- PDF Kostenfreier Download

Transkript

1 Senden von Security- Meldungen mittels -Protokoll mit einer S CPU SIMATIC, TIA Portal, Logging Siemens Industry Online Support

2 Rechtliche Hinweise Rechtliche Hinweise Nutzung der Anwendungsbeispiele In den Anwendungsbeispielen wird die Lösung von Automatisierungsaufgaben im Zusammenspiel mehrerer Komponenten in Form von Text, Grafiken und/oder Software-Bausteinen beispielhaft dargestellt. Die Anwendungsbeispiele sind ein kostenloser Service der Siemens AG und/oder einer Tochtergesellschaft der Siemens AG ( Siemens ). Sie sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit und Funktionsfähigkeit hinsichtlich Konfiguration und Ausstattung. Die Anwendungsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern bieten lediglich Hilfestellung bei typischen Aufgabenstellungen. Sie sind selbst für den sachgemäßen und sicheren Betrieb der Produkte innerhalb der geltenden Vorschriften verantwortlich und müssen dazu die Funktion des jeweiligen Anwendungsbeispiels überprüfen und auf Ihre Anlage individuell anpassen. Sie erhalten von Siemens das nicht ausschließliche, nicht unterlizenzierbare und nicht übertragbare Recht, die Anwendungsbeispiele durch fachlich geschultes Personal zu nutzen. Jede Änderung an den Anwendungsbeispielen erfolgt auf Ihre Verantwortung. Die Weitergabe an Dritte oder Vervielfältigung der Anwendungsbeispiele oder von Auszügen daraus ist nur in Kombination mit Ihren eigenen Produkten gestattet. Die Anwendungsbeispiele unterliegen nicht zwingend den üblichen Tests und Qualitätsprüfungen eines kostenpflichtigen Produkts, können Funktions- und Leistungsmängel enthalten und mit Fehlern behaftet sein. Sie sind verpflichtet, die Nutzung so zu gestalten, dass eventuelle Fehlfunktionen nicht zu Sachschäden oder der Verletzung von Personen führen. Haftungsausschluss Siemens schließt seine Haftung, gleich aus welchem Rechtsgrund, insbesondere für die Verwendbarkeit, Verfügbarkeit, Vollständigkeit und Mangelfreiheit der Anwendungsbeispiele, sowie dazugehöriger Hinweise, Projektierungs- und Leistungsdaten und dadurch verursachte Schäden aus. Dies gilt nicht, soweit Siemens zwingend haftet, z.b. nach dem Produkthaftungsgesetz, in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der schuldhaften Verletzung des Lebens, des Körpers oder der Gesundheit, bei Nichteinhaltung einer übernommenen Garantie, wegen des arglistigen Verschweigens eines Mangels oder wegen der schuldhaften Verletzung wesentlicher Vertragspflichten. Der Schadensersatzanspruch für die Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegen oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist mit den vorstehenden Regelungen nicht verbunden. Von in diesem Zusammenhang bestehenden oder entstehenden Ansprüchen Dritter stellen Sie Siemens frei, soweit Siemens nicht gesetzlich zwingend haftet. Durch Nutzung der Anwendungsbeispiele erkennen Sie an, dass Siemens über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden kann. Weitere Hinweise Siemens behält sich das Recht vor, Änderungen an den Anwendungsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in den Anwendungsbeispielen und anderen Siemens Publikationen, wie z. B. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Ergänzend gelten die Siemens Nutzungsbedingungen ( Securityhinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z.b. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter: Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter: Beitrags-ID: , V1.0, 01/2018 2

3 Inhaltsverzeichnis Inhaltsverzeichnis Rechtliche Hinweise Einführung Überblick Funktionsweise Verwendete Komponenten Engineering Parametrierung der Hardware Parametrierung des Datenbausteins "L_Data" Bedienung Wissenswertes Das -Protokoll Die Anweisung "Get_Alarm" Die Anweisung "GetChecksum" Anhang Service und Support Links und Literatur Änderungsdokumentation Beitrags-ID: , V1.0, 01/2018 3

