Anlagenschutz und Systemsicherheit Industrial Security als Bodyguard für die vernetzte Produktion

Autor / Redakteur: Sven Härtel, Klaus Merkl* / Reinhard Kluger

Die vernetzte Produktion erfordert entsprechend angepassten Schutz vor unerlaubten Zugriffen, vor Schadsoftware, vor Know-how-Diebstahl und vor Sabotage. Industrial Security darf dabei an vernetzten CNC- und Motion-Control-Systemen die Effizienz und Verfügbarkeit nicht beeinträchtigen.

Firma zum Thema

Mit zunehmender Vernetzung der Produktionsebene gewinnt Industrial Security auch auf Werkzeug- und Produktionsmaschinen an Bedeutung. Simotion-Controller bringen die erforderlichen Schutzmechanismen und -funktionen mit.
Mit zunehmender Vernetzung der Produktionsebene gewinnt Industrial Security auch auf Werkzeug- und Produktionsmaschinen an Bedeutung. Simotion-Controller bringen die erforderlichen Schutzmechanismen und -funktionen mit.
(Siemens)

Durchgängige, ethernet-basierte Vernetzung und damit eine Kommunikation, die alle Ebenen verbindet, ist das Rückgrat vieler industrieller Prozesse – ein entscheidender Faktor für die Transparenz, Produktivität und Verfügbarkeit von Werkzeugmaschinen und Produktionsanlagen. So spart beispielsweise die Fernwartung und -diagnose über eine Netzwerkverbindung lange Anfahrwege, Kosten, Stillstandszeiten und somit Produktionsausfälle. Stand der Technik sind auch die Inbetriebnahme und Software-Pflege über Netzwerk, ebenso wie das Einspielen und Archivieren von (CNC-)Programmen, Rezepturen bzw. Prozessdaten von und auf zentralen Servern oder über USB-Stick. All das vereinfacht und beschleunigt die Arbeit auf vielen verschiedenen Ebenen und ist vielfach entscheidend für die Produktivität.

Bildergalerie

Geeignete Gegenmaßnahmen

Jedoch wachsen mit zunehmender Verbreitung dieser Mechanismen auch die Möglichkeiten und das Risiko unerwünschter Zugriffe auf die Systeme, sei es versehentlich oder mutwillig. Damit steigt die Notwendigkeit geeigneter Gegenmaßnahmen, die in der Bürowelt längst zur Standardausrüstung gehören.

Als einer der weltweit führenden Anbieter von Automatisierungstechnik setzt Siemens auch beim Thema Industrial Security alles daran, seine Produkte und die damit gesteuerten Maschinen, Anlagen und Systeme sicherer zu machen. Es wird ein gesamtheitlicher Ansatz verfolgt – eine sogenannte „Defense-in-depth“-Strategie – basierend auf physischem Anlagenschutz, strukturiertem Zellenaufbau und verschiedenen Zugriffs- bzw. Schutzmechanismen wie Switches, Firewalls und VPN- Verbindungen (Virtual-Private-Network) an den Schnittstellen.

Gehärtete Automatisierungsgeräte

Darüber hinaus „härtet“ Siemens auch die Automatisierungsgeräte selbst immer mehr und implementiert zusätzliche Security-Funktionen. Angepasst an die unterschiedlichen Architekturen und Anwendungen der CNC-Steuerungen Sinumerik und der Motion-Control-Systeme Simotion schützen diese vor

  • unautorisiertem Zugang (local/remote),
  • Schadsoftware (Viren, Trojaner) und – auch das ist Industrial Security:
  • Know-how-Diebstahl.

