A A A
| Sitemap | Kontakt | Impressum | Datenschutz
ETZ Logo VDE Verlag Logo

Cybersecurity für Steuerungen

01 Bei einer „DDoS“-Attacke verteilt ein Hacker seine Angriffsprogramme auf ein Botnetz und kann durch eine gezielte Attacke eine Maschinensteuerung lahmlegen

01 Bei einer „DDoS“-Attacke verteilt ein Hacker seine Angriffsprogramme auf ein Botnetz und kann durch eine gezielte Attacke eine Maschinensteuerung lahmlegen

02 Der Sitemanager von B&R steht in unterschiedlichen Varianten zur Verfügung. Er lässt sich wahlweise via LAN, WLAN oder Mobilfunk anbinden

02 Der Sitemanager von B&R steht in unterschiedlichen Varianten zur Verfügung. Er lässt sich wahlweise via LAN, WLAN oder Mobilfunk anbinden

03 Der B&R-Hypervisor ermöglicht, dass ein Industrie-PC gleichzeitig als Maschinensteuerung und als Embedded-Sitemanager eingesetzt wird. Ein zusätzliches Hardwaregerät ist nicht erforderlich

03 Der B&R-Hypervisor ermöglicht, dass ein Industrie-PC gleichzeitig als Maschinensteuerung und als Embedded-Sitemanager eingesetzt wird. Ein zusätzliches Hardwaregerät ist nicht erforderlich

