsfeld.‣ weiterlesen

Im März haben die Bestellungen im Maschinen- und Anlagenbau im Vergleich zum Vorjahr deutlich zugelegt. Dabei kamen sowohl aus dem Aus- als auch aus dem Inland positive Signale.‣ weiterlesen

Vor wenigen Jahren galt MES-Software vielen noch als Spezialsoftware mit nur aufwendig erschließbarem Nutzen. Inzwischen ist sie fester Bestandteil der meisten prozessnahen IT-Architekturen in der Prozess- und gerade der Pharmaindustrie. Insbesondere wenn viele Systemfunktionen auf die Prozessführung nach ISA95 entfallen und chargenorientiert produziert wird.‣ weiterlesen

Automobilhersteller agieren bislang erfolgreich in ihren eher geschlossenen Wertschöpfungsketten. Sie verstehen den Markt als Nullsummenspiel. Unternehmen wie Apple haben vorgemacht, dass es auch anders geht: Von offenen Ökosystemen können alle profitieren. Wann öffnet sich die Automobilindustrie für diese Idee?‣ weiterlesen

Mit dem Wechsel von Kathleen Mitford zu Microsoft wird Catherine Kniker zur EVP (Executive Vice Presdient) und Chief Stategy Officer bei PTC ernannt.‣ weiterlesen

Gemeinsam mit CEO Peter Sorowka leitet Carsten Stiller seit 1. April das Softwareunternehmen Cybus. Er verantwortet die Bereiche Marketing und Vertrieb.‣ weiterlesen

Siemens Digital Industries bekommt einen neuen CTO. Dirk Didascalou soll zum 1. September neuer Technikchef werden.‣ weiterlesen

Die Wirtschaft blickt überwiegend optimistisch in die Zukunft: Knapp 40 Prozent der Unternehmen wollen laut der jüngsten Konjunkturumfrage des Instituts der deutschen Wirtschaft 2021 im Vergleich zu 2020 mehr produzieren.‣ weiterlesen

Anzeige
Anzeige
Anzeige