Abgestuftes Schutzkonzept: Sicherheit in industriellen Netzwerken

Ein verlässliches, bedarfsorientiertes Automatisierungsnetzwerk ist die Grundlage für ein produktives und wettbewerbsfähiges Unternehmen. Dabei darf der hohe Schutzbedarf niemals außer Acht gelassen werden (Bild 1). Es gibt keine Patentrezepte für eine hohe Sicherheit im Automatisierungsnetzwerk. Erschwerend kommt hinzu, dass \’Security\‘ ein langwieriger und dynamischer Prozess ist – und kein Zustand, den man einmal erreicht und dann aufrechterhalten kann. Es gibt aber eine Reihe von Verhaltensweisen und Richtlinien, die für ein Security-Konzept in Automatisierungsnetzwerken sinnvoll sind (Bild 2). Ein solches Sicherheitskonzept orientiert sich an den zu erwartenden Bedrohungen, den Möglichkeiten, um die Bedrohungen zu minimieren, sowie an den möglichen Schäden. Die heutige Informationstechnik-getriebene Automation ist ebenso gefährdet wie das Büro-Netzwerk. Im Vergleich zur Feldbustechnik haben die Automatisierer durch den Einsatz Ethernet-basierter Kommunikationsverfahren erstmals die Möglichkeit und die technischen Mittel, um sich den Bedrohungen zu stellen und sie abzuwehren. An ein Security-Konzept für die Automatisierung werden dabei folgende Anforderungen gestellt: – Implementierung von Security durch die Infrastruktur – keine Rückwirkung auf bestehende Systeme – kostengünstige Realisierung ohne IT-Expertenwissen – Erkennung und Meldung von Verstößen gegen das Security-Konzept – Skalierbarkeit zur späteren Anpassung an die Anforderungen der Automatisierung oder an eine veränderte Bedrohungslage Warum Security-Technologien in Automatisierungsnetzen? Angriffe auf Automatisierungs- und Office-Netzwerke sind ebenso schwierig abzuwehren, wie bewusstes oder unbewusstes menschliches Fehlverhalten ausgeschlossen werden kann. Der Datentransport ist nicht nur die primäre Aufgabe von Netzwerken, sondern gleichzeitig ihre Schwachstelle. Vor diesem Hintergrund orientiert sich das Security-Konzept der Produktfamilie Factory Line von Phoenix Contact an den Bedrohungen und erfüllt gleichzeitig zwei wesentliche Anforderungen. Zum einen werden die physikalischen Rahmenbedingungen vor Ort sowie die vorhandenen und die künftigen Netztopologien berücksichtigt. Darüber hinaus ist ein einfach handhabbares Bedienkonzept für das Gesamtsystem geschaffen worden. Stufe 1 des Security-Konzepts: Mechanische Maßnahmen Als einfache Möglichkeit schützen mechanische Verriegelungen vor einem unberechtigten Zugriff auf das Produktionsnetzwerk. Offene RJ45-Ports werden mit einem Stopfen verschlossen und Patchkabel werden mit einer Sperre versehen. Stopfen und Sperre lassen sich nur mithilfe eines speziellen Werkzeugs entfernen (Bild 3). Durch diese simplen Maßnahmen wird bereits ein hoher Anteil möglicher Schadhandlungen unterbunden – nämlich das Trennen wichtiger Verbindungen und das fehlerhafte oder unbefugte Ankoppeln von Teilnehmern an das Netzwerk. Stufe 2: Managed Switches Managed Switches bieten dem Anwender eine Vielzahl von Security-Optionen, die weder einen Performance-Verlust nach sich ziehen noch zusätzliche Kosten verursachen: – Die passwortgeschützte Konfiguration verhindert eine unberechtigte Konfiguration der Infrastruktur. – Einstellbare \’Broadcast-Limiter\‘ verhindern DoS/DDoS-Attacken (Denial of Service/Distributed Denial of Service) durch Filterung des Datenstroms (Bild 4). – Eine Zugriffskontrolle (Access-Control) bewirkt, dass die Konfiguration nur über IP-Adressen möglich ist, die durch den Administrator zuvor autorisiert wurden. – Mithilfe von Port-Security kann der Administrator festlegen, welchen MAC-Adressen (Media Access Control) die Kommunikation mit dem Automatisierungsnetzwerk erlaubt ist. – Die Meldung von Verstößen gegen das Security-Regelwerk per SNMP ermöglicht die zeit- nahe Reaktion des Personals. – Durch Nutzung von V-LANs (Virtual Local Area Network) lassen