Sichere Fernwartung mit SINUMERIK Integrate

Transkript

1 siemens.com/sinumerik-integrate Sichere Fernwartung mit SINUMERIK Integrate Effizienz in der Produktion durch intelligente und sichere Fernwartung Whitepaper Februar 2014 Siemens betrachtet Sicherheit als einen Hauptaspekt für jedes Produkt - vom Konzept und der Lösung bis hin zu kompletten Lifecycle-Serviceleistungen. Die fortschrittliche Entwicklung der Produktionsumgebungen unserer Kunden führt zu einem stetig anwachsenden Datenübertragungsvolumen und erfordert weiterentwickelte Fernzugriffsmöglichkeiten. In Verbindung mit den bekannten Produktionsoptimierungs- und Ferndiagnosemöglichkeiten ergeben sich immer mehr Risiken hinsichtlich Sicherheitslücken in der Produktions-IT-Infrastruktur sowie eine Bedrohung durch Diebstahl geistigen Eigentums. Innerhalb von Siemens hat das Thema Sicherheit eine langjährige Tradition, um die Zuverlässigkeit jedes Produkts zu gewährleisten. Auf jeder Ebene begegnen wir Bedrohungen für die Verfügbarkeit der Produktion und den Know-How-Schutz durch zertifizierte, in der Industrie führende Lösungen: Von der PLC bis hin zum Zusammenspiel von Maschinen mit internen und entfernten Netzwerken. SINUMERIK Integrate ist die Antwort von Siemens auf das Bestreben nach hoher Produktivität, Innovation und Sicherheit im Werkzeugmaschinengeschäft. Unsere Kunden können sich auf die Experten von Siemens Industrial Security Services verlassen. Dieses Whitepaper beschreibt, welche Antwort SINUMERIK Integrate Access MyMachine und Analyze MyCondition auf die aktuellen Sicherheitsanforderungen in Bezug auf Lösungen zur Fernwartung und Fernzugriffen auf die Maschine bietet.

2 Inhalt Zukünftige Produktionsmodelle erfordern mehr und mehr intelligente Lösungen, um eine noch höhere Produktivität und Effizienz zu erzielen. Maschinen kommunizieren mit übergeordneten Steuerungs- und Überwachungssystemen wie z.b. PLM und MES oder mit entfernten Standorten. Auf dem Weg zur digitalen Fabrik bietet die SINUMERIK Integrate Suite Lösungen für die Integration der Produktion in übergeordnete IT-Systeme bei gleichzeitiger Verbesserung der Sicherheit unter Anwendung bewährter Technologien. Einleitung Inhalt SINUMERIK Integrate-Sicherheit Siemens Defense in Depth-Konzept... 3 Siemens Industrial Security Services... 3 Zukunftsorientierte und sichere Investition... 3 Firewall und https-verschlüsselung... 4 Server-Zertifizierung und SSL-VPN... 4 Kommunikation nach außen und CERT-Standard... 5 Organisationsmanagement und Remote-Unterstützung... 5 Management-Zusammenfassung... 6 Intelligente und sichere Integration... 6 Haftungsausschluß 2

