Netzwerk-Monitoring

„Noch werden viele Fehler gemacht“

Um die Infrastruktur im eigenen Unternehmen vor Cyberangriffen schützen zu können, müssen Angreifer erst einmal entdeckt werden. Mit der Lösung IRMA will Videc Fertigungsbetrieben dabei helfen. Das System überwacht den Datenverkehr im Netzwerk, warnt vor unvalidierten Zugriffen und erlaubt eine Risikobewertung für unterschiedliche Unternehmens- und Anlagenbereiche. Dieter Barelmann, Geschäftsführer der Videc Data Engineering GmbH, spricht über die Herausforderung IT-Sicherheit und wie IRMA funktioniert.

Dieter Barelmann, Geschäftsführer der Videc Data Engineering GmbH. Bild: Videc Data Engineering GmbH

Wie verlaufen Angriffe auf Fertigungsnetzwerke typischerweise und wie sehen konventionelle Schutzmaßnahmen aus?

Dieter Barelmann: Ob speziell entwickelte Viren oder Bot-Netze – wir wissen natürlich nicht vorher, welche Angriffe stattfinden, aus welcher Richtung sie kommen und wer die Angreifer tatsächlich sind. Daher ist auch die Aufarbeitung von erfassten IT-Sicherheitsvorfällen so wichtig.

Um das zu erleichtern, muss die Vorarbeit stimmen, oder?

Barelmann: Es gibt vom BSI viele Veröffentlichungen, wie Sie sich als Fertiger vor Angreifern schützen können, wie sich die Maßnahmen aufsetzen lassen und so weiter. Sie müssen die Sicherheit Ihrer Anlagen garantieren können, und das heißt für viele Unternehmen, das Thema auf der Agenda weiter nach oben zu setzen. Viele Unternehmen sind schon längst von Schadcode befallen, die noch nicht aktiv geworden sind, sondern die erst am Zeitpunkt X anfängt zu arbeiten.

So wie Stuxnet in verschiedenen Anlagen weltweit gefunden wurde, ohne dort loszuschlagen?

Barelmann: Ja, genau. Schadsoftware ist ein Schwarzmarkt. Sie können im Internet schon Schadsoftware genau nach ihren Anforderungen bestellen. Es ist eine Illusion zu glauben, dass einem nichts passieren kann.

Die Herausforderung IT-Sicherheit ist nicht neu. Ändert sich etwas mit der zunehmenden Vernetzung des Shop Floors?

Barelmann: Viele Unternehmen befassen sich gerade mit dem Thema IoT. Das bedeutet mitunter, dass sie irgendwie intelligente und quasi intelligente Geräte betreiben, die über das Internet kommunizieren. Sicherheitsmaßnahmen sind dabei oft vergessen worden. Gerade wenn offene Geräte verwendet wurden, ist in einigen Fällen im Prinzip ein Botnetz aufgebaut worden. Wenn dort eine Schadsoftware installiert wird, kann diese auf Befehl nach außen kommunizieren und sogar ganze Provider lahmlegen. Und wenn der Provider weg ist, können Sie erst einmal gar nichts dagegen machen.

Hängebahn per Industrial WLAN

Welche Form der Kommunikation ist für Einschienenhängebahnen die beste? Ein deutscher Autobauer hat sich für Industrial Wireless LAN-Lösungen entschieden und Siemens Professional Services für industrielle Netzwerke mit deren Planung, Inbetriebnahme und Fein-Tuning betraut.‣ weiterlesen

So wie beim groß angelegten Angriff auf einen DNS-Server in den USA Ende letzten Jahres. Die Dienste Twitter, Spotify, Airbnb, Reddit, Ebay und viele weitere waren über Tage kaum erreichbar.

Barelmann: Das sind Beispiele, wie Cyberangriffe funktionieren. Unter Umständen hätten auch die Dienste der Telekom tagelang ausfallen können. Wenn Sie eine Industrieanlage betreiben, müssen Sie sich genau überlegen, inwieweit Komponenten mit dem Internet verbunden sind. Sicherheitskonzepte müssen Fragen wie diese berücksichtigen und da werden meiner Meinung nach noch viele Fehler gemacht.

Wie passt Ihr Ansatz IRMA – also ‚Industrie Risiko Management Automatisierung‘ – ins Bild?

