Industrial Ethernet aber sicher?

Transkript

1 Industrial Ethernet aber sicher? Hirschmann Automation and Control GmbH Hans-Joachim Finkbeiner 1

2 Hirschmann Automation and Control 1924: Gründung der Firma Hirschmann in D-Esslingen 1984: Weltweit erstes ETHERNET auf Glasfaserbasis -> über 20 Jahre Erfahrung mit Industrial Ethernet (IE) Innovationstreiber Industrial Ethernet: Schnelle Redundanz-Umschaltung, Gigabit Ethernet auf der Hutschiene, Echtzeit-Ethernet mit IEEE 1588, Fokus: Kommunikationskomponenten für Industrial Networking und Industrial Connectors Branchen: Process - Factory - Transport - Breitestes Produktspektrum IE Marktführer für Industrial Ethernet Dienstleistungen: Consulting Support - Training Zertifizierung 2

3 Industrial Ethernet - Was bedeutet das? Hochverfügbare Netzwerke: Produktionsausfall kann sich niemand leisten Verteiltes Netzwerk: Der Switch wird in den Prozess integriert und benötigt i.a. nur wenige Ports und Fiber-Uplinks -> völlig neue Security-Anforderungen Erhöhte Anforderung: Switches mit speziellen Features Temperatur, EMV, Schock, Vibration, Redundanz, Geräte-Verfügbarkeit Jahre Skalierbarkeit / Echtzeit: Von 10 Mbit/s, 100 Mbit/s über 1 Gigabit/s bis zu 10 Gigabit/s Vertikale Integration: Prozess- und Fertigungsdaten stehen bereichsübergreifend zur Verfügung -> Anbindung an bestehendes IT-Netz Echtzeit: Harte Trennung vom restlichen Netz 3

4 Definitionen Sicherheit Availability Standsicherheit (MTBF, Spezifikationen, Schock- und Vibrationsfestigkeit, EMV, IP-Schutzgrad,...) Ausfallsicherheit (Redundantes Netzkonzept, Verkabelung, Stecker, Industrie-Switches, Abtrennung vom IT-Netz,...) Security Zugriffsschutz: Verfügbarkeit der Daten Authentifizierung: Datenherkunft, Verbindlichkeit, Identität vom Sender Autorisierung: Zugriffsberechtigung, Vertraulichkeit Integrität: Datenmanipulation, Verschlüsselung, VPN, IPSec Safety Schutz von Mensch und Material 4

5 Security Mechanismen Authentication Identification Access Control Authorisation Switch / Router: MACH, MICE, RS Availability Security Firewall Firewall: EAGLE Intrusion Detection/ Prevention Safety Encryption Tunnelling 5

6 Security: Zentral und dezentral Zentral Internet-Zugang, Filialen-Anbindung,.. Zuständig: IT-Mannschaft Internet Dezentral Schutz der Anlage, Maschine, Produktionszelle,.. Zuständig: Instandhaltung 6

7 Industrie-Firewall EAGLE Skalierbare Security Functionalität: - Reine Firewall - Firewall mit VPN Funktionalität Integration in bestehende L2-Netzwerke: - Single Client Transparent Modus - Multi Client Transparent Modus Abtrennung von Subnetzen: - Routermodus Hirschmann Redundanz Szenarien: - Redundante Ringkopplung - Dual Homing Easy Start Up - HiDiscovery Support - Support des Autoconfiguration Adapters Diagnose: Webbased Management Status LEDs Meldekontakt Logging auf SysLog-Server Integration in HiVision Industriegerechtes Design: - Redundate 24 V DC - Hutschienenmontierbar - IP20, lüfterlos Remote Zugang zum Netzwerk - Dial-In Zugang via V.24 Migration: Kupfer und optische Ports - trusted port - untrusted port 7

8 Zellenabtrennung Schutz vor unbefugtem Zugriff mittels Firewall Filterregeln für eingehenden und ausgehenden Zugriff definierbar Statefull Inspection NAT=Network Address Translation Kontroll-Netzwerk Firewall Steuerungs- Netzwerk Steuerungs- Netzwerk 8

