Mehr Sicherheit für Roboter und Produktionssysteme

Anbieter zum Thema

SonicWall Germany

Arvato Systems

TXOne Networks

Wichtige Aktualisierungen müssen oft warten

Zu den Besonderheiten der Industrie-IT gehört, dass selbst wichtige Updates Ruhepausen des Produktionsprozesses aufgespielt werden können. Bei einem durchgängigen Betrieb sind die nur schwer zu finden. Ein spontaner Reboot ist nicht akzeptabel. Dazu kommt die lange Lebensdauer der Anlagen: 20 bis 30 Jahre Betriebszeit für eine Fertigungsstrecke sind keine Seltenheit.

Am Ende sind die verwendeten Computer Museumsstücke, für die es weder Ersatzteile noch Sicherheitsupdates gibt. Dies gilt insbesondere für industrielle Kontroll- und Leitsysteme, die auf veralteten PC-Betriebssystemen aufsetzen. Rechner mit Windows-NT- und sogar DOS-Betriebssystem sind auch heute noch anzutreffen, obwohl die Hersteller den Service längst abgekündigt haben.

Die Besonderheiten von CNC- und Robotersteuerungen sowie PCs im Produktionsumfeld lassen sich aber auch nutzen, um die Anlagen sicherer zu machen. Darauf wies Rainer Rodler vom Zulieferer ZF Friedrichshafen AG hin: „Whitelisting ist eine der Möglichkeiten, die Anlagen abzusichern.“

Im Gegensatz zur Business-IT sei die Anzahl der benötigten Operationen innerhalb einer Produktionsumgebung übersichtlich klein und ändere sich auch nicht. Dazu ist es laut Rodler lediglich notwendig, die erlaubten Befehle zu erfassen und den Datenverkehr zu überwachen. Anschließend werden nur noch die benötigten Prozesse erlaubt und das System auf dem Stand „eingefroren“.

Im Idealfall auch unbekannte Schadcodes blocken

Der Vorteil dieser aktiven Sicherheitsmaßnahmen: Im Gegensatz zu Antivirengrammen schützen sie auch vor bislang noch unbekannter Malware. Ein Patch-Management ist weitestgehend nicht erforderlich. Da keine ständig wachsenden AV Signaturen benötigt werden und auch Installationen nicht möglich sind, bleiben der Ressourcenverbrauch und damit die Belastung der IT-Komponenten konstant. Dies ist bei zeitkritischen Prozessen besonders wichtig.

Zeitkritische Prozesse werden durch Schutzmaßnahmen also nicht gefährdet. Gleichzeitig sollte die Netzwerktechnik schlau genug sein, infizierte Rechner zu isolieren, um nicht weitere Produktionsapparate zu gefährden. Dazu ist aber zunächst ein begründetes Vertrauen der Roboter zueinander nötig.

Dies wird gerade im Rahmen des „TrustMANET“ Projektes und von „ANSII“ (Anomalieerkennung und eingebettete Sicherheit in industriellen Informationssystemen) untersucht. Sie sollen eine sichere Umgebung für Prozeßtechnik schaffen, und beruht im Wesentlichen auf TPM-Modulen (Trusted Platform Module). Diese sind in der Lage, den unmanipulierten, authentischen Gerätezustand nachzuweisen und sind aus der PC-Welt bekannt.

TPMs bieten Zugriff auf starke Kryptographie und ein eingebaute PKI mit Herstellerzertifikaten oder kundenspezifischen Schlüsseln. Ändert sich etwas am Gerätezustand, geben die Sicherheitsmodule Alarm. Ähnliches gilt, wenn jemand zusätzliche Komponenten wie WLAN-Router in das Netz einklinkt.

(ID:42506446)