Barelmann: IRMA blockiert keine Angriffe oder Angriffsmechanismen. IRMA schützt den Scada-Bereich und die Automatisierung darunter, indem es das Netzwerk laufend überwacht und die Verbindung lässt sich Validieren. Das bedeutet, wenn Kommunikationspartner A mit B spricht, sieht das System die Kommunikation und ob sie in Ordnung ist oder nicht. Ändert sich das validierte Kommunikationsverhalten, wird eine Meldung generiert und an den Verantwortlichen weitergeleitet. Um das System einzurichten, sehen Sie sich erst einmal an, wer mit wem spricht und wer in welcher Art und Weise unerlaubt spricht und ob vielleicht noch Schnittstellen nach außen offen sind. Dabei scannt IRMA das gesamte Netzwerk passiv über den Mirrorport am managed Switch ab. Oft haben Integratoren irgendwann einmal einen Fernzugriff auf eine Anlage eingerichtet und nicht dokumentiert. So etwas erfahren Sie mit einer Monitoring-Lösung recht schnell. Auf dieser Basis lässt sich der Netzwerkverkehr bereinigen und diejenigen Verbindungen schließlich validieren, die erwünscht sind. Hat sich nun ein Unternehmen eine Schadsoftware eingefangen, wird diese immer versuchen, nach außen zu kommunizieren. Dazu werden auch interne Verbindungen benötigt. Diese nicht validierten Versuche, im Netzwerk zu kommunizieren, werden sofort erkannt. Anwender sehen, aus welchem Gerät diese Kommunikation stammt und können reagieren.

Das Netzwerk-Monitoring muss in Prozesse eingebettet sein, es muss ein Alarmmanagement organisiert sein. Wie kompliziert ist es, das Werkzeug sinnvoll in einem Unternehmen aufzurollen?

Barelmann: Wir schließen das System an den Mirror Port eines intelligenten Switch an und schauen uns den Datenverkehr an, der über das Gerät geht. So können wir die Kommunikation beziehungsweise das Grundverhalten automatisiert einlesen. Sie parametrieren die Einheit anhand einer Beschreibung von vielleicht zwei Seiten. Dann ist IRMA mit dem Netzwerk verbunden, zeichnet die Kommunikation automatisch auf und ordnet sie IP-Adressen zu. Damit ergibt sich ein recht genaues Bild vom Datanaustausch im Betrieb. Bis dahin brauchen Sie nichts zu tun. Im nächsten Schritt können Sie die IP-Adressen in textliche Zusammenhänge bringen: SPS1, Rechner 1 oder Scada 1. Es muss einmal definiert werden, wer mit wem sprechen soll und wer nicht. Ab diesem Zeitpunkt zeigt das System valide und nicht valide Zugriffe an. Auf dieser Grundlage lassen sich Alarme einrichten.

Viel wichtiger als externes Wissen ist das Know-how um die eigenen Prozesse, sonst kommen Sie nicht weit. – Dieter Barelmann, Videc

In IRMA steckt das Wort Risikomanagement. Wo ist denn die Risikomanagement-Komponente in diesem Monitoring-System?

Barelmann: Über eine Maske in der Software lassen sich Anlagenteile nach ihrer Priorität kennzeichnen. Mit diesen Informationen berechnet das Programm das Risiko, das dort in Kauf genommen werden kann oder eben nicht. In der neuen Revision der Qualitätsmanagementnorm ISO9001 werden Sie zum Beispiel angehalten, die Risiken für Komponenten und Anlagenabschnitte im Einzelnen zu bewerten. Das lässt sich mit unserer Lösung umsetzen.

Welche Protokolle lassen sich überwachen?

Barelmann: Wir gehen zur Zeit nicht auf die Protokollebene runter, sondern schauen, wie die Netzwerkteilnehmer miteinander kommunizieren. Unser Fokus liegt auf TCP-Verbindungen. Die meisten Angriffe spielen sich noch immer in klassischen Netzwerken ab. Allerdings haben wir geplant, in einer der nächsten Versionen unserer Lösung Analysefunktionen für gängigen Protokolle zu implementieren.

Wie sieht Ihr Dienstleistungsportfolio aus? Helfen Sie bei der Implementierung des Systems?

Barelmann: Wir leisten natürlich Support und schulen die Anwender auf das Produkt. Alles ist recht einfach gehalten. Wenn Sie ein Netzwerk einrichten können, können Sie auch IRMA betreiben. Viel wichtiger als externes Wissen ist das Know-how um die eigenen Prozesse, sonst kommen Sie nicht weit. (ppr)

Datum:26. April 2017

Autoren:

Themen: Hardware und Infrastruktur

Schlagwörter: Alarmmanagement, Automatisierungstreff 2017, IT-Sicherheit, Netzwerkmonitoring

Webseite: www.videc.de

Das könnte Sie auch interessieren:

Industrie 4.0 / IoT

Startup unterstützt bei KI-Projekten
Neuronales Netz aus der Public Cloud

Von Lastsprognosen bis zur Qualitätskontrolle: Das Startup Boot.AI hat als IT-Dienstleister rund um KI-Projekte bereits einige Erfahrung in der produzierenden Industrie gesammelt. Um die neuronalen Netzwerke in den Projekten zu erstellen, lässt das Startup die GPUstarken Bare Metal Server der Open Telekom-Cloud für sich arbeiten.‣ weiterlesen