4 1 Einführung 1 Einführung 1.1 Überblick Einfach und effizient: das -Protokoll Merkmale von ist ein einfach aufgebautes binäres Protokoll auf UDP/IP-Ebene. Es ermöglicht Anwendungen Meldungen, Warnhinweise oder Fehlerzustände an einen -Server zu senden. wird typischerweise für Computersystem- Management und Sicherheits-Überwachung benutzt und hat sich inzwischen als ein Standard (RFC 5424) im Bereich der Protokollierung etabliert. Das -Protokoll hebt sich durch folgende Merkmale hervor: Einfaches Protokoll mit geringem Transport-Overhead Minimaler Bedarf an Netzwerk-Bandbreite durch Push-Mechanismus Schweregrad und Herkunft als Information im Header Meldetexte individuell erstellbar Applikative Umsetzung Um das -Protokoll in eine SIMATIC S7-Steuerung zu implementieren, wird Ihnen mit der Bibliothek "L" eine Lösung angeboten. Sie finden die Bibliothek unter folgendem Link: Weitere Informationen zum -Protokoll und der Funktion des Bausteins finden Sie in der dazu gehörigen Bibliotheksbeschreibung. Dieses Anwendungsbeispiel nutzt diese Bibliothek und stellt Ihnen einen Funktionsbaustein für die SIMATIC S zur Verfügung. Der Funktionsbaustein "L_Send" integriert die -Client-Funktion, fügt die Meldetexte in das -Protokoll ein und sendet diese Meldungen an den -Server. Folgende Meldungen werden an den -Server geschickt: Informationen über die Steuerung (Bestellnummer, Seriennummer, Firmwarestand). Auftretende Security-Meldungen, z.b. bei einer Anmeldung an der Steuerung. Warnmeldung, wenn ein Programm geändert und in die Steuerung geladen wurde. Die Prüfsummen des alten und des neuen Programms werden in die Meldung integriert. Warnmeldung, wenn ein Safety-Programm geändert und in die Steuerung geladen wurde. Die Prüfsummen des alten und des neuen Programms werden in die Meldung integriert. Beitrags-ID: , V1.0, 01/2018 4

5 1 Einführung 1.2 Funktionsweise In diesem Anwendungsbeispiel werden Security-Meldungen mit der Anweisungen "Get_Alarm" und "GetChecksum" ausgelesen und an den -Server gesendet. So können Sie Zugriffe auf Ihre Steuerungen nachverfolgen und dokumentieren. Schematische Darstellung Die folgende Abbildung zeigt schematisch den Zusammenhang der beteiligten Komponenten. Abbildung 1-1: S (-Client) -Server L_ Data 3 Create Messages FB 2 Message X 4 1 Message Y L_ Send Tabelle 1-1 Schritt Beschreibung 1 Der Baustein "L_Send" baut die UDP-Verbindung zum Server auf. Meldungen aus dem Cache werden in das -Protokoll eingebettet und an den -Server gesendet. 2 Der Baustein "CreateMessagesFB" liest Security-Meldungen und die aktuellen Prüfsummen aus und erstellt daraus Meldungen, die an den -Server gesendet werden. 3 Der Datenbaustein "L_Data" verwaltet die Parameter der Verbindung und speichert auftretende Meldungen in einem Cache. 4 Der -Server empfängt die Meldungen und zeigt diese an. Beitrags-ID: , V1.0, 01/2018 5

6 1 Einführung Programmablauf In der folgenden Abbildung sehen Sie den Ablauf und das Zusammenspiel der Funktionsbausteine "L_Send" und "CreateMessageFB". Beide Bausteine werden im Anwendungsbeispiel im Funktionsbaustein "" aufgerufen. Abbildung 1-2 L_ Send Create Messages FB Idle Erster Aufruf Verbindungsaufbau zum -Server Bestellnummer, Seriennummer und Firmwarestand werden ausgelesen und in einer Meldung zusammengefasst. Connected Warte auf neue Meldungen Cache Einbetten der Meldung in das -Protokoll Senden des Telegramms Neue Meldung im Cache Auslesen der Prüfsumme mit GetChecksum Ein verändertes Programm wurde geladen. Auslesen von Security- Meldungen mit Get_Alarm Die Steuerung hat eine Security- Meldung generiert. Beitrags-ID: , V1.0, 01/2018 6

7 1 Einführung 1.3 Verwendete Komponenten Dieses Anwendungsbeispiel wurde mit diesen Hard- und Softwarekomponenten erstellt: Tabelle 1-2 Komponente Anzahl Artikelnummer Hinweis SIMATIC S ES FN01-0AB0 Firmware V2.1 Es wird mindestens Firmware V2.0 benötigt. Kiwi Server 1 com/free-tools/kiwifree-syslog-server Dieses Anwendungsbeispiel besteht aus folgenden Komponenten: Tabelle 1-3 Komponente Dateiname Hinweis Beschreibung DOKU_de.pdf Dieses Dokument Projekt CODE.zip TIA Portal V14 SP1 Beitrags-ID: , V1.0, 01/2018 7