9 Szenario: Service-Zugang Kontroll-Netzwerk Kontrollierter Zugriff von Service-Personal Filterregeln Transparenter Modus Steuerungs- Netzwerk Steuerungs- Netzwerk Service-PC 9

10 Sichere Verbindung zwischen Zellen VPN=Virtual Private Network Office Netzwerk Fabriknetzwerk 10

11 Fernwartung Produktions- Netzwerk Router mit VPN VPN Tunnel Fernwartung Internet Sichere Verbindung für Fernwartung über das Internet VPN Tunnelverbindung IPsec DES Verschlüsselung AES Hardware Verschlüsselung Authentifizierung 11

12 Sichere WLAN-Verbindung - VPN - Firewall Regeln für VPN 12

13 Zugriff auf eine Industrie-Firewall WEB-Management: Konfiguration einzelner Geräte Übergeordnetes Konfigurationsmanagement: Konfiguration vieler Geräte SNMP-Netzwerkmanagement: Übersicht mit Gesamtstatus aller Switche/Firewalls Konfiguration und Überwachung genereller Parameter Logfile: Erfassen und Auswerten aller Ereignisse Meldekontakt: Ferndiagnose Summenfehler 13

14 Übergeordnetes Konfigurationsmanagement ISCM Stand-Alone-Tool zur Konfiguration verschiedener Hersteller Geräteunabhängige Firewall- und VPN-Konfiguration Multikonfiguration von Gerätegruppen Grafische Konfiguration 14

15 Security Zyklus Umfassende Security- Dienstleistungen vom Hirschmann Competence Center Intern Internal Security Audit E-Commerce E-Banking Extern Verbesserungen Security enhancements Ereignisbehandlung Penetrationstests System-..verfügbarkeitstest Wireless Audit Client Access Policy Act Plan Security Services Spectrum Sicherheitspolitik Sicherheitsrichtlinien BSI Zertifizierung ISO/IEC Check Do Sicherheitskonzepte Risikobewertung Festlegung von Zielen Systemarchitektur Produktvorschlag Hardware Firewall VPN IDS/IPS Gerätezugriffskontrolle Removable Media..Management Dienstleistungen Installation und Konfiguration Integration und Migration Managed Security Services Schulungen 15 Software Verschlüsselung Antivirus Malware

16 Realisierung von Security-Anforderungen Planungsphase: Anforderungen definieren, Aufnahme der erforderlichen Applikationen, Messung tatsächlicher Protokolle, Schutzkonzept erstellen Erstellung von Vorschriften,... Realisierungsphase: Aufbau der Schutzmaßnahmen Testphase: Überprüfung der tatsächlich erreichten Sicherheit ggf. unabhängige Zertifizierung (BSI) Das Hirschmann-Competence Center unterstützt Sie gerne in allen Phasen Ihrer Sicherheits-Anforderungen bis hin zum BSI-Zertifkat 16

17 Fazit Sicherheit ist durch ein schlüssiges Gesamtkonzept erreichbar Beachten Sie alle Aspekte der Sicherheit Verfügbarkeit durch Stand- und Ausfallsicherheit sicher stellen Angepasstes Netzkonzept! Schutz der Daten gegen Diebstahl und Verfälschung durch Authentifizierung und Verschlüsselung Überwachung der Sicherheitsfeatures durch Diagnose und Netzmanagement Investitionssicherheit mit verteilten Industrial Ethernet Firewalls Nutzen Sie das Know how vom Hirschmann Competence Center: Industrial Ethernet - aber sicher! 17

18 Hans-Joachim Finkbeiner Project Consulting / ASP Telefon: / Hirschmann Automation and Control GmbH Stuttgarter Str Neckartenzlingen HaJo.Finkbeiner@hirschmann.de 18

19 Hirschmann im Internet Hirschmann Produkte, Leistungen, Kontakte, Competence Center Consulting, Training, Service, Zertifizierungs-Prüfung 19