04 Der Sitemanager ermöglicht eine sichere Übertragung der Daten in die Cloud

04 Der Sitemanager ermöglicht eine sichere Übertragung der Daten in die Cloud

Der Datentransfer von der Maschinensteuerung in eine Cloud erfordert eine Verbindung zum Internet. Dadurch steigt die Anfälligkeit für Cyberattacken. Steuerungen, die Daten in die Cloud schicken, müssen daher besonders geschützt werden. B&R stellt hierfür die passenden Lösungen bereit.
Bevor das Industrial Internet of Things (IIoT) aufkam, kommunizierten Maschinensteuerungen – wenn überhaupt – untereinander oder mit übergeordneten Systemen im Firmennetzwerk. Eine direkte Verbindung mit dem Internet gab es nur in Ausnahmefällen. Vor diesem Hintergrund spielte das Thema Cybersecurity für Maschinenbauer und Maschinenbetreiber keine Rolle.
„Doch das ändert sich gerade“, erklärt Andreas Hager, Produktmanager Control Systems bei B&R. Industrie-PC und andere Geräte werden im IIoT als Edge-Geräte eingesetzt und sind direkt mit dem Internet verbunden. Damit stellen sie ein potenzielles Angriffsziel für Hacker dar. So können Hacker zum Beispiel mit Überlastungsangriffen Steuerungen und damit ganze Maschinen lahmlegen. Bei solch einer „DDoS“-Attacke (Distributed Denial of Service) verteilt ein Hacker seine Angriffsprogramme auf ein sogenanntes Botnetz. Dieses besteht aus mehreren hundert bis tausend Rechnern, Smartphones und Tablets, die letztendlich zum Angriffswerkzeug werden (Bild 1). Auf Kommando bombardieren die Bots eine Maschinensteuerung gleichzeitig mit so vielen Anfragen, dass sie unter der Last zusammenbricht und die Maschine stoppt – wie erst kürzlich ein Malware-Angriff auf einen Prozessorhersteller zeigte.
Offene Ports
Um Daten in die Cloud zu übertragen, müssen auf der Maschinensteuerung Ports geöffnet werden. „Während der Übertragungskanal zwischen Steuerung und Cloud-Gateway geöffnet ist, bieten diese Ports dann eine Möglichkeit für Hackerangriffe“, erklärt A. Hager. Zudem ergeben sich weitere Probleme: Geräte, die direkt mit dem Internet verbunden sind, müssen mit Updates ständig aktuell gehalten werden, um neu entdeckte Sicherheitslücken zu schließen.
„Viele Maschinen laufen wochen- oder monatelang ohne Unterbrechung durch“, gibt A. Hager zu bedenken. Ein Update lässt sich jedoch nur bei gestoppter Maschine einspielen. Zudem muss gegebenenfalls die Applikation nach einem Update angepasst werden. „Das ist zu aufwendig und auf Dauer nicht praktikabel.“
Die Lösung: Steuerungs- und Kommunikationsfunktion müssen getrennt sein. Somit kann zum Beispiel eine „DDoS“-Attacke nicht mehr bis zur Maschinensteuerung durchdringen. „Im schlimmsten Fall wird nur die Kommunikation in die Cloud lahmgelegt, die Maschine kann trotzdem weiterlaufen“, sagt der Produktmanager.
B&R hat für diesen Zweck den Sitemanager entwickelt. Dieses Gerät verfügt über eine integrierte Firewall und übernimmt alle Aufgaben, die für die Cybersecurity gefordert sind: Zum Beispiel Cloudzertifikate auf dem neuesten Stand halten und Patches anwenden, um Sicherheitslücken zu schließen. Der Sitemanager steht in unterschiedlichen Varianten zur Verfügung. Je nach Version lässt er sich via LAN, WLAN oder Mobilfunk an das Internet anbinden (Bild 2). Alle drei Varianten verfügen über eine integrierte Firewall. Um Sicherheitskonflikte mit werksseitigen Firewalls zu vermeiden, läuft die Kommunikation in das Internet über firewallverträgliche, verschlüsselte Webprotokolle. Neben den Hardwarevarianten steht zudem eine Softwareversion zur Verfügung. So lassen sich Maschinensteuerung und Sitemanager in einem Gerät vereinen. Dazu werden mithilfe des B&R-Hypervisors auf einem Industrie-PC zwei Betriebssysteme installiert (Bild 3): das Echtzeitbetriebssystem für die Maschinensteuerung und ein Linux- oder Windows-System für den Sitemanager. Beide Betriebssysteme laufen vollständig unabhängig voneinander. Selbst wenn der Sitemanager durch einen Angriff blockiert wird oder das allgemeine Betriebssystem abstürzt, ist die Maschinensteuerung davon nicht betroffen.
Cloud-Connectivity
Um Daten in die Cloud zu übertragen, wird die Steuerung via OPC UA mit dem Sitemanager verbunden (Bild 4). Der Anwender definiert bei der Konfiguration, welche Daten übertragen werden sollen. Es ist auch möglich, unterschiedliche Daten an unterschiedliche Cloudplattformen zu übertragen. Die Konfiguration erfolgt durch Setzen von Häkchen in der Weboberfläche des Sitemanagers.
Benötigt ein Cloudzertifikat ein Update, muss der Maschinenbetreiber nicht aktiv werden: Der Sitemanager lädt Updates automatisch herunter und installiert diese – ohne die Maschinenfunktion zu beeinträchtigen. Somit wird gewährleistet, dass die Sicherheitsrichtlinien der Cloudanbieter stets eingehalten und potenzielle Sicherheitslücken schnell geschlossen werden.
Sichere Fernwartung
„Bei der Fernwartung ergeben sich ganz ähnliche Sicherheitsanforderungen, wie bei der Übertragung von Daten in die Cloud“, erklärt A. Hager. Daher bietet sich auch für diese Anwendung der Sitemanager an. Das Gerät ermöglicht, dass sich ein Servicetechniker des Maschinenbauers über eine sichere VPN-Verbindung mit der Maschinensteuerung verbindet und auf Fehlersuche gehen kann. Ein Benutzerverwaltungssystem regelt eindeutig und manipulationssicher, welcher Techniker auf welche Steuerungen zugreifen darf. „Mit dem Techniker vor Ort kann dann gezielt ein Problemlösungsprozess gestartet werden“, sagt A. Hager. Der Sitemanager sorgt dafür, dass jeglicher Datentransfer zwischen der Maschine und unterschiedlichen Applikationen außerhalb des Firmennetzwerks vor unberechtigten Zugriffen wie Cyberattacken geschützt ist. (ih)
Carmen Klingler-Deiseroth ist freie Fachjournalistin.

Edge Computing

Beim Edge Computing werden große Datenmengen möglichst nahe an der Datenquelle erfasst, komprimiert und aggregiert, um dann an übergeordnete Systeme weitergeleitet zu werden. Das dafür benötigte Bindeglied zwischen der echtzeitgetriebenen Maschinen- und Prozessebene (OT = Operational Technology) und der IT heißt Edge-Gerät. B&R bietet drei unterschiedliche Edge-Gerätetypen an, um alle Anwendungsfälle abzudecken: Edge Controller, Edge Embedded und Edge Connect.