CNC-Steuerungssysteme der aktuellen Generation Sinumerik 840D sl bieten verschiedene Schutzmechanismen und -funktionen, abgestimmt auf die Architektur von NCK-/PLC- und HMI -Teil. Um die Zugriffsmöglichkeiten auf die Profinet-Schnittstellen im Automatisierungsnetz zu reduzieren, lassen sich nicht benötigte Ports einfach abschalten. Die Schnittstellen sind aufgrund ihrer spezifischen Protokoll-Stack-Architektur resistent gegenüber bekannten Attacken wie DoS (Denial of Service) und DDoS (Distributed Denial of Service), so dass keine Systemabstürze durch Überlast provoziert werden können. Mittels Webserver (bei der Auslieferung deaktiviert) sind Diagnoseseiten einfach ohne Engineering-System aufrufbar und durch ein Benutzer- bzw. Passwortkonzept gesichert. Die USB-Schnittstellen der PCU (PC-Unit mit Windows-Betriebssystem und HMI) können nun einfach per Service-Kommando dynamisch und flexibel zur Laufzeit aktiviert und deaktiviert werden, also ohne Neustart des Systems.

Effizientes Sicherheitskonzept

Wichtige Bausteine eines effizienten Sicherheitskonzepts sind eine konsequente Benutzerverwaltung und ein Rechte-Management zur Zugriffskontrolle. Dabei sollte jeder Benutzer bzw. jede Applikation nur die Rechte erhalten, die für die aktuelle Aufgabe benötigt werden (Minimalprinzip). So lassen sich Fehlbedienungen und gewollte Manipulationen (Sabotage) reduzieren, mindestens aber einschränken. Die Steuerung Sinumerik 840D sl unterstützt ein zentrales Schutzstufenkonzept für den Zugriff auf das System über Schlüsselschalter und Software.

Elementares Thema im Maschinenbau: der Schutz des geistigen Eigentums. Um das Abgreifen und Kopieren spezifischer Steuerungsfunktionalitäten zu verhindern, muss es schon beim Engineering Möglichkeiten geben, die Programme zu verschlüsseln bzw. diese mit einem Passwort zu schützen. Dabei darf eine Verschlüsselung keinen Einfluss auf die Performance (Zyklus-/Reaktionszeiten) des Programms haben, was sich wiederum auf die Qualität auswirken würde.

Software schützt Step7-Projekte

Das Software-Paket Simatic Logon schützt Step7-Projekte gegen unberechtigten Zugriff. Es nutzt die Mittel der Windows-Benutzerverwaltung bei Funktionen wie der automatischen Benutzerabmeldung und dem automatischen Ablauf von Passwörtern. Der Schutz technologischen Wissens vor unberechtigtem Zugriff ist nun fester Bestandteil von Sinumerik Integrate, dem Gesamtpaket für einfache Integration der CNC-Steuerungen von Siemens in die Kommunikations-, Engineering- und Produktionsprozesse von Unternehmen. Das dafür konzipierte Softwaremodul „Lock-it!“ realisiert wirksamen Know-how- und Technologie-Schutz durch Verschlüsselung von OEM-Zyklen (Lock MyCycles) und den Schutz von PLC-Programmen über bewährte Simatic Step-7-Mechanismen (S7 Block Privacy (SBP), Lock MyPLC).Zum Schutz des Betriebs- und Dateisystems der PCU vor schädlicher Software empfiehlt sich der konsequente Einsatz eines Viren-Scanners. Für die Sinumerik-Steuerung stehen dazu künftig drei auf Verträglichkeit getestete Scanner zur Auswahl:

  • Trend Micro Office Scan,
  • Symantec Endpoint Protection und
  • McAfee VirusScan Enterprise.

Siemens testet regelmäßig und zeitnah nach deren Erscheinen die von Microsoft veröffentlichten Windows Security Patches auf Verträglichkeit mit den eigenen Systemen und veröffentlicht die Ergebnisse im Internet.

Bei Auslieferung der Komponenten ist bereits ein hoher Sicherheitsstandard berücksichtigt – die aktivierte Firewall, minimal installierte Softwaredienste, regelmäßige Schwachstellen-Tests des Systems mit einem Vulnerability Scanner und statische Codeanalysen bieten eine minimale Angriffsfläche.

Ein weiterer Schutzmechanismus ist das sogenannte Whitelisting, das gewährleistet, dass auf einem PC-System ausschließlich vertrauenswürdige Programme und Anwendungen ausgeführt werden.