8 2 Engineering 2 Engineering Um das Anwendungsbeispiel anwenden zu können, sind folgende Schritte notwendig: 2.1 Parametrierung der Hardware 1. Öffnen Sie das TIA-Portal-Projekt von der Beitragsseite dieses Anwendungsbeispiels: 2. Öffnen Sie die Hardwarekonfiguration der Steuerung. 3. Wenn Sie nicht die im Anwendungsbeispiel genutzte Steuerung zur Verfügung haben, dann tauschen Sie die Steuerung mithilfe des Dialogs "Gerät tauschen " ("Change device"). 4. Selektieren Sie die CPU und wechseln Sie im Inspektorfenster in das Register "Eigenschaften" ("Properties"). Passen Sie nun die IP-Adresse der PROFINET Schnittstelle [X1] ("PROFINET interface [X1]") an. Wählen Sie eine freie IP- Adresse in Ihrem Netzwerk und geben Sie diese mit der Subnetzmaske ein. Beitrags-ID: , V1.0, 01/2018 8

9 2 Engineering 5. Für die Steuerung sind Zugriffspasswörter projektiert. Diese werden nach dem Laden der Hardwarekonfiguration benötigt, um sich an der Steuerung anzumelden, werden die folgenden Passwörter benötigt: Tabelle 2-1: Passwörter der projektierten CPU Access level Full access incl. Fail-safe (no protection) Full access (no protection) Read access Password Level3 Level2 Level1 2.2 Parametrierung des Datenbausteins "L_Data" 1. Öffnen Sie nun den Datenbaustein "L_Data". 2. Passen Sie folgenden Variablen an: Variable Wert plcname Name der CPU hostaddress IP-Adresse der CPU ConnectionDescription.RemoteAddress.ADDR IP-Adresse des -Servers Hinweis Falls Sie nicht die interne PN-Schnittstelle der CPU verwenden möchten, passen Sie ebenfalls den Parameter "InterfaceId" an. 3. Übersetzen Sie das Projekt. Falls Fehler auftreten, beseitigen Sie diese. 4. Laden Sie das Projekt in Ihre Steuerung. Beitrags-ID: , V1.0, 01/2018 9

10 2 Engineering 2.3 Bedienung Um Meldungen von der Steuerung an den -Server zu senden, müssen Sie folgende Schritte durchführen: Verbindung zum Server aufbauen 1. Öffnen Sie den Baustein "" und klicken Sie auf die Schaltfläche "Beobachten ein/aus" ("Monitoring on/off"). 2. Steuern Sie die Variable "Start" am Eingang "enable" auf "true". Klicken Sie hierzu die Variable "Start" an und drücken Sie anschließend die Tastenkombination "Strg + F2". Ergebnis Der Baustein baut die Verbindung zum -Server auf. Sobald der Baustein am Ausgang "connectionestablished" den Wert "true" zurückgibt, können Telegramme gesendet werden. Abbildung 2-1 Beitrags-ID: , V1.0, 01/

11 2 Engineering Warnmeldungen generieren Mit folgendem Vorgehen können Sie eine Warnmeldung generieren: 1. Verlassen Sie den Beobachtungsmodus, indem Sie auf die Schaltfläche "Beobachten ein/aus" ("Monitoring on/off") klicken. 2. Öffnen Sie den Datenbaustein "L_Data". 3. Ändern Sie den Wert für "plcname". 4. Übersetzen Sie das Programm und laden Sie die Änderung in Ihre Steuerung. Ergebnis Es wurde eine Meldung generiert, die Ihnen anzeigt, dass ein neues Programm geladen wurde. Die Meldung wurde automatisch an den -Server geschickt. In der folgenden Abbildung sehen Sie, wie die Meldung aufgebaut ist. Security-Meldungen generieren Mit folgendem Vorgehen können Sie eine Security-Meldung generieren: 1. Um eine neue Anmeldung an der Steuerung durchführen zu können, schließen Sie das geöffnete Projekt. 2. Öffnen Sie das Projekt erneut. 3. Gehen Sie "Online", indem Sie die Schaltfläche "Online verbinden" ("Go online") in der Funktionsleiste drücken. 4. Geben Sie das Passwort für die Berechtigungsstufe "Read access" ein (siehe Tabelle 2-1). Ergebnis Es wurde eine Meldung generiert, die Ihnen anzeigt, dass eine Anmeldung an der Steuerung erfolgt ist. Die Meldung wurde automatisch an den -Server geschickt. In der folgenden Abbildung sehen Sie, wie die Meldung aufgebaut ist Beitrags-ID: , V1.0, 01/