3 SINUMERIK Integrate- Sicherheit Siemens Defense in Depth-Konzept Beim Thema Sicherheit müssen die unterschiedlichen Aspekte, die betroffen sind, ausgearbeitet und entsprechend behandelt werden. Mit dem Defense in Depth- Konzept von Siemens (siehe Abb. 1) wurden industriespezifische Lösungen für die Anlagensicherheit, Netzwerksicherheit und Systemintegrität entwickelt und mehrere Schutzebenen - von der Hardwareebene bis hin zu Netzwerkverbindungen in das World Wide Web - aufgebaut. Beim Einschätzen der Gesamtsicherheit einer Anlage muß jeder dieser Schritte genau untersucht werden, da das Gesamtsystem nur so sicher ist wie der schwächste Teil. Dieses Konzept basiert auf Systemintegrität, Anlagen- und Netzwerksicherheit gemäß ISA 99 / IEC der führenden Sicherheitsnorm in der industriellen Automatisierungstechnik. Abb. 1 Wichtigste Sicherheitsfaktoren in der SINUMERIK Integrate-Lösung Siemens Industrial Security Services Siemens Industrial Security Services beinhalten die Durchführung von Risikoeinschätzungen, die Einführung entsprechender Maßnahmen sowie proaktives Bedrohungsmanagement mit den folgenden Zielen: Permanente Sicherstellung der Verfügbarkeit Ihrer Produktionsprozesse durch eine individuelle Sicherheitsarchitektur Schutz des geistigen Eigentums Integrität von Daten und Datenströmen Zukunftsorientierte und sichere Investition auf Grund versionsunabhängiger Integrate-Clients In einer Produktionsanlage werden auf der einen Seite neue Maschinen installiert, während auf der anderen Seite immer noch Maschinen, die mit älteren Steuerungssystemen und Softwareversionen ausgestattet sind, betrieben werden. SINUMERIK Integrate for Production Access MyMachine oder Analyze MyCondition können auf den meisten aktuell in Produktionsumgebungen betriebenen Maschinen installiert werden. Eine typische Produktionsumgebung wird mehrere Jahre lang an einem bestimmten Ort verwendet. Während dieser Zeit ändert sich die IT-Infrastruktur, ohne daß zwingend in die Maschinen eingegriffen werden muß. Es können nicht nur neue Netzwerkanforderungen, sondern auch neue Sicherheitsbedrohungen aufkommen. Trotzdem kann die Steuerungssoftware unverändert weiterverwendet werden weil, dank der SINUMERIK Integrate Client-Server- Architektur, sicherheits- und funktionsbezogene Updates ohne Einfluß auf die aktuell verwendete CNC- Bediensoftware durchgeführt werden können. Die Clients müssen nur bei einer Aktualisierung der Zertifikate aktualisiert werden. Dies sichert die Unabhängigkeit der Steuerungssoftware von den aktualisierbaren Modulen auf dem Server. Dies hat normalerweise keine Auswirkung auf die Produktion, und die Garantie des Maschinenbauers bleibt davon unberührt. 3

4 Firewall und https-verschlüsselung Der SINUMERIK Integrate-Client läuft auf SINUMERIK- Steuerungen, die über eine eigene Firewall verfügen. Die Firewall wird so eingestellt, daß alle Eingangs-Ports blockiert werden außer denjenigen, die speziell für eine Verbindung mit dem SINUMERIK Integrate-Server konfiguriert werden. Wenn SINUMERIK Operate mit PCU als Steuerung verwendet wird, ist die Firewall im MS-Windows- Betriebssystem enthalten; bei der Linux-basierten Lösung (NCU) wird die Firewall am X130-Netzwerkadapter konfiguriert. Neben der Firewall gibt es einen weiteren wichtigen Mechanismus: Um die Datenübertragung zwischen dem Integrate-Server und den Maschinen-Clients sicherzustellen, müssen die entsprechenden Zertifikate verwendet werden. Die verfügbaren HTTPS-Ports bieten eine Verschlüsselung basierend auf dem Secure Socket Layer (SSL) Standard, der weitverbreitesten Verschlüsselungsmethode. Im Zuge der jüngsten Entwicklung der Rechenleistung elektronischer Hardware hat sich die Bedrohung dahingehend erhöht, daß SSL-Zertifikate gebrochen oder gefälscht werden. Deshalb hat Siemens kürzlich die Sicherheit seiner Zertifikate verbessert, indem sie neue Maschinen mit längeren Verschlüsselungs-Codes ausstatten und die Kunden bei der Aktualisierung alter Steuerungen unterstützt. Dies unterstreicht einmal mehr, daß allerhöchste Sicherheit und außergewöhnliches Engagement beim Produkt-Lifecycle- Support einen hohen Stellenwert für Siemens haben. Server-Zertifizierung und https- verschlüsselte Verbindung Der SINUMERIK Integrate-Server zur Fernwartung wird als von Siemens betriebener Remote-Server eingerichtet. Diese Remote-Server-Lösung von Siemens wurde gemäß dem Informationssicherheits-Managementsystem ISO/IEC 27001, IT-Service-Managementsystem ISO/IEC sowie Qualitäts-Managementsystem ISO 9001 zertifiziert. Der Datenaustausch zwischen den CNC-Steuerungen und dem Integrate-Remote-Server wird mit Hilfe von https verschlüsselt Damit können CNC-Maschinen und Anwender einfach mit dem SINUMERIK Integrate-Server verbunden werden, ohne ein kostenaufwendiges IP-gesichertes Virtuelles Privates Netzwerk (IPSec VPN) einrichten zu müssen. Somit kann die IT-Integration ohne jeglichen Eingriff durch Spezialisten oder Software von Fremdherstellern durchgeführt werden. Abb. 2 Übergeordnete Beschreibung des SINUMERIK Integrate-Netzwerks 4