Industrial Security für Produktionsanlagen

Adäquate Schutzmechanismen sind auch für das Motion-Control-System Simotion verfügbar, wobei die Windows-relevanten Punkte nur die PC-basierte Hardware-Plattform betreffen (Simotion P3x0). Simotion P ist ein Windows-basiertes System mit einem hoch performanten unterlagerten Echtzeitkern, der kürzeste Bearbeitungszyklen ermöglicht. Dennoch besteht die Möglichkeit des Virenscans. Dieser wird in Stillstandszeiten über einen USB-Stick mit einer Windows-PE-Installation durchgeführt. Auch die Firewall von Windows XP ist auf den PC-basierten Systemen nutzbar.

Zugriffsrechte staffeln

Das gilt auch für die Windows Security Patches. Bei Simotion lässt sich der Webserver deaktivieren bzw. der Zugriff eingrenzen und für verschiedene Nutzergruppen einrichten. Basisinformationen können ohne Eingabe eines Passworts gelesen werden, für Watch-Tabellen, Webtraces und Änderungen des Betriebszustands ist generell ein Login erforderlich. Die Datenübertragung im Webserver (auch Sinumerik) kann auch über eine https-Verbindung SSL-verschlüsselt (Secure Socket Layer) erfolgen.

Spezifisches Know-how lässt sich auch bei Simotion-Anwendungen zuverlässig vor Zugriffen schützen:

Im Engineering-System Simotion Scout gibt es für Programme (Quellen), DCC-Pläne und Bibliotheken einen Know-how-Schutz mit mehreren Stufen. Der integrierte Know-how-Manager verschlüsselt Programme und Bibliotheken, wobei bis zu vier Sicherheitsstufen zur Auswahl stehen. Der Know-how-Schutz bleibt auch beim Ex- und Import im XML-Format bestehen.

Online-Aktivitäten protokollieren

Darüber hinaus kann Simatic Logon mit Simotion Scout eingesetzt und ein Zugriffsschutz für Projekte und Bibliotheken mit folgenden Möglichkeiten realisiert werden: Zuweisung individueller Berechtigungen für Benutzer und/oder Benutzergruppen(z. B. Bausteine lesen, schreiben, transferieren) sowie Protokollierung von Online-Aktivitäten und Anmeldevorgängen am Rechner. Somit sind Zugriffe und Änderungen im Projekt nachvollziehbar. Die zeitlich beschränkte Zuteilung von Berechtigungen für Benutzer und Benutzergruppen und Passwortalterungs-Strategien sind weitere Möglichkeiten.

Simotion bietet Know-how-Schutz

Grundsätzlich bietet Simotion einen Know-how-Schutz , da jedes Simotion-Programm nach der Erstellung in ein Binär-File umgewandelt und zur Steuerung übertragen wird; dieses ist ohne das zugehörige Projekt nicht rückübersetzbar (Reverse-Engineering).

Zusätzlich stehen dem Anwender verschiedene applikative Varianten des Kopierschutzes offen, um ein Klonen und Übertragen von Projektdaten auf andere, nachgebaute Maschinen zu verhindern. Ob ein Simotion-Programm gegenüber der ursprünglichen Version verändert worden ist, lässt sich mit Hilfe eines Projektvergleichs im Engineering-System leicht feststellen.

Mehr als nur ein Produkt

Industrial Security ist mehr als nur Produkte und Funktionen und deren technische Implementierung, sondern beginnt mit der Schaffung eines umfassenden Sicherheitsbewusstsein („Awareness“) über alle Management- und Mitarbeiterebenen hinweg. Industrial Security ist eine fortwährende Aufgabe. Dabei kann es keine hundertprozentige, aber ein hohes Maß Sicherheit geben, wenn Betreiber, Systemintegratoren und Lieferanten intensiv zusammenarbeiten.

Über die Autoren

Dipl.-Ing. Sven Härtel ist Produktmanager Industrielle Kommunikation und Sicherheit bei der Siemens AG, Drives Technologies, Erlangen. Dipl.-Ing. Klaus Merkl ist Systemmanager Motion Control Systems für Produktionsmaschinen, Siemens AG, Drive Technologies, Erlangen.

(ID:42429626)