Welcome to PHOENIX CONTACT Zuverlässige & sichere Abschottung sowie Isolierung von Windows XP Systemen

Transkript

1 Welcome to PHOENIX CONTACT Zuverlässige & sichere Abschottung sowie Isolierung von Windows XP Systemen Urs Thönen Product Manager Automation

2 8. April 2014 WinXP-Support eingestellt 2 Communication Conference TU

3 mguard: Industrial Network Security Berlin Innominate Security Technologies AG Führende Herstellerin von Network Security Lösungen für industrielle Applikationen Urheberin der mguard Technologie Gegründet 2001, >30 Mitarbeiter Indirekter Vertrieb über OEMs und Channel Partner seit 2008: 100%-ige Tochter vom Phoenix Contact Unternehmen 3 Communication Conference TU

4 Firmen & Partner, die mguard vertrauen Maschinenbauer Automobilindustrie Prozessindustrie 4 Communication Conference TU

5 Situation heute Extended Support und Verfügbarkeit von Updates für Windows XP sind im April 2014 ausgelaufen. Vernetzte Automatisierungskomponenten mit Windows XP sind weit verbreitet. In Automatisierungskomponenten ist das Update auf eine aktuelle Betriebssystemversion oder der Einsatz von Security Software auf den Systemen oft nicht möglich. 5 Communication Conference TU

6 Warum Absicherung von XP Systemen? 31 Security Updates für Windows XP im 1 Halbjahr davon in der höchsten Stufe kritisch 80 Security Updates für Windows XP von Jan Okt 2013 Neue Sicherheitslücke im Internet Explorer kurz nach dem Auslauf vom extended Support. Auch in Zukunft ist mit der Aufdeckung neuer Sicherheitslücken zu rechnen. 6 Communication Conference TU

7 Warum Absicherung von XP Systemen? Microsoft: Windows XP ist nicht für die heutige Bedrohungslage ausgelegt! Schwachstellen von Windows 7 & 8 treffen auch XP Einige Systemkomponenten nutzen historisch gewachsenen Code Ende des Supports von Produkten anderer Soft- und Hardwarehersteller ist absehbar. Fazit: Nutzung von Windows XP wird von Tag zu Tag riskanter! 7 Communication Conference TU

8 Warum Absicherung von XP Systemen? Quelle: Melde- und Analysestelle für Informationssicherung (Schweiz) Stetig zunehmende Attacken auf industrielle Steuerungssysteme! 8 Communication Conference TU

9 Infektionsrate nach Betriebssystem Q3/2013 Q4/2013 Quelle: Microsoft Security Intelligence Report (SIR) Volume 16 9 Communication Conference TU

10 Was tun??? Nichts! - Programm läuft nur auf WinXP - Brauche neue Hardware - Nach der Installation vom neuen Betreibsystem läuft nichts mehr. - Es gibt keine neuen Treiber Communication Conference TU

11 Was tun??? Den Stecker ziehen! - Fernwartung? - Rezeptur-Server? - ERP/EMS? - CNC-Code? - Werkzeug-DB? - Turnschuhnetzwerk? - 11 Communication Conference TU

12 Turnschuhnetzwerk sneaker net Einfache, schnelle Infizierung mit Malware (Schadprogramm) 12 Communication Conference TU

13 Was tun??? Ich nutze die Windows-Firewall! 13 Communication Conference TU

14 Absicherung = Sicherheitsrisiko minimieren Sicherheitsrisiken: beruhen fast immer auf Verwundbarkeiten von Protokollen und Diensten, die in IP basierten Netzwerken benutzt werden. Aber auch offenes Turnschuhnetzwerk und unerlaubte Software sind Sicherheitsrisiken. Lösung: Systemhärtung Beschränkung der Verbindungen auf Partner, Protokolle, Ports (Dienste), Verbindungsrichtungen und Schnittstellen die absolut notwendig sind sowie Programmkontrolle durch Whitelisting. 14 Communication Conference TU