sich physikalisch verbundene Netzwerke separieren. Kommunikationsverbindungen sind nur innerhalb des gleichen Netzwerks erlaubt. Stufe 3: Industrietaugliche Security-Geräte mit Firewall- und Router-Funktion Der dezentrale Einsatz von Firewall und Router ermöglicht die individuelle Absicherung von verteilten Automatisierungssystemen. Die Geräte sind speziell für das raue Industrieumfeld konzipiert. Durch die Kombination und gleichzeitige Verwendung von Security-Funktionen wird eine Sicherheitsstufe erreicht, die alle Belange des Anlagenbetreibers berücksichtigt: Schutzbedarf und sonstige Anforderungen der Applikation, Security-Know-how des Automatisierers und finanzielle Rahmenbedingungen. Dezentrale, abgestufte Schutzkonzepte Eine zentrale Firewall, die das gesamte Unternehmensnetzwerk oder den Übergang zwischen zwei Netzen absichert, bietet keinen Schutz vor den meist intern ausgeführten Schadhandlungen. Autonome Produktionszellen lassen sich nur durch ein dezentral wirksames Konzept schützen, das auf einer Lösung für die Endgeräte-Sicherheit basiert (Bild 5). Eine Segmentierung der Produktionsanlage in einzelne Sicherheitszellen, die wiederum mit einem abgestuften Schutzkonzept versehen werden, bewirkt die vom Anwender geforderte Flexibilität und Zuverlässigkeit. Dabei entspricht eine Sicherheitszelle im Wesentlichen einer funktionalen Produktionsinsel, z.B. einer Maschine, einer Linie oder einer (Teil-)Anlage. Die Sicherheitszelle definiert sich dadurch, dass die in ihr enthaltenen Systeme nicht sinnvoll weiterarbeiten können, wenn eines der beteiligten Systeme ausfällt. Die FL MGuard-Geräte von Phoenix Contact werden als eigenständiges System in das Netzwerk integriert und schützen dort einen Teil des Anlagennetzes, eine komplette Produktionszelle oder eine einzelne Automatisierungskomponente ohne Rückwirkung auf das abzusichernde System (Bild 6). Häufig ist es sinnvoll, den Einsatz von Firewall-Regeln mit der 1:1-NAT-Funktion zu kombinieren. Die 1:1-NAT-Funktion ermöglicht es, identische Maschinen, die den gleichen IP-Adressbereich beanspruchen, ohne Individual-Konfiguration der einzelnen Maschinen mit dem überlagerten Netzwerk zu verbinden. Dadurch ergeben sich folgende Vorteile: – keine individuelle Konfiguration und Änderungen am Applikationsprogramm – die Herstellergarantie bleibt erhalten – einfachere Fehlersuche – zusätzliche Security-Funktion Fazit Anlagenbetreiber stehen zunehmend vor der Herausforderung, ihren Produktionsbetrieb auf der Basis von Ethernet- und IP-Netzen zu automatisieren. Netzwerke der neuen Generation müssen leistungsfähiger, flexibler, robuster und stabiler sein – nur so können sie den ständig wechselnden und steigenden Anforderungen gerecht werden. Das Factory-Line-Security-Konzept bietet deshalb die Möglichkeit, die individuellen Anforderungen gezielt und flexibel umzusetzen und gleichzeitig ein sicheres und hochverfügbares Automatisierungsnetzwerk zu unterstützen. Kasten: Höhere Produktivität durch IT-powered Automation Übergeordnetes Ziel des Maschinenbauers und des produzierenden Unternehmens ist die Erhöhung der Produktivität. Dies lässt sich nur durch einen besseren und schnelleren Informationsfluss über alle Unternehmensebenen sowie die einfache Integration von Maschinen und Komponenten in das jeweilige Netzwerk erreichen. Mit IT-powered Automation stellt Phoenix Contact eine Automatisierungslösung zur Verfügung, die diese Anforderungen durch die Kombination bewährter Automatisierungsprotokolle und IT-Standards in industriegerechten Geräten und Systemen erfüllt. Die Switches sowie die Appliances mit Firewall und Router aus der Produktlinie Factory Line tragen als Bestandteil von IT-powered Automation zu einem durchgängigen, schnellen und zuverlässigen Datenaustausch von der Feld- bis in die Unternehmensleitebene und das Internet und damit zu einer Erhöhung der Produktivität. Halle 9, Stand F40