A A A
| Sitemap | Kontakt | Impressum
ETZ Logo VDE Verlag Logo

Security? Aber sicher!

Im Zuge von Industrie 4.0 und IIoT muss man sich mit dem Thema Cybersecurity befassen

Im Zuge von Industrie 4.0 und IIoT muss man sich mit dem Thema Cybersecurity befassen

01  Verteilung der Cyberangriffe in den letzten Jahren

01  Verteilung der Cyberangriffe in den letzten Jahren

02  Die vier Security-Level der IEC 62443

02  Die vier Security-Level der IEC 62443

03  Für industrielle Netzwerke gibt es verschiedene ­Sicherheitsrisiken

03  Für industrielle Netzwerke gibt es verschiedene ­Sicherheitsrisiken

Durch die starke Nachfrage der Unternehmen und Anlagenbesitzer nach verbesserter Betriebseffizienz wächst der Einsatz von IIoT-Technologien und damit die Vernetzung der Geräte und Komponenten. Dabei muss man sich ernsthaft mit den Gefahren durch Cybersecurity-Bedrohungen auseinandersetzen. Dafür kommt es darauf an, die Anforderungen zu kennen, die Sicherheitsrisiken zu verstehen und zu wissen, wie man diese minimieren kann.

Alle Anlagenbetreiber suchen nach Cybersecurity-Lösungen, mit denen sie sichere Geräte und Netzwerke für ihre Industrieanwendungen installieren können. Schließlich ist jedes Gerät, das einem Netzwerk hinzugefügt wird, ein potenzieller Schwachpunkt – da es für Angreifer einen möglichen Zugangspunkt zum Netzwerk darstellt. Im Juli 2016 veröffentlichte das Europaparlament Richtlinien zur Vermeidung von Cyber-Attacken. Dass diese immer mehr kritische Infrastrukturen betreffen, zeigt Bild 1.

Sicherheit nach IEC 62443
Die Norm IEC 62443 (VDE 0802-4-1) will die Sicherheit von Netzwerken verbessern und die Sicherheit von Einstellungen in der Industrieautomation und Steuerung erhöhen. Sie wird ständig weiterentwickelt, um stets aktuelle Sicherheitsrichtlinien und eine Liste von Praxisbeispielen für verschiedene Netzwerkbereiche liefern zu können. Die IEC 62443 definiert vier Ebenen von Sicherheitsbedrohungen (Bild 2). Level 2 ist die Basisanforderung für die Automatisierungsindustrie. Er beschreibt Cyberangriffe durch Hacker, die von Administratoren als meistverbreitet Art des Angriffs beschriebene Variante. Level 1 beschreibt den Schutz gegen versehentliche nicht authentifizierte Zugriffe. Die Level 3 und 4 beziehen sich auf die Absicherung gegen den beabsichtigten Zugriff durch Hacker, die spezifische Fähigkeiten und Werkzeuge einsetzen.
Es ist zu erwarten, dass viele Systemintegratoren von ­ihren Lieferanten erwarten werden, dass ihre Produkte und Komponenten den Normen DIN E 62443 (VDE 0802-4-1) bzw. IEC 62443-4-2 entsprechen – die sich noch im Entwurfsstadium sind. Die Komponentenanforderungen der IEC 62443-4-2 werden aus den Systemanforderungen nach DIN IEC 62443-3-3 (VDE 0802-3-3) hergeleitet. Sie werden entsprechend den sieben Foundational Requirements nach IEC TS 62443-1-1 gruppiert und nach Security-Leveln gestuft. Die Unterabschnitte -1 und -2 setzen sich aus grundlegenden Anforderungen für die Sicherheit von Geräten sowie Komponenten zusammen, einschließlich der Identi­fizierungs-, Authentifizierungs- und Einsatz­prüfung, Datenintegrität und -vertraulichkeit sowie Back-up für Ressourcenverfügbarkeit.

