Malware-Schutz für SCADA-Systeme

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Avast Deutschland GmbH

Neutral und transparent im Netz

Aus der Ausführung der Lösung in der Sicherungsschicht des OSI-Referenzmodells ergeben sich weitere Vorteile. Unabhängig von Betriebssystem oder Rechnertyp werden proprietäre Systeme genauso geschützt wie Bedienplätze und Steuerungen, die mit alten und seit Jahren nicht aktualisierten oder gepatchten Betriebssystemen und Anwendungen arbeiten.

Eine gegenseitige Beeinträchtigung von Virenschutzlösungen, die auf modernen PC-basierten Systemen im Produktionsnetz durchaus vorhanden sein können, und dem Inline-Scanner findet nicht statt. Außerdem muss die Lösung den bestehenden Komponenten im Netz nicht als Proxy oder Gateway mitgeteilt werden und Eigenschaften des Kommunikationsnetzes nicht berücksichtigen.

Die Appliances lassen sich deshalb nicht nur mit wenig Aufwand installieren und administrieren, sondern auch an beliebigen, strategisch sinnvollen Punkten in den Netzwerk-Verkehr einklinken. Im Fall der Produktionsumgebung ist der Übergang von Office-Netz zu Produktionsnetz ein passender Aufstellort. Gegebenenfalls sind geringfügige Korrekturen an der Architektur des Produktionsnetzes zweckmäßig, um den Traffic passend zu bündeln, oder aber es werden mehrere Appliances eingesetzt.

Bei einer Installation vor den Engineering-Plätzen lässt sich auch der Datenverkehr mit den Laptops der Servicetechniker und externe Ingenieure überwachen, die vom Büronetz aus auf die Bearbeitungsmaschinen zugreifen. Die Laptops der externen Techniker sind neben USB-Sticks Hauptquelle für Malware-Infektionen im Produktionsbereich.

Alle Kommunikationswege technisch absichern

USB-Sticks werden in vielen Unternehmen für die Aktualisierung der Maschinendaten eingesetzt. Ein Virenscan vor dem Kontakt mit der Maschine kann jedoch technisch nicht erzwungen werden. Diese Lücke schließt Norman mit dem Inline-Scanner Norman SCADA Protection.

Dabei handelt es sich um eine Weiterentwicklung des Produktes Norman Network Protection, das mit einer Scan- und Validierungskomponente für Sticks versehen wurde. Das Device wird direkt an der Appliance gescannt. Der Prozess hinterlässt ein Zertifikat mit einer Liste der geprüften Dateien und deren Hashwerten. An ihm erkennt ein Client-Treiber auf der Produktionsmaschine, ob die Prüfung stattgefunden hat und ob nach dem Scan Veränderungen auf dem Stick vorgenommen wurden.

Auf Daten auf ungeprüften Sticks kann nicht zugegriffen werden; wurden zwischenzeitlich Inhalte aktualisiert, kann nur auf die validierten Daten zugegriffen werden. Eine Veränderung an der Software stellt der Agent nicht dar, weil er am USB-Treiber hängt, der ohnehin auf der Maschine installiert ist.

Mit dem Inline-Detection-Ansatz steht zuverlässiger Malware-Schutz zur Verfügung, der mit überschaubaren Aufwand an Zeit und Kosten in nahezu allen Produktionsumgebungen installiert und betrieben werden kann. Wesentliche Änderungen am bestehenden Produktionsnetz und Konfigurationsarbeiten an Komponenten sind ebenso überflüssig wie Einschränkungen bei den etablierten Kommunikationsverfahren. Lückenlosen Schutz erreichen die Sicherheits-Appliances mit einer Scan-Komponente für USB-Sticks.

Jörg Lützenkirchen ist Sales Engineer bei der Norman Data Defense Systems GmbH.

(ID:37464640)