15 Absicherung durch Externe mguard Security Appliances sind unabhängig vom Betriebssystem. Vielzahl unterschiedlicher Bauformen mit gleicher Funktionalität. mguard pci2, pcie2 mguard rs/4000 mguard rs/4000 3G mguard delta2 mguard centerport mguard smart2 mguard core2 mguard eva Appliances Einbaugeräte IPC / Schaltschrank Tisch / 19 Schrank 230VAC Mobil OEM / customized 15 Communication Conference TU

16 Einfache Nachrüstung ohne Änderung am Netzwerk mguard Firewall Appliances mit dem patentierten Stealth Mode sind perfekte Ansatz, da sie im Netzwerk transparent sind, dadurch einfach installierbar und nicht kompromittierbar sind. Beispiel: Betriebsart «Single Stealth Mode autodetect» Management IP (intern) Management IP (von extern, sofern erlaubt) Network /24 PC Konfiguration Statisch oder DHCP, z.b. IP: MAC Adr. 00:3f:4d:11:01:28 Sicht vom Netzwerk auf den mguard / PC IP: MAC Adr. 00:3f:4d:11:01:28 16 Communication Conference TU

17 Zentrales Konfigurationsmanagement Configuration Status Feedback.. mguard devices mdm Client mdm Client Push (SSH) CA mdm Server Configuration Export Syslog Pull Request (HTTPS) Database Server Web Server Device list and templates 17 Communication Conference TU

18 Baustein #1 - Firewall Sicheres System mit neustem Betriebsssystem- Patch und VirenScanner LAN Erlaubte Verbindung X Gesperrte Verbindungen X X FIREWALL Schutz gegen Befall mit Schadsoftware (Viren, Würmer, etc) Einschränkung auf Kommunikation mit sicheren Systemen (Patchable, mit VirenScanner) 18 Communication Conference TU

19 Hilfreiche Features Benutzer Firewall (1) Eingehende Verbindung verboten keine Zugriff möglich Gesperrte Verbindung X FIREWALL (2) Authentisierung am WebInterface mittels Browser (3) Eingehende Verbindung für Service erlaubt Verbindung erlaubt FIREWALL 19 Communication Conference TU

20 Hilfreiche Features Conditional Firewall (1) Maschine kommuniziert mit dem Produktionsnetz Maschine (2) Bediener an der Maschine aktiviert Firewall mittels Schlüsselschalter (3) Kommunikation eingeschränkt / verboten Situationsgerechte Umschaltung Firewall Regelwerk X X Maschine FIREWALL 20 Communication Conference TU

21 Baustein #2 - Erkennung Schadsoftware CIFS Integrity Monitoring Geschützter IPC mit CIFS basierenden Windows FileShares (Common Internet File System) internes Netzwerk externes Netzwerk (1) CIFS Integrity Checking Erkennt unerwartete Veränderung in statischen Dateisystemen externen Virenscanner 21 Communication Conference TU (2) CIFS AV Scan Connector (a) Prüfung von Dynamischen Fileshares durch externen Virenscanner (Read Only) (b) Datenaustausch mit dem umgebenden Netzwerk (Read Only)

22 Zuwarten kann teuer zu stehen kommen 22 Communication Conference TU

23 FL MGUARD Security Routers - Nutzen Anlagen-/Maschinenschutz vor unautorisiertem Zugriff Anlagen-/Maschinenschutz vor irrtümlichem Zugriff Anlagen-/Maschinenschutz vor Netzwerkstörungen. Isolieren von WinXP- Systemen Sichere und verschlüsselte Kommunikation (IPsec) Anlagen-Fernzugriff über Internet oder anderen unsicheren Netzwerken. 23 Communication Conference TU

24 Urs Thönen Danke für Ihre Aufmerksamkeit 24 Communication Conference TU