Das IT-Sicherheitsgesetz
Das seit Juli 2015 gültige Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) unterscheidet sich von der IEC 62443 im Wesentlichen dadurch, dass es von dem Bundesamt für Sicherheit in der Informationstechnik erlassen und primär für die Betreiber sogenannter kritischer Infrastrukturen geschaffen wurde, wie Energieversorger, Anbieter von Telekommunikationsdienstleistungen, Telemedienanbieter und Unternehmen in der Atomkraft. Es zielt also in letzter Konsequenz darauf ab, den Endverbraucher im Falle von Cyberangriffen oder Manipulationen zu schützen: „Betreiber kritischer Infrastrukturen sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen maßgeblich sind.“ Die IT-Sicherheit muss nach aktuellem Stand der Technik umgesetzt werden – wobei Stand der Technik ein nicht allgemeingültig und abschließend definierter juristischer Begriff ist – und Sicherheitsvorfälle müssen dem BSI gemeldet werden. Um der Anforderung zu genügen, können Betreiber kritischer Infrastrukturen sowie ihre Verbände branchenspezifische Sicherheitsstandards erarbeiten. Das BSI prüft diese auf Antrag und erkennt sie bei Eignung im Einvernehmen mit den zuständigen Aufsichtsbehörden an.
Die internationale Normenreihe über „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“ beschäftigt sich speziell mit sicheren industriellen Automatisierungs- und Steuerungssystemen sowie der Sicherheit in der Prozess-, Mess- und Leittechnik. Im Fokus der IEC 62443 steht zum einen die Tatsache, dass handelsübliche IT–Produkte wegen mangelnder Sicherheitsfunktionen nicht für die Automatisierungsumgebung geeignet sind. Zum anderen regelt der Standard die Thematik der Managementsysteme. Über diese gibt es zwar ausreichende Informationen, was sie umfassen sollten, jedoch nicht, wie man bei der Entwicklung und dem Aufbau vorgehen sollte. Hier setzt die IEC 62443; sie adressiert nicht nur die Aspekte der verschiedenen Elemente innerhalb eines Cyber-Security-Managementsystems für industrielle Automatisierungs- und Steuerungssysteme, sondern gibt auch Leitlinien zu dessen Entwicklung vor.