Fertigungsnahe IT

Werksnahe IT und der digitale Zwilling
Offene Systemgrenzen für das digitale Abbild

Meist ist mit dem digitalen Zwilling das 3D-Modell eines Produktes gemeint, das etwa um Mixed Reality-Lösungen für Instandhaltung und Service ergänzt wird. Was aber, wenn dieses Abbild die Sicht auf die verschiedenen Wertschöpfungsstufen und über Systemgrenzen hinweg beinhaltet?‣ weiterlesen

Produktentwicklung

Modulare Steuerungen
Steuern nach dem Baukastenprinzip

In der Phase der Konzeptentwicklung und -bestätigung werden für Prototypen und Prüfsysteme in der Regel elektronische Komponenten benötigt, die eigens für diesen einmaligen Einsatz entwickelt und hergestellt werden müssen. ARRK Engineering bietet ein System an, mit dem individuelle Lösungen nach dem Baukastenprinzip erstellt werden können.‣ weiterlesen

Fertigungsnahe IT

Chatbot als Assistenzsystem
Wenn Werker Bots beim Wort nehmen

Robotic Process Automation und Chatbots könnten bei vielen Fertigungsbetrieben für die nächsten Effizienzschübe sorgen. Denn was den meisten eher von privaten Telefonaten und vielleicht noch dem Büro bekannt sein dürfte, könnte man auch auf dem Shop Floor nutzen.‣ weiterlesen

Automation und Robotik

Die Entwicklung von fahrerlosen Transportsystemen
Allein unterwegs

In der Industrie nutzen fahrerlose Transportfahrzeuge (FTF) heute Schlüsselreize in der Umgebung, um einer bestimmten Route zu folgen. Jonathan Wilkins, Marketingleiter von EU Automation, geht im folgenden der Frage nach, wie sich FTF von einfachen Lademaschinen zu intelligenten, fahrerlosen Robotern gemausert haben.‣ weiterlesen

News

14. Annual Worldwide Infrastructure Security Report
Die Cloud im Fadenkreuz

Digitale Geschäftsinitiativen wie die Cloud sowie politische Ziele haben 2018 die Aufmerksamkeit von Angreifern verstärkt. Der 14. Annual Worldwide Infrastructure Security Report (WISR) von Netscout liefert Erkenntnisse aus einer globalen Umfrage unter Netzwerk-, Sicherheits- und IT-Entscheidern in Unternehmen. ‣ weiterlesen

Reihe Wissen Kompakt

MES Manufacturing Execution Systems

Um alle Potenziale eines MES umfassend ausnutzen zu können, beleuchten unsere Autoren in der Serie von MES Wissen Kompakt die erfolgskritischen Faktoren, um Fertigungsunternehmen präventiv zu steuern. Darüber hinaus präsentiert MES Wissen Kompakt ein breites Spektrum an Firmenportraits, Produkt- neuheiten und Dienst- leistungen im MES-Umfeld.
ERP und CRM

Ein Unternehmen, das sich mit der Auswahl eines ERP- Systems befasst, muss sich gleichsam mit einem viel- schichtigen Software-Markt und unklaren Interessen- lagen an interne Abwick- lungsprozesse auseinander- setzen. Guter Rat bei der Investitionsentscheidung ist teuer. ERP/CRM Wissen Kompakt unterstützt Sie bei der gezielten Investition in die IT-Infrastruktur.
PRODUKTENTWICKLUNG

Ingenieure stehen im Epizentrum der betrieblichen Wertschöpfung und Digitalisierung gleichermaßen. Die Sonderausgabe "Produktentwicklung Wissen Kompakt" berichtet auf mehr als 70 Seiten, wie Entwicklungsabteilungen agil werden, wie Fertigungssdaten Produkte verbessern und Computer Routineaufgaben erledigen helfen.

Partner-Netzwerke

PTC Partner

Mit der Ausweitung des Geschäftsmodells von PTC und durch Akquisitionen wie Thingworx, Kepware oder Vuforia entstanden zuletzt vollkommen neue sowie komplementäre Partnernetzwerke. Auch verändern sich durch die Digitalisierung Rollen und Ziele in den Partnernetzwerken spürbar. Der amerikanische Softwarehersteller hat deshalb sein Partner Netzwerk neu ausgerichtet, um für produzierende Unternehmen von Creo bis ThingWorx das Beste aus dem PTC-Portfolio herauszuholen.
Microsoft Partner

Mittelständische Unternehmen investieren selbst in schwierigen Zeiten in Microsoft-Technologien, weil sie überzeugt sind, dass ihre Produktivität steigt und sich ihre Kostenstruktur bessert. Microsoft hat mit dem Microsoft-Partner-Network ein Netz werk aufgebaut, das ein Forum für den Aufbau von Partnerschaften, Zugang zu Ressourcen und einen Rahmen für Dialoge und Kooperationen bietet.