Security-Anforderungen in modernen Feldbussystemen

Die Steuerung ist heute mit dem MES- und ERP-System, mit Analysesystemen, mit Qualitätssicherungs-Datenbanken und gegebenenfalls mit dem Anlagenbauer zu Fehlerbehebungs- und Supportzwecken verbunden. Darüber hinaus kommunizieren heutzutage die Anlagenkomponenten intern ebenfalls über Ethernet und nicht mehr über Feldbusse. Diese modernen Feldbusse, die auf Ethernet oder Funk basieren, sind viel offener als frühere Feldbusse. So ermöglichen Ethernet-basierte Bussysteme nicht nur schnelle Datenkommunikation, sondern auch einen Zugriff auf das Feldgerät via TCP oder UDP und auch mittels der Web-Protokolle. Dies öffnet das Gerät für verbesserten Datenaustausch oder Wartungsoperationen, aber gleichzeitig auch für Manipulationen z.B. über das Verändern von Parametersätzen oder durch eine veränderte Firmware. Moderne Maschinen und Anlagen, die solche Bussysteme verwenden, werden somit immer anfälliger für Hackerangriffe. Die Security-Anforderungen in der Industrie Unter Security versteht man die Sicherheit der Informationen (und damit auch der Anlage) vor zufälliger oder absichtlicher Beschädigung durch Dritte. Die Security wird grundsätzlich charakterisiert durch Vertraulichkeit, Verfügbarkeit und Integrität der Information. Die Security-Anforderungen an ein System unterscheiden prinzipiell nicht zwischen der Office Welt und den Anforderungen im Industrie-Umfeld. Jeder möchte größtmögliche Sicherheit der Anlagen, regelmäßige Updates im Betrieb und natürlich darf die Produktion keinesfalls unterbrochen werden. Und genau bei diesem Punkt beginnt die Unterscheidung: Während in der Büro-Welt die Vertraulichkeit und Integrität der Information am höchsten priorisiert wird und damit inhärent auch Verzögerungen und Unterbrechungen in der Kommunikation akzeptiert werden, sind die Prioritäten in Industrie-Anlagen ganz anders. Hier hat der unterbrechungsfreie Betrieb der Anlage höchste Priorität. Das für die Inbetriebnahme zuständige Personal in Industrieanlagen hat ebenfalls andere Anforderungen an Security-Komponenten. So sollte die Security möglichst einfach konfigurierbar sein. Dies wird durch die Unterstützung aller gängigen Industrial Ethernet-Standards wie Profinet oder OPC sowie durch eine einfache und dem Anwender angepasste Konfigurationsoberfläche erreicht. Industrie-Anlagen werden seltener gewartet und sind gleichzeitig einer geringeren Änderungsdynamik als in der IT-Welt unterworfen. Aus diesem Grund sind sowohl längere Lebenszeiten der Komponenten als auch seltenere Security-Updates der Anlage akzeptabel und gewünscht. Alle diese Anforderungen führen dazu, dass die Standard-Lösungen der IT nur bedingt für die Industrie geeignet sind. Aus diesem Grund haben sich bereits mehrere Anbieter mit spezifischen Industrie-Produkten am Markt positioniert. Die spezifischen Anforderungen sollten auch bei der Integration von Security Funktionalität in Automatisierungs-Komponenten wie Steuerungen berücksichtigt werden. Security ist nicht nur spezielle Hard- und Software In der IT erfolgt eine Vielzahl der Angriffe über einen direkten Zugriff auf das interne Netzwerk. Viren, Trojaner und andere Malware können durch USB-Sticks, CD/DVDs, durch mobile PCs, Tablets oder Smartphones in das Firmennetz eingeschleppt werden. Da diese Regel auch für industrielle Umgebungen gilt, bedeutet dies als erstes, eine konsequente Implementierung der Beschränkung der Zugriffsrechte auf den Anlagen einzuführen. Dass USB-Sticks eine eklatante Sicherheitslücke darstellen, dürfte sich herumgesprochen haben. Welches Unternehmen hat aber bereits einen konsequenten und individualisierten Zugriffschutz auf Betriebs- und Anlagenparameter realisiert, der Änderungen auch vollständig an ein zentrales Security-System meldet und protokolliert? In erster Instanz ist hier sicherlich die Entwicklung und Implementierung einer unternehmensweiten Security-Governance-Richtlinie notwendig, die den Zugriff auf Daten und Parameter auf das notwendige Minimum begrenzt. Auch wenn die meisten industriellen Ethernet-Protokolle proprietäre Telegramme zum Datenaustausch verwenden, so erlauben sie dennoch eine Kommunikation