Die Sicherheitsrisiken verstehen
Unter Sicherheitsexperten herrscht der Konsens, dass es sechs Haupt-Bedrohungen für interne Netzwerke gibt: nicht-autorisierter Zugriff, unsichere Datenübertragung, unverschlüsselte wichtige Daten, unvollständige Ereignisprotokolle, Mangel an Sicherheitsüberwachung sowie menschliche Fehler bei der Einstellung (Bild 3). Diese ­Sicherheitsrisiken lassen sich auf unterschiedlichen Wegen neutralisieren.
• Eindringen und Angriffe verhindern: Der erste Schritt auf dem Weg einen nicht autorisierten Zugriff zu ver­hindern, ist die Einführung einer Passwort-Richtlinie. ­Während sie bis zu einem gewissen Grad bei steigender Anzahl von Netzwerknutzern effektiv ist, wächst damit auch die Gefahr. Die größte Gefahr sind nicht-autori­sierte Zugriffe auf industrielle Steuerungssysteme. Dafür ist ein Passwort ein guter Anfang – aber definitiv besser sichert eine zusätzliche Identifiert-Management-Richtlinie ab. Sie umfasst verschiedene Parameter, die sicher­stellen, dass Accounts nur von den Anwendern genutzt werden können, für die sie erstellt wurden, und dass ­Anwender nur Zugriff auf Teile des Netzwerks haben, mit denen sie wirklich arbeiten müssen. Die im Netzwerk installierten Geräte sollten in der Lage dazu sein, User aus Accounts auszuloggen, für die sie keinen ­Zugang haben sollten, und den Netzwerkadministrator über Zugangsverletzungen zu informieren.
• Sensible Daten schützen: Alle Geräte im Netzwerk ­müssen eine Datenverschlüsselung unterstützen und ­umsetzen, wenn Daten übers Netzwerk gesendet werden. Das eliminiert das Risiko des Datendiebstahls während der Übertragung fast vollständig. Datenintegrität ist ­extrem wichtig, da sie nicht nur garantiert, dass die ­Daten akkurat sind und bei Bedarf zuverlässig, sondern auch, dass sie sicher verarbeitet und abgerufen werden können. Ist die Datenintegrität nicht abgesichert, kann der Netzwerkadministrator nicht bewerten, ob die Daten wirklich akkurat sind, wodurch sie dann nutzlos sind. Noch schlimmer ist es, wenn die Daten manipuliert ­wurden, sodass sie falsche Informationen liefern. Der Administrator ändert dann möglicherweise daraufhin die Einstellungen oder trifft falsche Entscheidungen, die das Netzwerk noch weiter schädigen.
Neben den Gerätedaten werden in IIoT-Netzwerken auch Konfigurationsdaten gehostet. Die Konfiguration von ­Netzwerkgeräten ist immens wichtig – ist sie fehlerhaft oder korrumpierbar kann sie den Netzwerkbetrieb lahmlegen. Geräte müssen die Konfigurationsverschlüsselung unterstützen und umsetzen, um dieses Risiko zu reduzieren.
• Sicherheitsereignisse prüfen: Netzwerke müssen fortlaufen überwacht werden. Jedes Ereignis, das stattfindet, sollte für die eventuell spätere notwendige Analyse aufgenommen werden. Obwohl man zahlreiche Maßnahmen gegen Cyberangriffe ergreifen kann, ist ein möglicher Angriff in Echtzeit nur schwer erkennbar. Wenn Datenprotokolle genutzt werden, sind die Administratoren in der Lage nachzuverfolgen, welche Ereignisse vor einem Angriff stattgefunden haben und können das Problem effektiv in Angriff nehmen. Die wertvollen Informationen aus Datenprotokollen ­helfen dabei, den Entwurf sowie die Sicherheit des Netzwerks zu verbessern und zukünftige Störungen zu vermeiden. Weitere Sicherheitsmaßnahmen sind die Möglichkeit, Nutzer auszuloggen, Accounts zu löschen und Geräte neu zu starten.
• Sicherheitsstatus visualisieren: Software, die das Netzwerk visualisiert, ermöglicht es ­Administratoren, unübliche oder potenziell schädliche Aktivitäten im Netzwerk zu überwachen. Zusätzlich hilft solche Software ­dabei, Probleme zu verhindern, bevor sie ­entstehen: indem die Netzwerkadministratoren auf einen Blick sicherstellen können, dass jedes Gerät die korrekten Einstellungen hat. Ist ein Gerät nicht so abgesichert, wie es sein sollte, lässt sich das Problem identifizieren und das Risiko, welches von der Angreifbarkeit ausgeht, reduzieren. Typische Sicherheitsfunktionen, die dazu eingesetzt werden, sind Passwortrichtlinien, Verschlüsselung, Log-in-Berechtigungsnachweise sowie die ­Integrität der Daten.
• Korrekte Konfiguration: Menschliche Fehler passieren üblicherweise, wenn Netzwerk­administratoren versehentlich falsche Einstellungen vornehmen, was oft zu unvollstän­diger Netzwerkfunktion, Datenverlust oder plötzlicher Angreifbarkeit führt. Sind die Konfigurationen nicht korrekt, kann das Netzwerk von Mitarbeitern manipuliert oder von außen durch nicht autorisierten Zugriff geschädigt werden. Bei Cyberangriffen, die aufgrund menschlicher Fehler erfolgreich sind, wird dem Administrator oft lange Zeit nach dem Verstoß nicht bewusst, dass diese überhaupt passiert sind. So sind deutliche Schäden am Netzwerk möglich.