5 Kommunikation nach außen und CERT-Standard Die SINUMERIK Integrate Client-Server-Kommunikation ist durch einen speziellen Mechanismus für den Aufbau des Datenaustauschs gekennzeichnet. Daten werden ausschließlich zwischen dem Client der CNC-Steuerung und dem Server ausgetauscht, wenn die Steuerung dies explizit erlaubt. Die Steuerung verbindet sich periodisch mit dem Server um zu überprüfen, ob irgendwelche Anfragen anstehen und bearbeitet diese, indem sie die notwendigen Daten austauscht. Der Server kann nur auf diese Weise auf die Steuerung zugreifen. Dies erhöht die Sicherheit dieser Lösung, weil hier keiner der nach innen gerichteten Ports an den Firewalls geöffnet werden muß, während für die Kommunikation der Steuerung nach außen keine spezielle Konfiguration erforderlich ist. Um alle Aspekte bezüglich Netzwerksicherheit abzudecken, wurden die SINUMERIK Integrate-Lösungen zum Fernzugriff auf die Maschinen den CERT-Sicherheitstests unterzogen und ihre Konfigurationen entsprechend zertifiziert. Siemens verfügt über ein eigenes internes Computer Emergency Response Team (CERT). Siemens CERT- Sicherheitsxperten gibt es seit mehr als zehn Jahren, und in dieser Zeit wurden die entsprechenden Richtlinien für die sichere Codierung und Programmierung von Siemens- Produkten erstellt. Abb. 3 Screenshots zur Benutzerverwaltung am Siemens Integrate-Server Organisationsmanagement und Remote-Unterstützung Durch eine Verbindung zum SINUMERIK Integrate-Server kann der Kunde seine interne Organisation in den Benutzerrollen und die Maschinenstruktur mit Hilfe der Benutzerverwaltungs-Web-Oberfläche abbilden. Die Benutzerverwaltungs-Funktionalität (siehe Abb. 3) ermöglicht die Einrichtung und Verwaltung von Anwendern und Maschinen und steuert die Fern-Zugriffsrechte für externe Organisationen, wie z.b. OEM-Serviceexperten. Um höchste Daten- und Betriebssicherheit bei der Remote- Unterstützung zu garantieren, erfordert der Aufbau einer Fernverbindung die Zustimmung des Maschinenbedieners. Hierfür muß der Server entsprechend konfiguriert werden und abschließend eine manuelle Eingabe am Monitor der CNC-Steuerung erfolgen. Die aufgebauten Verbindungen werden über das Netz verschlüsselt und alle Handlungen in den Log-Dateien gespeichert. 5