12 3 Wissenswertes 3 Wissenswertes 3.1 Das -Protokoll ist ein Logging System zur Übermittlung von Meldungen in einem IP- Netzwerk und hat sich inzwischen zu einem Standard (RFC 5424) im Bereich der Protokollierung etabliert. Weitere Informationen zum -Protokoll und der Bausteinbibliothek "L" finden Sie in der zugehörigen Bibliotheksbeschreibung: Die Anweisung "Get_Alarm" Mit der Anweisung "Get_Alarm" können Sie Meldungen im Anwenderprogramm über die Alarmschnittstelle der S PLC auslesen. Dabei meldet sich die Anweisung "Get_Alarm" wie ein SIMATIC HMI an die Meldesystem-Schnittstelle der S PLC an, um eine kommende oder gehende Meldung auszulesen. Meldungen ermöglichen Ihnen, Fehler bei der Prozessbearbeitung in den Automatisierungssystemen schnell zu erkennen, genau zu lokalisieren und zu beheben. Weitere Informationen zur Anweisung "Get_Alarm" finden Sie hier: Die Anweisung "GetChecksum" Prüfsumme PLC-Programme werden beim Übersetzen automatisch mit eindeutigen Prüfsummen gekennzeichnet. Anhand der Prüfsumme können Sie Ihr Programm identifizieren und feststellen, ob zwei PLC-Programme identisch sind. Da die Prüfsumme zusammen mit dem PLC-Programm in die CPU geladen wird, kann sie auch im Servicefall als wichtige Information dienen. Sie können z.b. leicht feststellen, ob das Programm, das aktuell auf der CPU läuft, dasselbe Programm ist, das Sie vor längerer Zeit geladen haben, oder ob es zwischenzeitlich geändert wurde. Abbildung 3-1: Prüfsumme Prüfsumme erzeugen Wenn beim nächsten Übersetzungslauf festgestellt wird, dass das PLC-Programm geändert wurde, erhält das Programm eine neue Prüfsumme. Hat sich das PLC- Programm nicht geändert und wird dennoch neu übersetzt, bleibt die Prüfsumme gleich. Beitrags-ID: , V1.0, 01/

13 3 Wissenswertes Prüfsumme auslesen Mithilfe der Anweisung "GetChecksum" können Sie die Prüfsumme einer Gruppe von Objekten auslesen. Weitere Informationen zu "GetChecksum" finden Sie in der TIA Portal Hilfe oder im Handbuch. Das Handbuch finden Sie unter folgendem Link: Beitrags-ID: , V1.0, 01/

14 4 Anhang 4 Anhang 4.1 Service und Support Industry Online Support Sie haben Fragen oder brauchen Unterstützung? Über den Industry Online Support greifen Sie rund um die Uhr auf das gesamte Service und Support Know-how sowie auf unsere Dienstleistungen zu. Der Industry Online Support ist die zentrale Adresse für Informationen zu unseren Produkten, Lösungen und Services. Produktinformationen, Handbücher, Downloads, FAQs und Anwendungsbeispiele alle Informationen sind mit wenigen Mausklicks erreichbar: Technical Support Der Technical Support von Siemens Industry unterstützt Sie schnell und kompetent bei allen technischen Anfragen mit einer Vielzahl maßgeschneiderter Angebote von der Basisunterstützung bis hin zu individuellen Supportverträgen. Anfragen an den Technical Support stellen Sie per Web-Formular: SITRAIN Training for Industry Mit unseren weltweit verfügbaren Trainings für unsere Produkte und Lösungen unterstützen wir Sie mit innovativen Lernmethoden. Mehr zu den angebotenen Trainings und Kursen sowie deren Standorte und Termine erfahren Sie unter: Serviceangebot Unser Serviceangebot umfasst folgendes: Plant Data Services Ersatzteilservices Reparaturservices Vor-Ort und Instandhaltungsservices Retrofit- und Modernisierungsservices Serviceprogramme und Verträge Ausführliche Informationen zu unserem Serviceangebot finden Sie im Servicekatalog: Industry Online Support App Mit der App "Siemens Industry Online Support" erhalten Sie auch unterwegs die optimale Unterstützung. Die App ist für Apple ios, Android und Windows Phone verfügbar: Beitrags-ID: , V1.0, 01/

15 4 Anhang 4.2 Links und Literatur Tabelle 4-1 Nr. \1\ Siemens Industry Online Support Thema \2\ Link auf die Beitragsseite der Bibliotheksbeschreibung "L" \3\ Link zu RFC \4\ Link zur Beitragsseite des Anwendungsbeispiels "Get_Alarm" \5\ Link zum TIA-Portal Handbuch V14 SP Änderungsdokumentation Tabelle 4-2 Version Datum Änderung V1.0 01/2018 Erste Ausgabe Beitrags-ID: , V1.0, 01/