mit den Teilnehmern über Standard-Dienste wie TCP oder UDP und sind dadurch anfällig für Security-Angriffe. Aus diesem Grund müssen sich sämtliche Geräte mit Ethernet-Anschluss entweder in einer abgesicherten Zone (auch vom Office-Netzwerk) befinden oder über entsprechende Security-Funktionalität verfügen oder diese zusätzlich implementiert haben. Langfristig wird der Anwender sicherlich ähnliche mehrstufige Security-Konzepte erwarten, wie sie in der Office-Welt üblich sind. Standardisierung bei Security Die Security-Anforderungen in der industriellen Automatisierung sind bisher nur zu einem geringen Teil in eine Standardisierung gemündet. So gibt es z.B. für den Profinet Standard eine Spezifikation und ein Testwerkzeug zur Überprüfung des Geräteverhaltens unter Netzwerklast. Da dies nur ein erster Schritt ist, wird derzeit in vielen Organisationen intensiv an einer Erweiterung der Spezifikation gearbeitet. Die niederländischen Endanwender haben in der WIB Organisation Security-Anforderungen an DCS-Steuerungen für die Prozessautomatisierung aus Anwendersicht formuliert und veröffentlicht. Stromerzeuger-Unternehmen in den USA haben im Rahmen der NERC spezifische Security-Anforderungen für Stromerzeuger formuliert. In der ISA entstehen im Rahmen der ISA SP 99 Anforderungen an die Security von Steuerungen und Anlagen. Es gibt darüber hinaus auch kommerziell getriebene Zertifizierungen wie z.B. die Achilles Certification von Wurltech. Die Vielzahl der Aktivitäten von Feldbus-Organisationen, Anwendern und Unternehmen zeigt eine große Sensibilität für dieses Thema in der Industrie und einen klaren Nachholbedarf für standardisierte Anforderungen und entsprechende Zertifizierungen. In der aktuellen Diskussion wird auch rasch klar, dass es in der Industrie den einen einzigen Security-Standard nicht geben wird, da die Anforderungen zu unterschiedlich sind. So muss ein Kraftwerk, das ja durchaus systemrelevant ist, deutlich mehr vor Cyber-Attacken geschützt werden als eine einfache Fertigungsstraße. Deshalb werden derzeit skalierte Security- Konzepte diskutiert. Einen in dieser Hinsicht interessanten Ansatz gibt es in der ISA SP 99 mit dem Security-Assurance-Level-(SAL-)Konzept. Hier werden analog zu den Safety-Zertifizierungen mehrere Level definiert, die Schutz bieten gegen gelegentliche/zufällige Angriffe (SAL1), beabsichtigte Angriffe mit einfachen Mitteln (SAL2), beabsichtigte Angriffe mit hochentwickelten Hilfsmitteln (SAL3) und beabsichtigte Angriffe mit hochentwickelten Mitteln, bei der die Angreifer über große Ressourcen verfügen (SAL4). Für jeden Level gibt es sieben funktionale Anforderungen: Access Control, Use Control, Data Integrity, Data confidentiality, Restrict Data Flow, Timely Response to an Event, Ressource Availability. Stuxnet war, nach allem was derzeit bekannt ist, ein Angriff, der Geräte der SAL4- Klasse zur Abwehr notwendig gemacht hätte. Die bisherigen Entwürfe zur Standardisierung berücksichtigen noch nicht, dass sich die Umwelt gerade hinsichtlich Security dramatisch verändert. Was heute zertifiziert und damit den heutigen Anforderungen genügt, ist in kurzer Zeit veraltet. Dies sehen wir in täglich notwendigen Updates der Virenscanner auf den PCs. Wie dieses Problem in den Griff zu bekommen ist, ist noch völlig offen. Security wird die Industrie noch lange beschäftigen Stuxnet hat den Blick auf das lange stiefmütterlich behandelte Thema Security gelenkt. Dabei sind noch viele Fragen ungeklärt, was eine Implementierung von Security-Funktionen in Geräten und Steuerungen verhindert. Hier sind die Anwender und Hersteller gefordert, im Dialog gemeinsame Security-Anforderungen zu entwickeln und Möglichkeiten der Zertifizierung möglich zu machen. Wenn diese Voraussetzungen erfüllt sind, werden viele Hersteller von Ethernet-basierten Geräten eine Security-Zertifizierung anstreben. Da die Security einer Anlage nicht nur von einzelnen Geräten abhängt, sondern auch von der Systemarchitektur und den Prozessen im Unternehmen, sollte der Anwender die Zeit nutzen und eine tragfähige Security Governance entwickeln und implementieren. Security wird also noch viele Jahre auf der Agenda bleiben.