Die sechs Herausforderungen lösen
Ebenso wie viele andere Sicherheitsexperten in der Industrie glaubt Moxa, dass es der beste Weg ist, Netzwerke zu schützen, indem man mit der Sicherheit der Switches und der seriell-­zu-Ethernet-Lösungen beginnt. Moxas Lösungen entsprechen deshalb dem Level 2-Standard IEC 62443-4-2:
• Die Industrial Ethernet Switches verfügen über die Firmware Turbo Pack 3, sodass sie den Anforderungen der IEC 62443-4-2 ­entsprechen, und bieten sowohl Mac-Adress- als auch Radius-Authentifizierung.
• Für die seriell-zu-Ethernet-Konnektivität bietet Moxa Industrielle Secure Terminal Server sowie sichere Geräteserver der „NPort“-Serie und Sicherheits-Gateways der „MGate“-Serie.
• Die Funktionen der industriellen Netzwerkmanagement-Suite „MXstudio“ ermöglichen es den Anwendern, den Sicherheitsstatus ­ihres Netzwerks zu visualisieren, sodass sie Ereignisse überwachen und Massenkonfigura­tion durchführen können. Die Software-Suite „MXstudio“ enthält Moxas bekannte Netzwerkmanagement-Software „MXview“ sowie das Konfigurationstool „MXconfig“ für eine Massen-Erstinstallation und das Schnappschuss-Werkzeug N-Snap für die schnelle Fehlersuche und -behebung im Netz. Mit nur einer einzigen Software-Suite ist der ­Administrator in der Lage, jede Stufe des Netzwerkmanagement-Lebenszyklus zu bewältigen, einschließlich Installation, Betrieb, Wartung und Diagnose. Zusätzlich dazu können Automatisierungsingenieure dank der intuitiven Benutzerschnittstelle hoch verfügbare Netzwerke einfach betreiben und dadurch die Gesamtbetriebskosten senken. (no)

Technik im Detail

Die Netzwerkmanagementsoftware „MXview“ von Moxa ist für die Konfiguration, Überwachung und Diagnose von Netzwerkgeräten in industriellen Netzwerken konzipiert. Sie ­bildet eine integrierte ­Managementplattform, die in Subnetzwerken installierte Netzwerkgeräte und SNMP/IP-Geräte erkennt. Alle ausgewählten Netzwerkkomponenten können grafisch über Webbrowser verwaltet werden, und zwar sowohl vor Ort als auch im Fernzugriff – jederzeit und überall (Bild).
Mit „MXview“ und der App „MXview ToGo“, welche den mobilen Zugriff auf den Netzwerkstatus ermöglicht, lassen sich serielle Geräte in Echtzeit jederzeit und von überall überwachen. Das verkürzt im Fall von Störungen die Zeit für die Entscheidungsfindung und optimiert die Betriebseffizienz. „MXview“ sendet Informationen per Push-Ereignisbenachrichtigung direkt an mobile Geräte und ermöglicht Administratoren die sofortige Überprüfung des Netzwerkstatus auf Betrieb, Warnmeldungen oder kritische Situationen.

  • Die Software erkennt und visualisiert Netzwerkgeräte ­sowie physikalische Verbindungen automatisch,
  • ermöglicht ein zentrales Management von Konfigura­tionen und Firmware für Moxa-Geräte,
  • unterstützt Geräte anderer Hersteller über MIB-Compiler und MIB-Browser,
  • erzeugt umfassende Berichte, wie Bestands-, Daten­verkehrs- und Verfügbarkeitsberichte und erstellt automatisch OPC-2.0-konforme Tags für die ­Einbindung in Scada/HMI-Anwendungen.
  • Außerdem registriert die Event-Play-back-Funktion ­Netzwerkereignisse und gibt frühere Netzwerkereignisse wieder.

Chih-Hong Lin ist Business ­Development Manager Industrial Ethernet bei der Moxa GmbH in Unterschleißheim. chih-hong.lin@moxa.com

Chih-Hong Lin ist Business ­Development Manager Industrial Ethernet bei der Moxa GmbH in Unterschleißheim. chih-hong.lin@moxa.com