6 Management- Zusammenfassung Intelligente und sichere Integration SINUMERIK Integrate bietet optimale Erweiterungen für die Features der Standard-Werkzeugmaschine. Mit SINUMERIK Integrate können Sie unter anderem die Produktionsdaten einer Werkzeugmaschine einer übergeordneten Software zur Verfügung stellen. Dies ermöglicht ein sicheres und fortschrittliches Produktionsmanagement auch von entfernten Standorten. Produktionslinien werden oft jahrelang betrieben. Derzeit verwendete Technologien altern, während neu erworbene Werkzeugmaschinen neues Potential bieten. Hochmoderne Bedienprozesse und effizienz-getriebene Anwendungen erfordern eine hohe Datenverfügbarkeit. Sowohl für neu installierte, als auch für bereits verwendete Werkzeugmaschinen, bietet SINUMERIK Integrate die notwendige Netzwerkinfrastruktur und Software für das Sammeln, Verwalten und die Freigabe von Poduktionsdaten. Die SINUMERIK Integrate-Remote-Serverlösung wurde gemäß den aktuellen ISO/IEC-Standards und CERT- Richtlinien zertifiziert. Trotzdem ist die Netzwerkarchitektur der Lösung aufgrund der Möglichkeit, mehrere Maschinen mit demselben SINUMERIK Integrate-Server zu verbinden, weiterhin einfach gehalten und skalierbar. Die Benutzerverwaltung auf Serverebene sichert die Datenintegrität, indem jedem Mitglied der Organisation die entsprechenden Rechte im Netz gewährt werden und Bedieneingriffe von außerhalb nachvollziehbar sind. Im Netzwerk werden Werkstattdaten mit Hilfe des https- Protokolls sicher verschlüsselt, was unseren Kunden den notwendigen Datenschutz garantiert. Außerdem werden Sicherheits- und Produkt-Updates in der Regel auf Serverebene durchgeführt; die CNC-Steuerungen und die Garantie des Werkzeugmaschinenherstellers bleiben davon unberührt. Dadurch werden die Produktionsverfügbarkeit und die Robustheit gegenüber aktuellen Sicherheitsbedrohungen sichergestellt. SINUMERIK Integrate for Production Anwendungen: Manage MyTools Werkzeugverwaltung Manage MyPrograms Programmverwaltung Analyze MyCondition Zustandsüberwachung Analyze MyPerformance Produktionsdatenerfassung Access MyMachine Fernwartung Access MyBackup Archiv Verwaltung (Schnittstelle für Solution Partner, die Backup Systeme anbieten) Sicherheitsinformation Für den sicheren Betrieb von Produkten und Lösungen von Siemens ist es erforderlich, geeignete Schutzmaßnahmen (z. B. Zellenschutzkonzept) zu ergreifen und jede Komponente in ein ganzheitliches Industrial Security-Konzept zu integrieren, das dem aktuellen Stand der Technik entspricht. Dabei sind auch eingesetzte Produkte von anderen Herstellern zu berücksichtigen. Weitergehende Informationen über Industrial Security finden Sie unter Die Informationen in diesem Whitepaper enthalten Beschreibungen bzw. Leistungsmerkmale, welche im konkreten Anwendungsfall nicht immer in der beschriebenen Form zutreffen bzw. welche sich durch Weiterentwicklung der Produkte ändern können. Die gewünschten Leistungsmerkmale sind nur dann verbindlich, wenn sie bei Vertragsschluß ausdrücklich vereinbart werden. Siemens AG Sektor Industry Motion Control Systems Postfach ERLANGEN DEUTSCHLAND Die verwendeten Marken sind Eigentum der Siemens AG bzw. der jeweiligen Inhaber. Siemens AG 2014 Siemens ist eine eingetragene Marke der Siemens AG. Alle Erzeugnisbezeichnungen können Marken oder Erzeugnisnamen der Siemens AG oder anderer, zuliefernder Unternehmen sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann. 6